L’article en bref
- Depuis à la mi-août 2026, la DGFiP envoie un vrai courriel d'information aux 678 000 personnes concernées par le piratage.
- Le message légitime provient de no-reply@dgfip.finances.gouv.fr, ne contient aucun lien et ne demande aucune information.
- Tout message qui vous invite à cliquer, payer ou « sécuriser votre compte » est frauduleux, quelle que soit sa qualité.
- Les fraudeurs peuvent citer vos vraies données fiscales volées pour rendre leurs messages crédibles.
- Réflexe unique : ne jamais cliquer, taper impots.gouv.fr dans le navigateur et vérifier depuis votre espace.
- Signalement possible via Signal Spam, le 33700, Pharos ou une plainte en ligne THESEE selon le cas.
Le courriel officiel existe bel et bien : la DGFiP écrit depuis la mi-août 2026 aux personnes concernées par le piratage de juin-juillet. Le vrai message provient de no-reply@dgfip.finances.gouv.fr, porte l'objet « Consultation illégitime de vos informations fiscales », ne contient aucun lien et ne demande rien : ni mot de passe, ni coordonnées bancaires, ni paiement. Tout message qui vous fait cliquer ou payer est frauduleux. En cas de doute, tapez impots.gouv.fr directement dans votre navigateur.
Faits et sources vérifiés le 21 août 2026 à 18 h 20.
Pourquoi cette question se pose-t-elle maintenant ?
Le ministère de l'Économie a annoncé le 14 août 2026 des accès illégitimes au système d'information de la DGFiP, touchant 678 000 particuliers et professionnels. L'administration a commencé le 17 août à informer individuellement chaque personne concernée, par courriel ou par courrier. Des centaines de milliers de contribuables reçoivent donc, en ce moment même, un message des impôts évoquant un piratage. Terrain idéal pour les fraudeurs : la CNIL alertait dès le 24 juin 2026 sur des escroqueries visant spécifiquement les victimes de violations de données, avec de faux organismes d'accompagnement et une usurpation de son propre numéro de téléphone.
Le danger est réel pour une raison précise : les données volées sont authentiques. Un fraudeur qui connaît votre revenu fiscal de référence, votre taux de prélèvement à la source ou l'adresse de votre bien immobilier peut construire un faux message des impôts, de votre banque ou d'un organisme social bien plus convaincant qu'un phishing ordinaire. La vraisemblance du message ne prouve donc plus rien : seuls des critères techniques permettent de trancher.
À quoi ressemble le vrai message de la DGFiP ?
Selon les précisions apportées par la direction générale des Finances publiques à la mi-août 2026 et relayées par la presse, le courriel légitime présente quatre caractéristiques constantes. La forme exacte du texte intégral n'a pas été publiée officiellement, mais ces critères, eux, sont documentés :
- L'expéditeur : no-reply@dgfip.finances.gouv.fr. Ce qui suit l'arobase est l'élément le plus difficile à falsifier : vérifiez que l'adresse se termine exactement par @dgfip.finances.gouv.fr.
- L'objet : « Consultation illégitime de vos informations fiscales ».
- Aucun lien : le message n'invite à cliquer nulle part, ni vers votre espace fiscal ni vers un quelconque formulaire. C'est le marqueur le plus fiable pour écarter les imitations.
- Aucune demande : ni mot de passe, ni coordonnées bancaires, ni pièce d'identité, ni paiement. Le message se contente d'indiquer les catégories de données susceptibles d'avoir été consultées et les précautions à prendre.
Les personnes dont l'administration ne connaît pas l'adresse électronique reçoivent un courrier postal. Ces critères rejoignent les règles générales rappelées de longue date par la DGFiP et cybermalveillance.gouv.fr : l'administration fiscale ne demande jamais vos coordonnées bancaires ou votre mot de passe par courriel ou SMS, et tout remboursement s'opère sans que vous ayez rien à saisir.
Ce qui est confirmé, ce qui ne l'est pas
Confirmé
L'incident lui-même : accès illégitimes en juin-juillet 2026, découverts les 12-13 août, 678 000 personnes concernées, données fiscales, cadastrales et SIREN consultées ou extraites (communiqué du 14 août 2026, vérifié le 21 août). L'information individuelle des personnes, par courriel ou courrier, depuis le 17 août. La saisine de la CNIL, qui a confirmé le 18 août mener des vérifications. Les caractéristiques du courriel officiel : expéditeur, objet, absence de lien et de toute demande, selon les déclarations de la DGFiP relayées par la presse le 17 août.
