Bercy a confirmé le 14 août 2026 le vol de données concernant 678 000 particuliers et professionnels de la DGFiP : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, adresses et surfaces cadastrales. Les identifiants et les mots de passe n’ont pas été compromis. Le risque principal reste l’escroquerie ciblée, par message ou par téléphone.
Le périmètre exact du vol, selon Bercy
Les 12 et 13 août 2026, un acteur malveillant a revendiqué des accès illégitimes au système d’information de la DGFiP. Les intrusions remontent à juin et juillet 2026 et reposent sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Le communiqué de presse n° 953 du 14 août 2026 chiffre le vol à 678 000 particuliers et professionnels.
La foire aux questions publiée par Bercy le 21 août donne la liste précise des données qui ont pu être consultées : identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source, et la liste des messages échangés avec l’administration par la messagerie sécurisée. Pour les entreprises, la raison sociale et le SIREN. Le communiqué ajoute la consultation de données cadastrales portant sur les adresses et les surfaces de biens immobiliers.
Trois précisions comptent autant que la liste. Les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis. Les identifiants et les mots de passe non plus. Et par précaution, la double authentification valable six mois sur un même navigateur a été réinitialisée le 20 août pour l’ensemble des usagers particuliers : si votre prochaine connexion à impots.gouv.fr vous redemande un code, c’est normal.
L’affaire n’est pas close. La page d’actualité de la DGFiP a encore été modifiée le 23 août et signale une vulnérabilité technique découverte le 17 août sur le portail des successions vacantes, qui ne contient que des données publiques. Les investigations se poursuivent pour établir le volume exact des données extraites et le nombre définitif d’usagers concernés. Le chiffre de 678 000 est un plancher confirmé, pas un total arrêté.
Pourquoi ces données valent cher pour un escroc
Un numéro de carte bancaire se révoque en dix minutes. Un revenu fiscal de référence, non. C’est là que se situe la difficulté de cet incident : les informations extraites ne servent pas à débiter un compte, elles servent à fabriquer une conversation crédible.
Prenez le point de vue de celui qui achète ce fichier. Le revenu fiscal de référence lui permet de trier et de ne garder que les foyers au-dessus d’un certain seuil. Le nombre de parts lui dit s’il parle à un couple, à un célibataire, à une famille. Les données cadastrales lui donnent l’adresse et la surface du bien. Le taux de prélèvement à la source achève le portrait. Un appel qui commence par votre adresse exacte, votre situation de famille et le montant approximatif de vos revenus ne ressemble plus du tout à une arnaque.
La fraude au faux conseiller bancaire
C’est le scénario que Bercy cite en premier dans sa foire aux questions. Un appel, une voix calme, le nom de votre banque, une opération suspecte à bloquer d’urgence, et la demande de valider une manipulation dans votre application. La victime ne donne aucun code : elle valide elle-même le virement, persuadée de le stopper. Aucune banque ne demande jamais de valider une opération pour l’annuler.
Le changement de coordonnées bancaires
Ce second scénario vise directement les opérations patrimoniales. Un acte de vente en cours chez le notaire, un rachat partiel sur un contrat, un appel de fonds sur un programme immobilier : le fraudeur s’intercale et transmet un nouveau relevé d’identité bancaire par courriel, en invoquant un changement d’établissement. Les sommes en jeu sont importantes et l’ordre est donné en confiance. La règle est simple : tout changement de coordonnées bancaires se vérifie par un appel sortant, sur un numéro que vous connaissiez déjà, jamais sur celui indiqué dans le message.
Les réflexes à installer maintenant
Aucun de ces gestes n’est technique. Ils tiennent tous à une même discipline : reprendre la main sur le canal de communication au lieu de suivre celui qu’on vous impose.
| Situation | Le bon réflexe |
|---|---|
| Un courriel se présente comme venant des impôts | Vérifier le domaine de l’expéditeur. La DGFiP écrit depuis @dgfip.finances.gouv.fr ou @authentification.impots.gouv.fr |
| Le message contient un lien vers votre espace | Ne pas cliquer. Taper impots.gouv.fr dans le navigateur ou passer par l’application |
| On vous demande un code, un mot de passe, un numéro de carte | Raccrocher. L’administration fiscale ne demande jamais ces informations par courriel, SMS ou téléphone |
| Un interlocuteur invoque l’urgence | Prendre le temps. L’urgence et la peur sont les deux leviers de la manipulation |
| On vous transmet un nouveau RIB | Appeler l’interlocuteur sur son numéro habituel avant tout virement, sans exception |
| Vous doutez d’un message reçu | Contacter votre service des impôts par la messagerie de votre espace ou par téléphone, jamais en répondant au message |
Un point mérite d’être dit clairement à ceux qui ont reçu le courriel du 17 août : il n’y a rien à faire d’autre. Aucun formulaire à remplir, aucune démarche à engager auprès de la DGFiP, aucun changement de mot de passe imposé. Si un message vous demande une action après ce courriel, c’est justement le signal d’alerte.
