Depuis le lundi 17 août 2026, la DGFiP informe individuellement les personnes concernées par la fuite DGFiP survenue en juin et juillet. Le courriel officiel porte l’objet « Consultation illégitime de vos informations fiscales », et les envois s’échelonnent sur plusieurs jours.
L’essentiel des articles publiés cette semaine expliquent quoi faire. Nous avons choisi l’angle que nous connaissons par nos dossiers : ce que les escrocs vont concrètement faire de ce fichier, et pourquoi les réflexes de vigilance habituels ne suffiront pas cette fois.
Dernière mise à jour : 20/08/2026. Ce dossier est un document vivant, actualisé au fil des annonces officielles.
Sommaire
Fuite DGFiP : ce qui a fuité, précisément
L’attaquant n’a pas exploité une faille technique. Il a usurpé les identifiants d’un agent de la DGFiP et ceux d’un tiers habilité, lors de deux intrusions distinctes (l’une fin juin, l’autre fin juillet). Le 18 août, en conférence de presse, l’administration en a révélé une troisième, sur un autre portail.
Point important : personne n’a forcé les espaces personnels sur impots.gouv.fr. Votre mot de passe reste donc intact.
Les catégories de données citées côté particuliers sont les suivantes :
- nom, prénom, date et lieu de naissance ;
- adresse d’imposition et adresse d’envoi ;
- adresse e-mail et numéro de téléphone ;
- situation familiale et nombre de parts ;
- revenu fiscal de référence ;
- taux de prélèvement à la source ;
- dans certains cas, la liste des messages échangés avec l’administration via la messagerie sécurisée.
S’y ajoute un second volet portant sur des données cadastrales, reliant des biens immobiliers à leurs propriétaires.
Sur les chiffres. Le communiqué officiel du 14 août 2026 annonce 678 000 particuliers et professionnels concernés. Ce décompte reste toutefois provisoire : l’administration précise que les investigations se poursuivent afin d’établir la nature exacte des données extraites et le nombre définitif d’usagers touchés. Les chiffres relayés dans la presse peuvent donc varier.
Un point mérite l’attention. La DGFiP a bien détecté les intrusions et coupé les accès concernés dès leur découverte, mais ses contrôles n’ont pas permis d’établir qu’elles avaient donné lieu à une extraction de données, en raison de la sophistication de l’attaque. Le vol n’a été confirmé qu’après la revendication publique du pirate, le 12 août. Autrement dit, ces données ont pu circuler pendant un à deux mois avant que quiconque le sache. Si vous avez reçu cet été un appel ou un message dont l’auteur semblait anormalement bien renseigné sur votre situation, vous tenez peut-être là l’explication.
Pourquoi la fuite DGFiP rend les arnaques crédibles
Jusqu’ici, la vigilance reposait sur un raisonnement simple et efficace : un inconnu qui ne sait rien de vous est un escroc, un interlocuteur qui connaît votre dossier est probablement légitime.
Cette règle a cessé de fonctionner.
Un appelant qui vous annonce votre revenu fiscal de référence au bon chiffre, votre nombre de parts, votre commune et votre situation familiale ne ressemble plus à un démarcheur. Il ressemble à votre centre des finances publiques. Dans nos dossiers, c’est très exactement ce niveau de détail qui fait basculer des personnes prudentes : ce n’est pas la crédulité qui les piège, c’est la vérification qui échoue.
Le pire moment est précisément celui-ci. Le vrai courriel de la DGFiP et les imitations arrivent dans la même boîte, la même semaine. Le contribuable qui attend le message officiel est la cible la plus facile qui soit.
Le critère de reconnaissance le plus fiable : le vrai message ne contient aucun lien
Depuis le 17 août, le courriel officiel de la DGFiP ne comporte aucun lien cliquable. Ce détail constitue aujourd’hui le meilleur discriminant, et il surpasse largement l’examen de l’adresse d’expéditeur qu’un fraudeur peut falsifier sans difficulté.
Autrement dit : tout message se présentant comme une alerte de la DGFiP et vous invitant à cliquer pour « vérifier votre situation », « confirmer vos coordonnées » ou « accéder à votre dossier » est une tentative d’hameçonnage, sans exception.
La règle générale posée par l’administration est plus large encore : la DGFiP ne demande jamais d’informations personnelles en dehors de l’espace sécurisé en ligne. Toute sollicitation par téléphone, SMS ou courriel réclamant une donnée personnelle sort du cadre normal.