Non confirmé
L'identité de l'auteur du piratage n'a fait l'objet d'aucune attribution officielle. L'ampleur exacte de l'extraction reste qualifiée d'« extraction possible » par le communiqué. Enfin, aucune statistique officielle ne mesure à ce jour le volume de faux messages exploitant l'incident : leur existence relève de l'alerte préventive de la CNIL et de signalements de presse, pas d'un décompte établi.
Vraies données, faux messages : quels risques, quelles actions ?
| Donnée volée | Risque d'exploitation | Action utile |
|---|---|---|
| Revenu fiscal de référence, taux de prélèvement | Faux mail ou SMS des impôts annonçant un remboursement ou un rappel, crédibilisé par vos vrais chiffres | Ne pas cliquer ; vérifier depuis votre espace sur impots.gouv.fr, tapé à la main |
| Quotient familial, composition du foyer | Faux messages d'organismes sociaux (CAF, assurance maladie) adaptés à votre situation familiale | Contacter l'organisme par ses canaux officiels ; ne jamais rappeler un numéro fourni par le message |
| Adresses et données cadastrales | Faux courriers ou démarchages ciblés : taxes locales, diagnostics, travaux obligatoires | Vérifier toute demande de paiement auprès du service concerné avant tout versement |
| Raison sociale, SIREN (professionnels) | Fraude au virement, faux courriers de l'administration adressés à l'entreprise | Alerter les équipes comptables ; verrouiller tout changement de coordonnées bancaires |
Comment vérifier sans cliquer ?
Le réflexe tient en une règle : ne jamais passer par le message reçu. Ouvrez votre navigateur, tapez vous-même impots.gouv.fr, connectez-vous à votre espace et consultez votre messagerie sécurisée. Les communications authentiques de l'administration fiscale s'y retrouvent. Si un message prétend qu'une démarche urgente vous attend et que votre espace n'en montre aucune trace, l'affaire est entendue.
Trois vérifications complémentaires prennent moins d'une minute. Contrôlez l'adresse complète de l'expéditeur, pas seulement le nom affiché : un « Direction Générale des Finances Publiques » affiché peut cacher n'importe quelle adresse. Recherchez la présence d'un lien ou d'une pièce jointe : le vrai message d'information sur le piratage n'en contient aucun. Méfiez-vous enfin de toute urgence artificielle : menace de pénalité, remboursement à valider « sous 48 heures », compte « suspendu ». L'administration ne fonctionne pas ainsi.
Vous avez cliqué ou répondu : que faire ?
Cliquer sur un lien, en soi, suffit rarement à compromettre vos comptes. Tout dépend de ce que vous avez saisi ensuite. Si vous n'avez rien renseigné, fermez la page, supprimez le message et signalez-le. Par précaution, lancez un antivirus à jour si une pièce jointe a été ouverte.
Si vous avez saisi vos identifiants impots.gouv.fr, changez immédiatement votre mot de passe depuis le site officiel, ainsi que sur tout autre compte utilisant le même mot de passe, et surveillez votre espace fiscal. Si vous avez communiqué des coordonnées bancaires, contactez votre banque sans délai pour faire opposition et surveillez vos comptes : en cas d'opération non autorisée, signalez-la à votre banque sans tarder – le Code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées, sauf fraude ou négligence grave de l'utilisateur (articles L. 133-18 et L. 133-19). Conservez toutes les preuves : message reçu, captures d'écran, relevés. Dans les situations les plus graves, l'appui d'un avocat en cybercriminalité permet d'organiser la plainte et les demandes d'indemnisation. Chaque situation est particulière.
Où signaler un faux message ?
- Courriel frauduleux : transférez-le à Signal Spam (signal-spam.fr), qui alimente les autorités, et supprimez-le.
- SMS ou appel frauduleux : transférez le SMS au 33700, le dispositif national de signalement des spams par SMS et appels.
- Contenu illicite en ligne (faux site des impôts, par exemple) : signalez-le sur Pharos, la plateforme officielle internet-signalement.gouv.fr.
- Vous avez subi un préjudice (paiement effectué, compte débité) : déposez plainte, y compris en ligne via THESEE pour les e-escroqueries, accessible depuis service-public.fr, ou auprès de votre commissariat ou gendarmerie.
- Pour être guidé : cybermalveillance.gouv.fr propose un diagnostic et des fiches réflexes adaptées.
