Piratage du fisc : ce que risquent concrètement les 678 000 contribuables concernés

En résumé : la Direction générale des Finances publiques a confirmé le 14 août 2026 le vol de données concernant environ 678 000 contribuables, particuliers et professionnels. Les intrusions remontent à juin et juillet, via des identifiants d'agent usurpés ; un pirate se présentant sous le pseudonyme Zerobytes a revendiqué le vol publiquement le 12 août et mis la base en vente. Pour un particulier, les données exposées peuvent inclure l'identité, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source — jamais de mot de passe ni de coordonnées bancaires, le site impots.gouv.fr n'ayant pas été compromis. Les personnes concernées sont contactées individuellement depuis le lundi 17 août.

Ce qui s'est passé, dans l'ordre

Les accès frauduleux ont eu lieu en juin et juillet 2026, par usurpation des identifiants d'un agent et d'un tiers habilité — pas par une faille technique du site public. Le pirate a ensuite gardé le silence plusieurs semaines avant de revendiquer publiquement l'attaque le 12 août, sous le pseudonyme Zerobytes, en annonçant la mise en vente de la base sur un forum spécialisé. La DGFiP a confirmé les faits deux jours plus tard, le 14 août.

Point important à distinguer : impots.gouv.fr et les espaces particuliers/professionnels n'ont pas été compromis. L'intrusion a visé le système d'information interne de l'administration, pas le portail public sur lequel vous vous connectez.

Ce que le pirate a réellement obtenu

Pour la majorité des 678 000 usagers concernés, les données exposées se limitent à :

• nom et prénom ;
• quotient familial ;
• revenu fiscal de référence ;
• taux de prélèvement à la source.

Pour un nombre plus restreint de dossiers, l'accès a permis de consulter des données cadastrales liées à certains biens immobiliers.

Ce qui n'a, à ce stade, pas été compromis : mots de passe, coordonnées bancaires, numéro de sécurité sociale complet. Ces éléments ne transitent pas par le système visé.

Le vrai risque : pas le vol en lui-même, ce qu'il permet ensuite

Un revenu fiscal de référence n'a en soi aucune valeur monétaire directe pour un escroc. Le danger est ailleurs : ces informations permettent de construire des messages de hameçonnage bien plus convaincants que la moyenne. Un e-mail ou un SMS qui cite votre quotient familial exact, ou évoque un remboursement calculé sur votre revenu réel, paraît nettement plus crédible qu'un message générique — et c'est précisément ce qui pousse à cliquer.

Attendez-vous, dans les semaines qui viennent, à une hausse des tentatives de phishing se faisant passer pour la DGFiP, promettant un remboursement ou menaçant d'un contrôle.

Comment savoir si vous êtes concerné

La DGFiP contacte individuellement les personnes touchées, par courrier ou message dans l'espace particulier, à partir du lundi 17 août 2026, avec le détail précis des données exposées les concernant. Il n'existe pas d'outil de vérification en ligne indépendant fiable à ce jour : méfiez-vous de tout site tiers qui prétendrait vous dire si vous figurez dans la fuite en échange de vos données personnelles.

Ce qu'il faut faire, que vous soyez notifié ou non

1. Ne cliquez sur aucun lien reçu par e-mail ou SMS se présentant comme la DGFiP. L'administration fiscale ne demande jamais de coordonnées bancaires ou de mot de passe par ce biais.
2. Vérifiez l'expéditeur avant toute action : en cas de doute, connectez-vous directement à impots.gouv.fr en tapant l'adresse vous-même, jamais via un lien reçu.
3. Signalez tout message suspect au 33700, gratuitement, par SMS.
4. Surveillez vos comptes dans les mois qui viennent, sans excès de panique : aucune coordonnée bancaire n'a été exposée dans cette fuite.
5. Conservez toute notification officielle reçue de la DGFiP — elle sert de preuve en cas de démarche ultérieure.

---

Un e-mail suspect qui se fait passer pour un fournisseur ou l'administration ?

Après une fuite de cette ampleur, les tentatives d'usurpation se multiplient sur tous les fronts — factures, énergie, télécoms compris. Mon Assistant Perso vérifie pour vous la légitimité d'un message douteux et vous aide à sécuriser vos démarches. Contactez-nous, sans engagement.

---

Pour aller plus loin

• Arnaques par SMS et téléphone : les reconnaître et les signaler
• Prélèvement inconnu : identifier le créancier
• Bloctel fermé et piraté : ce qui change pour le démarchage

Sources : communiqué de la Direction générale des Finances publiques du 14 août 2026 ; revendication publique de l'attaque le 12 août 2026 ; couverture de presse spécialisée en cybersécurité, août 2026.