Journal de mise à jour
- 21/08/2026 – repositionnement question lecteur + mise à jour des faits (dernière vérification des sources : 21 août 2026 à 18 h 20)
- 21/08/2026 – publication initiale
L’article en bref
- La DGFiP informe individuellement chacune des 678 000 personnes concernées, par courriel ou par courrier, depuis la mi-août 2026.
- Le courriel officiel provient de no-reply@dgfip.finances.gouv.fr, ne contient aucun lien et ne demande aucune information.
- Données consultées : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN, données cadastrales.
- Les espaces impots.gouv.fr, identifiants et mots de passe des usagers ne sont pas compromis, selon le communiqué officiel.
- La CNIL, saisie, indique qu'une plainte individuelle auprès d'elle n'est pas nécessaire, sauf élément spécifique.
- Le principal risque est le phishing ciblé : des fraudeurs peuvent exploiter les vraies données volées pour crédibiliser leurs arnaques.
Vous êtes concerné si vous recevez un courriel de no-reply@dgfip.finances.gouv.fr avec l'objet « Consultation illégitime de vos informations fiscales », ou un courrier postal équivalent. La DGFiP informe individuellement chacune des 678 000 personnes touchées depuis la mi-août 2026. Sans message de sa part, rien n'indique que vous soyez concerné. Le message officiel ne contient aucun lien et ne demande rien. Vos espace, identifiant et mot de passe impots.gouv.fr ne sont pas compromis.
Comment savoir si vous faites partie des 678 000 personnes concernées ?
Il n'existe pas d'outil public de vérification : c'est l'administration qui vient vers vous, pas l'inverse. La DGFiP a commencé à la mi-août 2026 à informer individuellement les personnes dont les données ont été consultées ou extraites, par courriel lorsqu'une adresse est connue, par courrier postal à défaut. Le communiqué du ministère de l'Économie du 14 août 2026 annonçait cette information individuelle, précisant pour chacun les catégories de données en cause.
Selon les précisions apportées par la direction générale des Finances publiques et relayées par la presse le 17 août, le courriel officiel présente trois caractéristiques vérifiables. L'expéditeur est no-reply@dgfip.finances.gouv.fr : ce qui suit l'arobase est l'élément le plus difficile à falsifier. L'objet est « Consultation illégitime de vos informations fiscales ». Surtout, le message ne contient aucun lien et ne demande aucune information : ni mot de passe, ni coordonnées bancaires, ni pièce d'identité. Tout message qui vous invite à cliquer pour « consulter les données concernées » ou « sécuriser votre compte » est donc frauduleux. Nous détaillons ces critères de vérification dans notre article dédié : le mail de la DGFiP après le piratage est-il vrai ou frauduleux ?
Si vous ne recevez rien, rien n'indique, en l'état des informations officielles, que vos données figurent parmi celles consultées. Vous pouvez vérifier à tout moment votre situation en vous connectant directement à impots.gouv.fr, en tapant l'adresse dans votre navigateur, jamais depuis un lien reçu.
Ce qui est confirmé, ce qui ne l'est pas
Les faits confirmés
Le ministère de l'Économie a publié un communiqué de presse le 14 août 2026 (vérifié le 21 août 2026 à 18 h 20). Des accès illégitimes au système d'information de la direction générale des Finances publiques (DGFiP) ont eu lieu en juin et juillet 2026. Ils ont été découverts les 12 et 13 août, à la suite d'une revendication. Le mode opératoire annoncé : l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité.
Le chiffre officiel est de 678 000 particuliers et professionnels concernés ; la presse évoque environ 350 000 particuliers parmi eux, chiffre non repris dans le communiqué. Les données consultées ou extraites sont, selon le communiqué : le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source pour les particuliers ; la raison sociale et le numéro SIREN pour les professionnels ; des données cadastrales, dont des adresses et des surfaces de biens.