Sur le plan pénal, ces faux messages tombent sous plusieurs qualifications : l'escroquerie, punie de 5 ans d'emprisonnement et 375 000 € d'amende (article 313-1 du Code pénal), l'usurpation d'identité, punie d'un an et 15 000 € (article 226-4-1), et la collecte de données personnelles par un moyen frauduleux, punie de 5 ans et 300 000 € (article 226-18). Si vos données personnelles sont réutilisées à votre détriment, un avocat en violation de données personnelles peut vous aider à faire valoir vos droits.
Chronologie
- Juin – juillet 2026 : accès illégitimes au système d'information de la DGFiP.
- 24 juin 2026 : alerte de la CNIL sur les arnaques visant les victimes de violations de données.
- 12 – 13 août 2026 : découverte des accès à la suite d'une revendication.
- 14 août 2026 : communiqué du ministère de l'Économie, 678 000 personnes concernées.
- 17 août 2026 : début de l'envoi du courriel officiel d'information ; la DGFiP en précise les caractéristiques.
- 18 août 2026 : point d'étape de la CNIL, appel à la vigilance face au phishing.
- 21 août 2026 : dernière vérification des faits et sources pour cet article, à 18 h 20.
Questions fréquentes sur le mail de la DGFiP
Le mail des impôts annonçant un piratage est-il vrai ?
Il peut l'être : la DGFiP envoie réellement, depuis la mi-août 2026, un courriel d'information aux 678 000 personnes concernées. Vérifiez l'expéditeur (no-reply@dgfip.finances.gouv.fr), l'objet (« Consultation illégitime de vos informations fiscales ») et surtout l'absence de tout lien et de toute demande.
Quelle est l'adresse d'expéditeur du vrai message ?
no-reply@dgfip.finances.gouv.fr. Contrôlez l'adresse complète, pas le nom affiché : ce qui suit l'arobase doit être exactement dgfip.finances.gouv.fr. Toute variante (tirets, autre domaine, .com) signale une imitation.
Le vrai mail de la DGFiP contient-il un lien ?
Non. Selon les précisions de la DGFiP, le message officiel ne contient aucun lien et n'appelle aucune action. Un message qui vous invite à cliquer pour « consulter les données concernées » ou « sécuriser votre compte » est frauduleux.
Le message officiel demande-t-il des coordonnées bancaires ?
Jamais. Il ne demande ni coordonnées bancaires, ni mot de passe, ni pièce d'identité, ni paiement. L'administration fiscale n'exige aucune de ces informations par courriel ou SMS ; les remboursements s'opèrent sans saisie de votre part.
J'ai cliqué sur un lien dans un faux mail des impôts : que faire ?
Si vous n'avez rien saisi, supprimez le message et signalez-le. Si vous avez saisi des identifiants, changez immédiatement vos mots de passe depuis le site officiel. Si vous avez communiqué des données bancaires, contactez votre banque pour faire opposition et signalez toute opération non autorisée sans tarder.
Où signaler un faux mail ou un faux SMS des impôts ?
Les courriels à Signal Spam, les SMS au 33700, les faux sites sur Pharos (internet-signalement.gouv.fr). En cas de préjudice, déposez plainte, y compris en ligne via THESEE pour les e-escroqueries. Cybermalveillance.gouv.fr vous oriente selon votre situation.
Que risquent les auteurs de ces faux messages ?
L'escroquerie est punie de 5 ans d'emprisonnement et 375 000 € d'amende (article 313-1 du Code pénal), l'usurpation d'identité d'un an et 15 000 € (article 226-4-1), et la collecte frauduleuse de données personnelles de 5 ans et 300 000 € (article 226-18).
Sources officielles
- Ministère de l'Économie, communiqué de presse du 14 août 2026 sur les accès illégitimes au système d'information de la DGFiP – presse.economie.gouv.fr
- DGFiP, actualité « Accès illégitimes au système d'information de la DGFiP » – impots.gouv.fr
- CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026 – cnil.fr
- CNIL, alerte du 24 juin 2026 sur les arnaques visant les victimes de violations de données – cnil.fr
- Articles 313-1, 226-4-1 et 226-18 du Code pénal – Légifrance
- Articles L. 133-18 et L. 133-19 du Code monétaire et financier – Légifrance
- Plateforme Pharos, signalement des contenus illicites – internet-signalement.gouv.fr ; plainte en ligne THESEE – service-public.fr
Pour savoir si vous faites partie des personnes concernées et connaître vos droits, consultez notre article : piratage des impôts, comment savoir si je suis concerné par la fuite de données ?
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026 à 18 h 20. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
