Si vous êtes concerné, la DGFiP vous le dit elle-même : depuis le lundi 17 août 2026, elle adresse un message individuel aux personnes dont les données ont pu être consultées, par courriel dans la semaine, ou par courrier lorsqu'elle ne dispose pas de votre adresse électronique. Ce qu'il faut faire tient en une phrase : ne donner suite à aucune sollicitation reçue par message ou par appel, ne rien saisir depuis un lien, et ouvrir votre espace uniquement en tapant vous-même l'adresse impots.gouv.fr, parce que les messages frauduleux qui s'appuieront sur cette fuite pourront citer des informations exactes sur vous.
Cette page n'est pas un récit de l'incident. Elle traite ce qui relève de notre sujet : ce qu'un escroc peut faire d'un dossier fiscal, et pourquoi le réflexe « il connaît mes données, donc c'est vrai » devient ici le piège principal.
Ce que la DGFiP a reconnu, et à quelles dates
L'événement est public et documenté par l'administration elle-même. La DGFiP a publié le 14 août 2026 une actualité intitulée « Accès illégitimes au système d'information de la DGFiP », mise à jour le 21 août, doublée d'un communiqué du ministère de l'Économie et des Finances du même jour.
| Date | Ce que disent les sources officielles |
|---|---|
| Juin et juillet 2026 | Les accès illégitimes ont lieu. Ils sont « détectés et fermés dès cette période ». |
| 12 et 13 août 2026 | Un acteur malveillant revendique publiquement le vol. Le vol de données lui-même « n'a été établi qu'à partir du 12 août 2026 ». |
| 14 août 2026 | Actualité de la DGFiP et communiqué du ministère de l'Économie et des Finances. |
| 17 août 2026 | Début de l'information individuelle des personnes concernées. Publication de la FAQ particuliers. |
| 18 août 2026 | La CNIL indique avoir été notifiée et mener des vérifications. |
| 21 août 2026 | Mise à jour de l'actualité de la DGFiP, FAQ professionnels, et FAQ distincte sur le portail des successions vacantes. |
La méthode décrite est l'usurpation des identifiants d'agents publics ; le communiqué du 14 août précise qu'il s'agit d'un agent de la DGFiP et d'un tiers habilité. Le vol a été « réalisé par contournement des circuits habituels », ce qui explique qu'il ait été établi bien après la fermeture des accès.
Sur le nombre de personnes touchées, deux chiffres officiels circulent, publiés à trois jours d'intervalle. Le communiqué du 14 août parle de 678 000 particuliers et professionnels. La FAQ particuliers du 17 août écrit « un peu plus de 350 000 particuliers et 250 000 professionnels », et la FAQ professionnels « un peu plus de 250 000 professionnels ». Nous les donnons tels quels, avec leur date : nous n'avons pas trouvé de source officielle qui explique l'écart, et nous n'allons pas l'inventer.
Quelles données sont concernées
Pour un particulier, la FAQ du 17 août 2026 énumère : l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source), ainsi que la liste des messages échangés avec la DGFiP via la messagerie d'impots.gouv.fr. Pour moins de 250 contribuables, le contenu de ces messages a également pu être consulté.
Pour un professionnel, la FAQ dédiée du 21 août 2026 cite le numéro SIREN, la dénomination et l'adresse de l'entreprise, et des informations génériques de messagerie : identifiant de la demande, date, service en charge, nature du formulaire, statut. Le contenu des messages n'a pas été divulgué, et les déclarations et paiements d'impôts réalisés via l'espace professionnel, comme les coordonnées bancaires, n'ont pas été consultés.
S'y ajoute un volet immobilier : « des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées », sur ce que la FAQ professionnels appelle un périmètre distinct. Aucun volume chiffré ne figure dans les sources officielles que nous citons ici, donc nous n'en donnons aucun.
Ce que les sources officielles disent ne pas être touché
Quatre points explicites dans les documents officiels
Le site impots.gouv.fr n'est pas compromis. Les espaces Finances publiques des particuliers et des professionnels non plus. Le communiqué du 14 août écrit que « les identifiants et les mots de passe des particuliers et des professionnels n'ont pas été compromis », et la FAQ particuliers que « le mot de passe permettant d'y accéder ne fait pas partie des données dérobées », donc qu'« il n'est donc pas nécessaire de modifier votre mot de passe à la suite de cet incident », tout en laissant la possibilité de le faire. Ces identifiants sont ceux de connexion : votre identifiant fiscal, lui, figure bien parmi les données susceptibles d'avoir été consultées. Enfin, aucune coordonnée bancaire n'est citée parmi les données consultées dans cet incident d'août 2026.
Ce dernier point mérite d'être tenu fermement, parce que la confusion est facile et lourde de conséquences. Un incident antérieur et distinct a bien concerné des coordonnées bancaires : les consultations illégitimes du fichier national des comptes bancaires (FICOBA) entre le 28 janvier et le 13 février 2026, portant sur moins de 1 % des coordonnées bancaires du fichier, avec l'état civil et l'adresse postale. Ce n'est pas le même événement, ni les mêmes personnes, ni les mêmes données.
