Si vous recevez cette semaine un message vous annonçant que vos données fiscales ont été consultées illégitimement, une seule question compte avant toute autre : ce message vient-il vraiment de la DGFiP, ou d'un escroc qui a lu les mêmes articles de presse que vous ?
Le ministère de l'Action et des Comptes publics a confirmé, dans son communiqué de presse n° 953 du 14 août 2026, que des accès illégitimes intervenus en juin et juillet 2026 ont permis de consulter et d'extraire des données concernant 678 000 particuliers et professionnels. Lors de la conférence de presse du 18 août 2026, la directrice générale des finances publiques, