Piratage de données des impôts : risques réels et que faire
Intrusions dans les systèmes de la DGFiP en 2026 : ce que disent les sources officielles, les vrais risques (hameçonnage) et les bons réflexes.
Depuis l'annonce, en août 2026, d'un vol de données au sein de l'administration fiscale, beaucoup de contribuables s'inquiètent. Cet article s'en tient aux faits publiés par les sources officielles (la DGFiP sur impots.gouv.fr et la CNIL), distingue ce qui est établi de ce qui ne l'est pas, et explique le risque concret : les faux courriers qui se font passer pour le fisc.
Ce que disent les sources officielles
- L'annonce. La DGFiP a publié le 14 août 2026 (page mise à jour le 14 septembre) une information sur des accès illégitimes à son système d'information, intervenus en juin, juillet et août 2026, après qu'un acteur malveillant a revendiqué un vol de données les 12 et 13 août.
- Ce qui n'est pas touché. La DGFiP indique que le site impots.gouv.fr et les espaces des usagers, particuliers et professionnels, n'ont pas été compromis. Selon la CNIL, les identifiants et mots de passe ne seraient pas concernés.
- Les données évoquées par la CNIL. Des informations fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale d'entreprises) et des données cadastrales (adresses et surfaces de biens).
- Le portail des successions vacantes. Une vulnérabilité y a été découverte le 17 août ; la DGFiP précise qu'il ne contient que des données publiques.
- Les suites. Le ministère a notifié la violation à la CNIL, qui vérifie les mesures de sécurité et peut sanctionner un manquement au RGPD. Elle indique ne pas avoir besoin de plaintes individuelles, sauf élément utile à l'enquête.
Ce qui n'est pas établi
La page officielle de la DGFiP ne chiffre pas le nombre de personnes concernées. La presse et le pirate avancent des chiffres, qui divergent selon les sources : nous ne les reprenons pas. Les personnes concernées doivent être prévenues individuellement par l'administration, par courriel ou par courrier. Il n'existe pas d'outil public pour vérifier soi-même si l'on figure dans le fichier.
Le risque réel : l'hameçonnage ciblé
Des données exactes sur votre situation fiscale permettent à un fraudeur de rédiger un message crédible : il connaît votre revenu de référence, votre adresse, la composition de votre foyer. La CNIL met précisément en garde contre l'hameçonnage fondé sur les données volées et contre toute demande « urgente » par courriel ou par téléphone. Le scénario le plus dangereux pour un contribuable est le faux contrôle fiscal : un message qui annonce une régularisation, un remboursement ou une pénalité à payer immédiatement.
Comment reconnaître un vrai courrier de contrôle
- Un avis de vérification arrive par courrier recommandé, avec le nom du vérificateur, les années et les impôts concernés, et la mention de votre droit à être assisté par un conseil. Il ne se règle jamais par un lien reçu par courriel.
- Une proposition de rectification est une lettre motivée, qui chiffre chaque rectification et fixe un délai de réponse. Elle n'exige aucun paiement immédiat.
- Un message qui réclame un paiement sous 24 heures, un virement vers un compte inconnu ou vos coordonnées bancaires n'est pas une procédure de contrôle.
Les bons réflexes
- Ne cliquez sur aucun lien d'un message qui prétend venir des impôts. Ouvrez vous-même votre espace en saisissant l'adresse impots.gouv.fr.
- Ne communiquez jamais vos identifiants, un code reçu par SMS ou votre numéro de carte bancaire à un interlocuteur qui vous a contacté.
- Rappelez par un numéro officiel si un appel cite votre situation fiscale : le fait que l'interlocuteur connaisse vos revenus ne prouve rien.
- Surveillez vos comptes et signalez toute anomalie à votre banque.
- Conservez les messages douteux et signalez-les aux dispositifs officiels de lutte contre l'hameçonnage.
- En cas de doute sur un vrai courrier, faites-le lire à un conseil avant de répondre ou de payer.
Ce que cela change pour un contrôle fiscal
Rien, juridiquement : un vol de données n'a aucun effet sur vos obligations ni sur vos droits dans une procédure. En revanche, il rend plus risquée la confusion entre vrai et faux courrier. Quand l'administration s'appuie sur ses propres outils de ciblage, voir notre analyse du bilan 2025 du contrôle fiscal, vous recevrez un courrier officiel, avec des délais écrits.
Vous avez reçu un courrier dont vous ne savez pas s'il est authentique ? Envoyez-le-nous : un ancien contrôleur le lit sous 48 heures et vous dit s'il s'agit d'une vraie procédure. L'analyse est gratuite : faire analyser mon courrier.