Deux précisions utiles. Ne pas avoir reçu le message ne signifie pas être hors de danger : les envois s’étalent sur la semaine. Et pour vérifier quoi que ce soit, tapez vous-même l’adresse impots.gouv.fr puis consultez votre messagerie sécurisée (jamais depuis un lien reçu).
Les cinq arnaques qui vont suivre la fuite DGFiP
Ce qui suit n’est pas une liste théorique. Ce sont les schémas que nous traitons déjà dans nos dossiers, et que ce fichier va rendre nettement plus efficaces. Notre index des arnaques en recense les variantes documentées.
Le faux conseiller bancaire, dopé par la fuite DGFiP
C’est le plus destructeur, et de loin. L’appelant se présente comme le service anti-fraude de votre banque, annonce une opération suspecte, et vous demande de « sécuriser » vos fonds. Avec vos données fiscales en main, il établit sa légitimité en trente secondes. C’est le scénario qui vide réellement les comptes, et nous en détaillons le déroulé complet dans notre analyse sur l’arnaque au faux conseiller bancaire et le spoofing téléphonique.
Le faux agent du fisc
Régularisation urgente, contrôle en cours, pénalité à régler immédiatement. Le levier est l’autorité et l’urgence. Signal constant : le moyen de paiement demandé est inhabituel (virement vers un compte étranger, carte prépayée, application de paiement instantané ou même cryptomonnaies).
Le faux remboursement
L’inverse du précédent, et statistiquement plus efficace : on ne vous réclame rien, on vous annonce un trop-perçu à restituer. Il suffit de communiquer un RIB, ou de saisir ses identifiants bancaires sur une page qui ressemble à celle de l’administration.
Le faux service de protection des données
Un organisme, parfois présenté comme mandaté par l’État ou par la CNIL, propose de « faire supprimer vos données » ou de « surveiller les usages frauduleux » contre abonnement. Aucun service de ce type n’est mandaté par l’administration, et les données déjà sorties ne se suppriment pas.
Pour les professionnels : l’usurpation de fournisseur
En croisant SIREN, raison sociale et adresse, un fraudeur construit une demande de changement de coordonnées bancaires très difficile à distinguer d’une vraie. C’est le scénario qui produit les préjudices les plus élevés.
Fuite DGFiP : le cas particulier des propriétaires
Le volet cadastral change la nature du risque. Il ne s’agit plus seulement de fraude à distance : croiser un revenu fiscal élevé avec une adresse et des biens identifiés produit une liste de ciblage patrimonial.
Trois conséquences pratiques. Les tentatives visant ce profil seront mieux préparées et plus insistantes. Les sollicitations d’« investissement » (placements, défiscalisation, immobilier de rendement, crypto-actifs…) arriveront calibrées sur votre capacité réelle d’investissement. Et pour les patrimoines les plus visibles, la question de l’exposition physique se pose désormais sérieusement.
Si des fonds ont déjà été versés en crypto-actifs, une investigation de traçage sur blockchain permet d’établir le parcours des fonds et d’identifier les points de sortie.
Ce qu’il faut faire, concrètement
La mesure qui vaut à elle seule l’essentiel du résultat tient en une phrase : aucun contact entrant n’est authentifiant.
Quel que soit le niveau de détail que votre interlocuteur connaît sur vous, vous raccrochez, et vous rappelez le numéro officiel que vous détenez déjà. Ce numéro se trouve généralement au dos de votre carte bancaire, sur votre avis d’imposition ou dans votre espace personnel. Aucune banque, aucune administration ne vous reprochera de rappeler et d’être trop prudent.
- Ne validez jamais une opération pendant l’appel : aucune urgence réelle n’exige une décision immédiate.
- N’utilisez pas les liens reçus, saisissez les adresses vous-même.
- Surveillez vos comptes dans les semaines qui viennent. Les données volées ne permettent aucun prélèvement direct, mais elles arment des tentatives ciblées.
- Signalez les messages frauduleux sur Signal Spam et les sites sur PHAROS.
- Activez l’authentification à deux facteurs sur votre messagerie personnelle en priorité : c’est la clé qui ouvre tout le reste.
- En cas de doute, les fiches réflexes de Cybermalveillance.gouv.fr font référence.
Si l’argent est déjà parti
C’est notre métier, et il faut le dire clairement : le fait d’avoir été trompé ne fait pas obstacle à un remboursement.
Fuite DGFiP : le principe du remboursement bancaire
En matière d’opérations de paiement non autorisées, le code monétaire et financier pose un principe de remboursement par le prestataire de services de paiement, la banque devant établir la négligence grave de son client pour s’y soustraire. Le délai pour contester une opération est de treize mois à compter de sa date de débit, un délai qui court vite, et que beaucoup de victimes découvrent trop tard.