Le message individuel, et ce qu'il ne fait pas
L'information des personnes concernées répond à l'obligation de l'article 34 du RGPD. Le message détaille les données susceptibles d'avoir été consultées ou extraites. Un passage de la FAQ officielle vaut d'être lu deux fois, parce qu'il est votre meilleur outil de tri pour les semaines qui viennent :
Citation de la FAQ officielle du 17 août 2026
« Ce message ne contient aucun lien direct vers votre espace fiscal et ne vous demande aucune information confidentielle. Cela vaut pour l'ensemble de nos échanges et tous les canaux : par SMS comme par téléphone, aucune réponse ni action n'est attendue de votre part en dehors de votre espace sur impots.gouv.fr. »
Autrement dit : la règle ne porte pas sur l'apparence du message, elle porte sur ce qu'il vous demande de faire. Tout message au nom des impôts qui attend de vous un clic, une réponse, un rappel téléphonique ou une saisie de données sort du cadre que l'administration décrit pour ses propres envois.
Nous ne publions volontairement ni l'objet exact du courriel officiel, ni une adresse d'expéditeur précise. Ces éléments ne figurent pas dans les documents officiels que nous citons, ils se contredisent d'un site à l'autre, et les publier reviendrait à fournir un gabarit prêt à l'emploi.
Pourquoi un message qui connaît votre situation fiscale n'est pas une preuve
C'est le cœur du sujet, et c'est la conséquence que la DGFiP annonce elle-même : de possibles tentatives d'escroquerie par messages (hameçonnage) ou par appels frauduleux, « rendus plus crédibles par la mention de vos données personnelles ».
Ce qui a été pris n'est pas un moyen d'accès, c'est de la matière à convaincre. Un mot de passe ouvre une porte ; une liste de faits vrais ouvre une conversation. Concrètement, un message frauduleux peut désormais aligner votre nom, votre adresse postale, votre numéro de téléphone, votre identifiant fiscal, votre nombre de parts, votre revenu fiscal de référence ou votre taux de prélèvement à la source, sans rien deviner du tout.
La liste des messages échangés avec la DGFiP mérite une mention à part. Elle permet de raccrocher une sollicitation à une démarche que vous avez réellement effectuée. Une phrase du type « suite à votre demande auprès du service concerné » cesse d'être une formule creuse quand elle tombe au bon moment sur le bon dossier.
La conséquence pratique est désagréable mais simple : le critère « un escroc ne peut pas savoir cela sur moi » ne vaut plus rien. Il ne restait de toute façon fiable qu'à moitié. Ce qui le remplace tient au canal et à l'action demandée, jamais au contenu :
- On ne juge pas un message à ce qu'il sait, mais à ce qu'il réclame.
- On ne rejoint jamais son espace par un lien reçu, on tape l'adresse soi-même.
- On ne rappelle jamais un numéro figurant dans le message : on prend celui publié sur le site officiel.
- Un code reçu par SMS ne se dicte à personne, y compris à quelqu'un qui connaît votre dossier. Nous détaillons ce cas précis dans notre article sur le code DGFiP reçu par SMS sans l'avoir demandé.
Un mot sur le domaine d'expéditeur, parce que la question va revenir. La FAQ professionnels indique que les messages adressés par la DGFiP se terminent toujours par @dgfip.finances.gouv.fr. C'est une règle que l'administration publie sur ses propres envois, ce n'est pas un test de fiabilité : une adresse d'expéditeur affichée s'usurpe, et le nom affiché dans une messagerie ne dit rien du domaine réel. Une adresse qui ne se termine pas par ce domaine disqualifie un message ; une adresse qui s'y termine ne le qualifie pas. Pour lire une en-tête plutôt que le nom affiché, voyez notre guide vérifier l'adresse d'un expéditeur de mail.
Les formes annoncées, et ce que nous ne pouvons pas affirmer
La FAQ officielle cite, parmi les suites possibles, l'hameçonnage par message et les appels frauduleux, notamment les fraudes par manipulation du type faux conseiller bancaire ou faux président. Le mécanisme de l'appel au faux conseiller est décrit dans notre article dédié à l'arnaque au faux conseiller bancaire. Les scénarios écrits les plus proches de ce contexte existent déjà sur le site : le faux avis de remboursement DGFiP par mail et le faux SMS de remboursement d'impôts.
L'usurpation d'identité est présentée par la DGFiP comme un risque plus marginal, qui suppose que les attaquants obtiennent par ailleurs une copie de pièces d'identité.
Ce que nous n'écrivons pas
Nous n'avons ouvert aucune source officielle constatant une campagne d'hameçonnage exploitant cette fuite. Ce qui est publié à ce stade est un risque annoncé par la DGFiP et par la CNIL, pas une vague observée. Nous ne présentons donc pas de faux message « type » lié à cet incident : nous n'en avons pas vu de documenté, et en inventer un reviendrait à écrire le scénario à la place des escrocs.
Ce que vous pouvez faire, dans l'ordre
Ces consignes sont celles des FAQ officielles du 17 août 2026.