Côté mesures : coupure immédiate des accès compromis, coupures préventives de systèmes sensibles, saisine de la CNIL et travail avec le haut fonctionnaire de défense et de sécurité des ministères économiques et financiers et l'ANSSI. La CNIL a publié le 18 août 2026 un point d'étape (vérifié le 21 août 2026) : saisie de l'incident, elle mènera des vérifications sur les mesures de sécurité mises en œuvre par l'administration, et appelle à la vigilance face au phishing.
Ce qui n'est pas confirmé
Trois points relèvent, au 21 août 2026, de la revendication ou de la spéculation, et non du fait établi. L'identité de l'auteur, d'abord : un acteur malveillant a revendiqué l'accès les 12 et 13 août, mais aucune attribution officielle n'a été publiée. L'étendue réelle de l'extraction, ensuite : le communiqué évoque une consultation et une « extraction possible », sans confirmer une exfiltration complète ni une publication des données. Enfin, la compromission d'échanges avec l'administration fiscale, évoquée par certains médias, ne figure pas dans le communiqué officiel.
Ce qui n'est pas compromis
Le communiqué précise ce qui n'est pas touché : les espaces particuliers et professionnels d'impots.gouv.fr, ainsi que les identifiants et mots de passe des usagers. Vous n'avez donc pas, en l'état des informations officielles, à considérer votre compte fiscal en ligne comme piraté, ni à changer votre mot de passe en urgence. Le faire ne présente aucun risque, mais aucune consigne officielle ne l'impose.
Données volées : quels risques, quelles actions ?
| Donnée consultée | Risque principal | Action utile |
|---|---|---|
| Revenu fiscal de référence, quotient familial, taux de prélèvement | Phishing très crédible : faux messages du fisc, de la banque ou d'organismes sociaux citant vos vrais chiffres | Ne jamais cliquer ; vérifier en tapant impots.gouv.fr dans le navigateur ; signaler via cybermalveillance.gouv.fr |
| Adresses et données cadastrales | Faux courriers officiels, démarchage frauduleux ciblé (travaux, diagnostics, taxes) | Vérifier toute demande de paiement auprès du service public concerné, par ses canaux officiels |
| Raison sociale et SIREN (professionnels) | Fraude au virement, usurpation d'identité de la société ou du dirigeant | Alerter les équipes comptables ; verrouiller les changements de coordonnées bancaires ; plainte pénale en cas de fraude |
Quels sont vos droits ?
Le RGPD s'applique aux traitements de l'administration fiscale. Deux séries de droits sont en jeu pour les personnes concernées.
Le droit d'être informé, d'abord. Lorsqu'une violation de données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent en être informées dans les meilleurs délais (article 34 du RGPD). C'est le sens des courriels et courriers envoyés depuis le 17 août. Cette information doit vous permettre de comprendre la nature de la violation et les précautions à prendre.
Le droit à réparation, ensuite. L'article 82 du RGPD ouvre droit à la réparation du dommage matériel ou moral causé par une violation du règlement. La Cour de justice de l'Union européenne a précisé le cadre : la simple violation ne suffit pas, il faut démontrer un dommage et un lien de causalité (CJUE, 4 mai 2023, C-300/21). Mais la crainte d'un usage abusif de ses données après une cyberattaque peut, à elle seule, constituer un dommage moral réparable (CJUE, 14 décembre 2023, C-340/21). Une indemnisation est donc possible, y compris pour un préjudice moral, à condition d'en apporter la preuve. Rien n'est automatique, et chaque situation est particulière. Un avocat en violation de données personnelles peut vous aider à apprécier la solidité d'une demande.
Quelles démarches utiles, concrètement ?
Ne déposez pas de plainte auprès de la CNIL par principe. La CNIL indique elle-même qu'il n'est pas nécessaire de lui adresser une plainte individuelle, sauf si vous disposez d'éléments spécifiques utiles aux investigations. L'autorité est déjà saisie et conduit ses vérifications. Multiplier les plaintes identiques n'accélérera ni l'enquête ni une éventuelle indemnisation. Pour toute autre difficulté avec l'autorité, l'appui d'un avocat CNIL reste possible.