Le levier supplémentaire : la liste noire de l’AMF
Lorsque les fonds ont été virés vers une plateforme d’investissement frauduleuse, un autre levier existe. Par une série d’arrêts du 1er octobre 2025, la chambre commerciale de la Cour de cassation a retenu que l’inscription du bénéficiaire sur la liste noire de l’AMF pouvait caractériser une anomalie apparente, de nature à engager la responsabilité de la banque au titre de son obligation de vigilance. La jurisprudence reste contrastée et chaque dossier s’apprécie sur ses faits, mais cette voie est réelle et encore trop peu exploitée.
Les premiers réflexes, dans l’ordre : faire opposition, écrire à sa banque en contestant formellement l’opération, déposer plainte, et conserver l’intégralité des traces : messages, numéros appelants, relevés, captures d’écran horodatées.
La seconde vague d’arnaques après la fuite DGFiP
Une fuite de cette ampleur produit toujours une seconde vague : celle des acteurs qui vendent la protection contre la première. Les règles ne changent pas. Personne ne peut « supprimer vos données du dark web ». Aucun cabinet sérieux ne demande de paiement d’avance pour récupérer des fonds. Aucun organisme n’est mandaté par l’État pour vous appeler à ce sujet.
Un prestataire légitime a une immatriculation vérifiable, publie ses tarifs, et ne vous promet jamais un résultat. Nous consacrons un dossier complet à ce mécanisme, sous le nom d’arnaque à la récupération de fonds, ainsi qu’à sa variante crypto.
Questions fréquentes
La DGFiP contacte directement chaque personne concernée, par courriel ou par courrier, depuis le 17 août 2026. Il n’existe aucun site officiel permettant de le vérifier soi-même : tout service proposant de le faire doit être considéré comme suspect. Ne pas avoir reçu de message ne garantit pas d’être hors de danger, les envois étant échelonnés sur plusieurs jours.
Le courriel officiel a pour objet « Consultation illégitime de vos informations fiscales » et ne contient aucun lien cliquable. Tout message vous invitant à cliquer pour vérifier votre situation est frauduleux. En cas de doute, tapez vous-même l’adresse impots.gouv.fr dans votre navigateur et consultez votre messagerie sécurisée.
Ce n’est pas l’urgence. Les espaces personnels n’ont pas été forcés et aucun mot de passe n’a fuité : l’accès a été obtenu via les identifiants usurpés d’un agent et d’un tiers habilité. En revanche, si vous réutilisez ce mot de passe sur d’autres services, changez-le partout.
Les données décrites ne comprennent pas de coordonnées bancaires, et aucun prélèvement direct n’est possible à partir de ce fichier. Le risque est indirect : ces données permettent de construire des sollicitations suffisamment crédibles pour vous amener à communiquer vous-même vos identifiants ou à valider une opération.
Non. Des données déjà extraites et diffusées ne se suppriment pas, et aucun service ne peut honnêtement le promettre. Vous pouvez en revanche demander à la DGFiP, au titre de l’article 15 du RGPD, le détail exact des données vous concernant qui ont été extraites.
Le code monétaire et financier pose un principe de remboursement des opérations non autorisées, la banque devant démontrer la négligence grave de son client pour le refuser. Le délai de contestation est de treize mois à compter du débit. Lorsque les fonds ont été virés vers une plateforme inscrite sur la liste noire de l’AMF, la jurisprudence récente de la Cour de cassation ouvre une voie supplémentaire sur le terrain de l’obligation de vigilance.
Sources et méthodologie
Communiqué de presse n° 953 du ministère de l’Économie et des Finances, 14 août 2026 ; conférence de presse du 18 août 2026 ; annonces ministérielles du 19 août 2026 ; consignes de sécurité publiées sur impots.gouv.fr ; alertes de Cybermalveillance.gouv.fr ; couverture de presse nationale des 17 au 19 août 2026 ; jurisprudence de la chambre commerciale de la Cour de cassation du 1er octobre 2025.
Les scénarios de fraude décrits sont issus des dossiers traités par nos équipes, et non d’une extrapolation. Aucune donnée issue de la fuite n’a été consultée, détenue ou exploitée pour la rédaction de ce dossier.
Vous pensez avoir été ciblé, ou des fonds ont déjà quitté vos comptes ? Nos équipes analysent votre situation et vous indiquent les recours réellement mobilisables. Demander une assistance.