- Restez méfiant face aux messages et aux appels non sollicités, y compris ceux qui vous citent des informations exactes.
- Ne communiquez jamais de code, d'identifiant, de mot de passe ou de coordonnées bancaires en réponse à une sollicitation, quel qu'en soit le canal.
- Vérifiez l'expéditeur plutôt que le nom affiché, et méfiez-vous de toute incitation à réagir vite.
- Connectez-vous toujours vous-même sur
https://www.impots.gouv.fr/, sans jamais cliquer sur un lien qui vous le propose. - Conservez les preuves : messages, captures d'écran, adresses, horaires d'appel.
- Votre mot de passe n'a pas à être changé du fait de cet incident selon la FAQ, mais rien ne l'interdit. S'il sert ailleurs, c'est un autre problème, traité dans notre guide sécuriser ses comptes en ligne.
- Surveillez les modifications de votre dossier. La DGFiP indique avoir mis en place une protection renforcée des comptes fiscaux concernés, avec une surveillance particulière des modifications à venir, comme un changement d'adresse ou de coordonnées bancaires, dans les prochains mois.
Pour la démarche plus large qui suit toute fuite de données, notre guide que faire après une fuite de données personnelles reprend la méthode point par point.
Ne cherchez pas d'outil pour savoir si vous êtes concerné
La seule voie officielle est le message individuel envoyé par la DGFiP. Si un site, une page ou un message vous propose de vérifier si vous faites partie des personnes touchées en saisissant votre numéro fiscal, votre nom ou votre adresse, ne saisissez rien : dans le meilleur des cas, la réponse ne vaut rien ; dans le pire, vous complétez vous-même le dossier de quelqu'un. En cas de doute, la question se pose à la DGFiP, au 0 809 401 401 (numéro non surtaxé), par la messagerie sécurisée de votre espace Finances publiques ou auprès de votre centre des Finances publiques.
Trois confusions qui circulent
« Le site des impôts a été piraté. » Les sources officielles disent l'inverse : ni impots.gouv.fr ni les espaces Finances publiques ne sont compromis. Le titre « cyberattaque impots.gouv.fr » employé ici ou là est trompeur sur ce point précis.
« Il y a eu une troisième fuite. » Une vulnérabilité technique a bien été repérée le 17 août 2026 sur le portail des successions vacantes, dont le service en accès libre a été coupé, et qui « ne contient que des données publiques ». La FAQ officielle du 21 août conclut : « Non, les investigations menées ont permis d'écarter toute fuite de données. »
« 678 438 lignes ont été volées. » Ce chiffre est le volume revendiqué par l'attaquant sur un forum, rapporté par la presse spécialisée. Ce n'est pas un chiffre de la DGFiP. De la même façon, les volumes qui circulent sur le volet cadastral ne proviennent pas des sources officielles, et nous ne les reprenons pas. Enfin, nous ne nommons pas l'auteur revendiqué : la DGFiP ne l'a pas confirmé.
Signaler, et porter plainte
Ces recours sont gratuits et publics, et ce sont ceux que la FAQ officielle indique.
- Signaler une tentative de fraude : cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes d'actes de cybermalveillance.
- Déposer plainte en cas de préjudice : via la plateforme THESEE ou en commissariat et en gendarmerie.
- Contacter la DGFiP : 0 809 401 401 (numéro non surtaxé), messagerie sécurisée de votre espace Finances publiques, ou centre des Finances publiques.
- CNIL : elle a indiqué le 18 août 2026 avoir été notifiée de ces violations et être susceptible de mener des investigations. Elle écrit qu'« il n'est pas nécessaire de saisir la CNIL d'une plainte individuelle à ce sujet, sauf si vous disposez d'éléments spécifiques ou utiles aux investigations en cours ».
Si une tentative a abouti, si vous avez transmis des données ou effectué un paiement, la marche à suivre est détaillée dans notre guide que faire si vous êtes victime d'une arnaque. Pour choisir le bon canal de signalement selon le support reçu, voyez comment signaler une arnaque.
Sources
Pages et documents consultés le 22 août 2026.
- Accès illégitimes au système d'information de la DGFiP, actualité publiée le 14 août 2026 et modifiée le 21 août 2026 : impots.gouv.fr
- Communiqué du ministère de l'Économie et des Finances, 14 août 2026 : presse.economie.gouv.fr
- FAQ particuliers, 17 août 2026 (données concernées, message individuel, consignes) : impots.gouv.fr, PDF
- FAQ professionnels, 21 août 2026 (périmètre entreprises, données cadastrales, domaine des messages) : impots.gouv.fr, PDF
- FAQ portail des successions vacantes, 21 août 2026 : impots.gouv.fr, PDF
- Piratage du système d'information des impôts, les vérifications sont en cours, 18 août 2026 : cnil.fr
- Hameçonnage impôts : cybermalveillance.gouv.fr
- FAQ FICOBA (incident distinct de janvier et février 2026) : impots.gouv.fr, PDF
- Volume revendiqué par l'attaquant, rapporté par la presse spécialisée, non confirmé par la DGFiP : silicon.fr