Renforcez votre vigilance face au phishing. C'est le risque principal : des tiers malveillants peuvent exploiter des données fiscales réelles, comme votre revenu fiscal de référence ou votre taux de prélèvement, pour rendre crédibles de faux messages de la DGFiP, de votre banque ou d'organismes sociaux. Méfiez-vous de tout message demandant un paiement, des coordonnées bancaires ou des identifiants. En cas de doute, connectez-vous directement à impots.gouv.fr, sans cliquer sur les liens reçus.
Conservez les preuves. Gardez le courriel ou le courrier d'information officiel, ainsi que tout message suspect reçu ensuite. Ces éléments dateront votre connaissance de l'incident et documenteront un éventuel préjudice.
En cas d'usurpation avérée, portez plainte. Si vos données servent à ouvrir un compte, contracter un crédit ou usurper votre identité, déposez plainte auprès de la police ou de la gendarmerie. L'usurpation d'identité est punie d'un an d'emprisonnement et de 15 000 € d'amende (article 226-4-1 du Code pénal), et l'escroquerie de 5 ans et 375 000 € (article 313-1 du Code pénal).
Entreprises : votre SIREN et vos données fiscales exposés
L'incident ne concerne pas que les particuliers : des professionnels figurent parmi les 678 000 personnes concernées, avec leur raison sociale et leur numéro SIREN. Ces informations sont certes largement publiques. Leur croisement avec des données cadastrales et fiscales issues du même incident peut toutefois nourrir des fraudes ciblées contre les entreprises : faux courriers de l'administration, fraude au virement, usurpation de l'identité de la société ou de ses dirigeants.
Les réflexes utiles rejoignent ceux des particuliers, adaptés à l'organisation : informer les équipes comptables et financières du risque accru de messages frauduleux se réclamant de la DGFiP, verrouiller les procédures de paiement et de changement de coordonnées bancaires, et tracer tout contact suspect. En cas de tentative de fraude aboutie, la plainte pénale s'impose rapidement, notamment pour préserver les droits à indemnisation. L'incident rappelle enfin une leçon de gouvernance valable pour toute organisation : les identifiants des personnes habilitées, internes ou tierces, sont la première cible des attaquants, et leur gestion mérite des mesures de sécurité à la hauteur.
FICOBA en février, la DGFiP en août : deux incidents distincts
L'administration fiscale a connu un précédent en début d'année. Le 18 février 2026, le ministère annonçait des accès illégitimes au fichier FICOBA, le fichier des comptes bancaires, depuis fin janvier 2026, via l'usurpation des identifiants d'un fonctionnaire. Environ 1,2 million de comptes étaient concernés : identité du titulaire, adresse, RIB. L'identifiant fiscal n'avait pas été consulté, et FICOBA ne contient ni soldes ni mouvements.
Les deux incidents sont distincts : fichiers différents, données différentes, périodes différentes. Leur point commun interpelle davantage : dans les deux cas, l'attaquant a utilisé des identifiants usurpés de personnes habilitées, agent ou tiers. Pour les entreprises, la leçon dépasse la sphère publique : la gestion des accès des prestataires, partenaires et comptes à privilèges est un maillon critique de la sécurité, et un point d'attention majeur des contrôles de la CNIL.
Chronologie de l'affaire
- Juin – juillet 2026 : accès illégitimes au système d'information de la DGFiP, via des identifiants usurpés.
- 12 – 13 août 2026 : découverte des accès, à la suite d'une revendication par un acteur malveillant.
- 14 août 2026 : communiqué du ministère de l'Économie ; 678 000 particuliers et professionnels concernés ; saisine de la CNIL.
- 17 août 2026 : début de l'information individuelle des personnes concernées, par courriel ou courrier.
