Le principal danger après le vol de données touchant la DGFiP n’est pas nécessairement l’accès direct à votre espace fiscal. L’administration confirme que les comptes particuliers sur impots.gouv.fr et leurs mots de passe n’ont pas été compromis. Le risque vient surtout d’escrocs capables de rendre leurs messages et appels beaucoup plus crédibles grâce aux informations récupérées : identifiant fiscal, coordonnées, situation familiale, revenu fiscal de référence ou taux de prélèvement à la source. Un interlocuteur qui connaît ces éléments peut sembler légitime. Pourtant, la DGFiP rappelle une règle simple : elle ne demande jamais vos informations confidentielles par courriel, SMS ou téléphone. (DGFiP)
Plus de 350 000 particuliers sont concernés
Dans sa FAQ datée du 24 août, la DGFiP indique qu’un peu plus de 350 000 particuliers sont concernés par le vol de données sensibles.
Des données cadastrales ont également été consultées dans des accès parallèles. (DGFiP)
L’administration informe directement les personnes identifiées.
Le message peut arriver par courriel ou, lorsque la DGFiP ne dispose pas d’une adresse électronique, par courrier.
Ce vrai message possède une caractéristique essentielle : il ne contient pas de lien direct vers votre espace fiscal et ne demande aucune donnée confidentielle.
Un faux courriel qui vous demande de « sécuriser votre compte » en cliquant immédiatement sur un bouton doit donc éveiller les soupçons.
Un escroc peut connaître votre revenu fiscal de référence
La liste des informations potentiellement consultées explique pourquoi les futures arnaques peuvent être convaincantes.
La DGFiP cite l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques.
Des éléments de situation fiscale ont aussi pu être extraits : situation familiale, personnes à charge, nombre de parts, revenu fiscal de référence et taux de prélèvement à la source. (DGFiP)
La liste des messages échangés avec l’administration a également pu être consultée.
Pour moins de 250 contribuables, le contenu de certains messages a pu être extrait, mais pas leurs pièces jointes.
Un fraudeur peut donc connaître plusieurs informations exactes sans être pour autant un agent de l’administration ou un conseiller bancaire.
« Votre remboursement fiscal est bloqué » : méfiez-vous du lien
Les messages de phishing cherchent souvent à créer une urgence.
Un SMS peut annoncer un remboursement d’impôt à confirmer, une anomalie bancaire, un avis impayé ou un prétendu blocage de l’espace fiscal.
Le fraudeur demande ensuite de cliquer sur un lien.
Service-Public recommande au contraire de saisir soi-même l’adresse officielle du site dans son navigateur au lieu d’utiliser un lien reçu par courriel ou SMS. (Service-Public)
La règle doit devenir automatique après cette fuite.
Même si le message cite votre numéro fiscal ou une information familiale exacte, ouvrez vous-même impots.gouv.fr. N’utilisez jamais le lien envoyé pour « vérifier ».
Un faux conseiller bancaire peut utiliser vos informations fiscales
La DGFiP cite explicitement le risque de fraude par manipulation, notamment le faux conseiller bancaire.
Le scénario peut être particulièrement efficace.
L’appelant connaît votre nom, votre téléphone ou votre revenu fiscal. Il explique ensuite qu’une opération suspecte menace votre compte.
Pour la bloquer, il vous demande un code reçu par SMS, une validation dans votre application bancaire ou un virement vers un prétendu « compte sécurisé ».
Ce sont des signaux d’alerte.
Les informations personnelles utilisées par l’appelant peuvent provenir d’une fuite et ne prouvent en rien son identité. (DGFiP)
Raccrochez puis contactez votre banque vous-même avec son numéro habituel.
Faut-il changer le mot de passe de son espace fiscal ?
La DGFiP répond non dans le cadre de cet incident précis.
Les espaces Finances publiques n’ont pas été compromis et le mot de passe n’appartient pas aux données annoncées comme dérobées. (DGFiP)
Un changement reste bien sûr possible par précaution personnelle.
Mais recevoir le courrier d’information ne signifie pas que quelqu’un possède votre mot de passe.
En revanche, ne réutilisez pas le même mot de passe sur plusieurs services.
Service-Public recommande également d’activer la double authentification lorsqu’elle est disponible et de mettre régulièrement les logiciels à jour. (Service-Public)
Aucun agent ne doit vous demander votre code bancaire
La DGFiP formule la consigne sans ambiguïté : aucune information confidentielle n’est demandée par courriel, SMS ou téléphone.
Cela concerne les mots de passe, codes, identifiants sensibles ou coordonnées bancaires. (DGFiP)
Un appel prétendant vérifier votre RIB après la fuite doit donc être interrompu.
Même prudence si l’on vous demande une copie de pièce d’identité.
La DGFiP explique que l’usurpation d’identité nécessiterait généralement que les fraudeurs obtiennent également une copie de documents d’identité.
Envoyer sa carte d’identité à un faux interlocuteur peut donc aggraver considérablement le risque.
Que faire si vous avez déjà cliqué ?
Commencez par conserver les preuves : SMS, courriels, captures d’écran, adresse du faux site et numéro de téléphone.
Si vous avez communiqué une donnée bancaire, contactez rapidement votre banque.
Le service public 17Cyber peut orienter les victimes et aider à identifier la nature de l’incident.
La DGFiP renvoie également vers Cybermalveillance.gouv.fr. En cas de préjudice, une plainte peut être déposée auprès de la police ou de la gendarmerie, via THÉSÉE pour certaines arnaques en ligne ou auprès du procureur. (DGFiP)
Les preuves conservées pourront alors être utiles.
Comment contacter directement la DGFiP ?
Pour une question sur l’incident, la DGFiP indique le 0 809 401 401, numéro non surtaxé.
La messagerie sécurisée de l’espace Finances publiques et les centres des finances publiques restent également accessibles. (DGFiP)
BDC a déjà expliqué comment savoir si ses données fiscales font partie des informations volées.
L’enjeu, désormais, consiste surtout à éviter la deuxième étape de l’attaque : utiliser des données exactes pour convaincre la victime de fournir les informations réellement secrètes.
Un fraudeur peut connaître votre taux de prélèvement à la source. Il ne doit jamais connaître le code que votre banque vient de vous envoyer.