FICOBA en février, la DGFiP en août : deux dossiers distincts
La confusion s’installe déjà entre deux incidents séparés par six mois. Le premier concerne le fichier national des comptes bancaires. Fin janvier 2026, un acteur malveillant ayant usurpé les identifiants d’un fonctionnaire a consulté une partie de ce fichier. Selon la page d’information de la DGFiP consacrée à FICOBA, l’extraction concernerait 1,2 million de comptes, avec les coordonnées bancaires, l’identité du titulaire et l’adresse. La mise à jour du 27 février précise que l’identifiant fiscal n’a pas été consulté lors de ces accès.
| Comparaison | FICOBA, février 2026 | DGFiP, août 2026 |
|---|---|---|
| Période des accès | À compter de fin janvier 2026 | Juin et juillet 2026, revendiqués les 12 et 13 août |
| Volume annoncé | Environ 1,2 million de comptes | 678 000 particuliers et professionnels, investigations en cours |
| Nature des données | Coordonnées bancaires, identité du titulaire, adresse | Situation fiscale, état civil, coordonnées, données cadastrales |
| Identifiant fiscal | Non consulté | Figure dans la liste des données consultables |
| Mots de passe | n. c. | Non compromis, espaces usagers intacts |
Un même foyer peut figurer dans les deux fichiers. Coordonnées bancaires d’un côté, situation fiscale et adresse cadastrale de l’autre : le recoupement, s’il a lieu, donne à un fraudeur un dossier très complet. Rien ne permet d’affirmer aujourd’hui que ce rapprochement a été fait. La prudence consiste à raisonner comme s’il l’avait été.
Signaler, porter plainte, faire valoir ses droits
La DGFiP a saisi la CNIL et annoncé un dépôt de plainte. Du côté des usagers, la marche à suivre en cas de tentative de fraude tient en trois étapes. Conserver les preuves d’abord : messages, adresse du site, captures d’écran. Signaler ensuite sur cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes. Déposer plainte enfin auprès de la police ou de la gendarmerie, ce qui peut se faire en ligne depuis la plateforme THÉSÉE pour les escroqueries commises sur internet.
Si un virement frauduleux a été exécuté, contactez votre banque sans attendre : le délai de réaction conditionne souvent les chances de rappel des fonds. Et pour les dirigeants, la vigilance s’étend à l’entreprise, puisque la raison sociale et le SIREN figurent parmi les données extraites. La fraude au président utilise exactement ce type d’informations pour habiller un faux ordre de paiement.
Vous avez reçu le message de la DGFiP et vous vous demandez si vos opérations en cours sont exposées, un acte de vente, un arbitrage, un rachat ? Nous faisons le point avec vous sur les circuits de paiement de votre patrimoine. Prendre rendez-vous avec le cabinet.
Questions fréquentes
Comment savoir si je suis concerné par le vol de données ?
La DGFiP contacte individuellement chaque personne concernée depuis le lundi 17 août 2026, par courriel, ou par courrier si l’administration ne dispose pas de votre adresse électronique. Le message précise les données susceptibles d’avoir été consultées. Aucune démarche n’est à engager de votre côté pour le savoir.
Mon compte impots.gouv.fr a-t-il été piraté ?
Non. Bercy indique que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis, et que les identifiants et mots de passe n’ont pas fuité. L’attaque a visé des applications internes, par l’usurpation des identifiants d’un agent et d’un tiers habilité.
Mes comptes bancaires et mes placements sont-ils accessibles ?
Les données extraites en août ne comprennent ni solde de compte, ni détail de portefeuille, ni contrat d’assurance vie. L’incident distinct de février 2026 sur le fichier FICOBA portait, lui, sur des coordonnées bancaires, sans les soldes ni les mouvements. Un IBAN seul ne permet pas de retirer des fonds, il permet en revanche de rendre une escroquerie plus crédible.
Dois-je changer mon mot de passe des impôts ?
Ce changement n’est pas demandé par l’administration puisque les mots de passe n’ont pas été compromis. La double authentification a été réinitialisée le 20 août pour tous les particuliers, ce qui peut vous obliger à ressaisir un code à la prochaine connexion. Si vous utilisez le même mot de passe sur plusieurs sites, le renouveler reste une bonne habitude, indépendamment de cet incident.
Puis-je demander une indemnisation ?
Une action en réparation suppose de démontrer un préjudice personnel, ce qui n’est pas le cas de la simple exposition des données. Des cabinets d’avocats organisent des actions groupées. Avant d’y adhérer, vérifiez qui la porte, ce qu’elle coûte et ce qu’elle réclame concrètement. La réclamation auprès de la CNIL, elle, est gratuite.
Que se passe-t-il si un virement frauduleux a été validé ?
Prévenez immédiatement votre banque pour tenter un rappel de fonds, conservez toutes les traces, signalez sur cybermalveillance.gouv.fr et déposez plainte. Le remboursement dépend des circonstances, en particulier de la question de savoir si vous avez vous-même validé l’opération, point sur lequel les banques et les tribunaux apprécient au cas par cas.
Vous suivez aussi les actifs numériques ? Le cabinet publie chaque semaine sa lettre crypto, avec la réglementation, la fiscalité et les mouvements de marché. S’inscrire à la newsletter crypto hebdomadaire.
Pour aller plus loin sur la structuration et la protection de votre patrimoine, vous pouvez consulter nos pages fiscalité, ingénierie patrimoniale et immobilier, découvrir le cabinet ou parcourir nos autres actualités.
Cet article constitue une information générale et ne vaut pas conseil personnalisé. Tout investissement comporte un risque de perte en capital, renforcé par la volatilité sur les actifs numériques. Les informations sont à jour au mois d’août 2026, sous réserve de la loi de finances en vigueur et de l’évolution des communications officielles sur cet incident, dont les investigations se poursuivent.
Louis Alexandre de Froissard, Montaigne Patrimoine
