Un courriel de la DGFiP reçu depuis le 17 août mérite cette fois une attention particulière. L’administration fiscale informe individuellement les personnes concernées par des accès illégitimes survenus en juin et juillet 2026. Les investigations ont établi que des données de particuliers et de professionnels avaient été consultées ou extraites. Identifiant fiscal, revenu fiscal de référence, situation familiale, coordonnées ou taux de prélèvement à la source peuvent notamment être concernés. Les espaces personnels et leurs mots de passe n’ont toutefois pas été compromis. Le principal danger vient désormais des arnaques rendues plus crédibles par ces informations. Ministère de l’Économie – FAQ DGFiP
La DGFiP contacte directement les personnes identifiées
Depuis le 17 août 2026, la DGFiP adresse une information individuelle aux usagers dont les données figurent parmi celles compromises.
Lorsque l’administration dispose d’une adresse électronique, l’information arrive par courriel. À défaut, un courrier postal peut être envoyé.
Le ministère de l’Économie a publié le 21 août une FAQ consacrée aux accès illégitimes au système de la DGFiP.
L’absence de message ne permet toutefois pas de conclure qu’aucune donnée n’a jamais circulé ailleurs. Elle signifie simplement que la DGFiP ne vous a pas identifié, à ce stade, parmi les personnes concernées par cet incident précis.
Inversement, recevoir ce courriel ne signifie pas que quelqu’un connaît le mot de passe de votre espace fiscal.
La DGFiP précise que les espaces particuliers et professionnels n’ont pas été compromis. Les identifiants de connexion et mots de passe des usagers ne figurent pas parmi les éléments annoncés comme volés.
Quelles informations ont pu être récupérées ?
La liste explique pourquoi la vigilance doit rester élevée.
Les personnes malveillantes ont pu consulter l’identifiant fiscal, l’état civil et les coordonnées postales, téléphoniques ou électroniques.
Des informations fiscales apparaissent aussi dans le périmètre : situation familiale, personnes à charge, nombre de parts, revenu fiscal de référence et taux de prélèvement à la source.
Enfin, la liste des échanges avec la DGFiP via la messagerie d’impots.gouv.fr a pu être accessible. FAQ officielle
Ces données ne donnent pas directement accès à un compte bancaire.
En revanche, elles permettent de construire des scénarios d’escroquerie particulièrement convaincants.
Un fraudeur qui connaît votre nom, votre revenu fiscal ou un élément de votre situation familiale paraît beaucoup plus crédible qu’un expéditeur anonyme.
BDC avait déjà alerté sur les usurpations d’identité utilisées dans les arnaques en ligne et sur les attaques touchant les données personnelles détenues par les services publics.
L’incident DGFiP augmente donc surtout le risque de fraude ciblée.
Comment reconnaître un vrai message de la DGFiP ?
Premier réflexe : ne jamais juger un courriel uniquement sur son logo.
Une copie visuelle d’un message administratif se réalise facilement.
La DGFiP indique que ses adresses électroniques se terminent notamment par @dgfip.finances.gouv.fr ou @authentification.impots.gouv.fr. FAQ officielle
Cependant, vérifier l’expéditeur ne suffit pas toujours.
Le moyen le plus sûr reste de ne pas utiliser le lien contenu dans un message inattendu.
Ouvrez vous-même le site officiel ou l’application impots.gouv.fr.
Le ministère rappelle également que l’administration fiscale ne demande jamais par mail, SMS ou téléphone des informations confidentielles comme un mot de passe ou des coordonnées bancaires.
Une demande urgente de validation de carte bancaire constitue donc un signal d’alerte.
Même prudence avec un appel téléphonique.
Un interlocuteur peut connaître votre revenu fiscal et rester un escroc.
Le faux conseiller bancaire devient un risque majeur
La DGFiP cite explicitement les fraudes par manipulation, notamment celle du faux conseiller bancaire.
Le scénario peut commencer par un appel très rassurant.
Le fraudeur affirme avoir repéré une opération suspecte. Il fournit ensuite plusieurs informations exactes pour gagner votre confiance.
Puis il demande de confirmer un code reçu par SMS, de transférer de l’argent vers un « compte sécurisé » ou d’autoriser une opération.
Ces demandes doivent provoquer un arrêt immédiat de la conversation.
Raccrochez, puis appelez votre banque au numéro habituel.
BDC a déjà détaillé cette mécanique dans son article consacré à l’arnaque au prélèvement bancaire et aux réflexes de protection.
Aucun degré de connaissance de votre dossier ne prouve l’identité de l’appelant.
Pourquoi la double authentification a-t-elle été réinitialisée ?
Par précaution, la DGFiP a réinitialisé le 20 août la validation permettant de conserver un navigateur authentifié pendant six mois.
Tous les particuliers sont concernés par cette réinitialisation, pas seulement les victimes identifiées.
Ainsi, une nouvelle demande d’authentification n’indique pas nécessairement que votre propre dossier a été volé.
Cette distinction évite une inquiétude inutile.
En revanche, une notification d’accès que vous ne reconnaissez pas doit être examinée immédiatement depuis le site officiel.
Que faire si une fraude a déjà commencé ?
Conservez les preuves.
Captures d’écran, courriels, SMS, numéro de téléphone, adresse du faux site et relevés bancaires peuvent devenir utiles.
Le ministère recommande de signaler les tentatives sur Cybermalveillance.gouv.fr. Lorsqu’une infraction est constituée, une plainte peut également être déposée auprès de la police ou de la gendarmerie. La plateforme THÉSÉE permet certaines démarches en ligne. FAQ officielle
Si des données bancaires ont été communiquées, contactez la banque immédiatement.
En cas de débit étrange, n’attendez pas plusieurs jours pour comprendre son origine. BDC rappelle les premières vérifications dans son guide sur les prélèvements bancaires inconnus.
Le vol annoncé par la DGFiP n’implique donc pas que votre argent a déjà disparu. Il augmente surtout la crédibilité des escroqueries qui pourraient suivre.
Depuis le 17 août, le bon réflexe tient en une règle : prendre au sérieux le message d’information, mais ne jamais laisser ce message devenir lui-même la porte d’entrée d’une fraude.