- 18 août 2026 : publication de la CNIL, qui annonce des vérifications sur les mesures de sécurité de l'administration.
- 21 août 2026 : dernière vérification des faits et sources pour cet article, à 18 h 20.
Questions fréquentes sur le piratage de la DGFiP
Comment savoir si je fais partie des 678 000 personnes concernées ?
Vous serez informé individuellement par la DGFiP, par courriel ou par courrier, depuis la mi-août 2026. Il n'existe pas d'outil public de vérification. Sans message de l'administration, rien n'indique que vos données aient été consultées.
À quoi ressemble le message officiel de la DGFiP ?
Le courriel provient de no-reply@dgfip.finances.gouv.fr, avec l'objet « Consultation illégitime de vos informations fiscales ». Il précise les données concernées, ne contient aucun lien et ne demande aucune information : ni mot de passe, ni coordonnées bancaires, ni pièce d'identité.
Mon espace impots.gouv.fr est-il piraté ?
Non, selon le communiqué officiel du 14 août 2026 : les espaces particuliers et professionnels ainsi que les identifiants et mots de passe des usagers ne sont pas compromis. Restez néanmoins attentif à toute activité inhabituelle.
Dois-je changer mon mot de passe impots.gouv.fr ?
Aucune consigne officielle ne l'impose, les identifiants et mots de passe n'étant pas compromis selon le communiqué. Le changer ne présente toutefois aucun risque, et rester vigilant sur toute connexion inhabituelle demeure recommandé.
Dois-je porter plainte auprès de la CNIL ?
Non, sauf élément spécifique. La CNIL, déjà saisie, indique qu'une plainte individuelle n'est pas nécessaire et qu'elle mène ses propres vérifications sur les mesures de sécurité de l'administration.
Puis-je être indemnisé ?
Une indemnisation est possible sur le fondement de l'article 82 du RGPD, y compris pour un préjudice moral tel que la crainte d'un usage abusif de vos données. Il faut toutefois démontrer un dommage et un lien de causalité : la violation seule ne suffit pas.
Quelles arnaques risquent de suivre ce piratage ?
De faux messages de la DGFiP, de votre banque ou d'organismes sociaux, crédibilisés par vos vraies données fiscales : demandes de remboursement, de paiement ou de « mise à jour » de coordonnées bancaires. Ne cliquez jamais ; connectez-vous directement à impots.gouv.fr pour vérifier.
On me propose de « supprimer mes données volées » contre paiement : est-ce sérieux ?
Non. La CNIL a alerté le 24 juin 2026 sur des arnaques ciblant les victimes de violations de données : faux organismes d'accompagnement, usurpation du numéro de la CNIL, utilisation des vraies données des victimes. Personne ne peut « supprimer » des données déjà exfiltrées. Ne répondez pas et signalez ces messages via cybermalveillance.gouv.fr.
Sources officielles
- Ministère de l'Économie, communiqué de presse du 14 août 2026 sur les accès illégitimes au système d'information de la DGFiP – presse.economie.gouv.fr
- DGFiP, actualité « Accès illégitimes au système d'information de la DGFiP » – impots.gouv.fr
- CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026 – cnil.fr
- CNIL, alerte du 24 juin 2026 sur les arnaques visant les victimes de violations de données – cnil.fr
- Ministère de l'Économie, communiqué du 18 février 2026 sur les accès illégitimes à FICOBA – presse.economie.gouv.fr
- Articles 34 et 82 du règlement (UE) 2016/679 (RGPD) – EUR-Lex
- CJUE, 4 mai 2023, C-300/21, Österreichische Post – EUR-Lex ; CJUE, 14 décembre 2023, C-340/21 – EUR-Lex
Pour comprendre les obligations pesant sur les organisations qui subissent une fuite, voir aussi notre analyse du cas SFR : sous quel délai une entreprise doit-elle prévenir ses clients ?
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026 à 18 h 20. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
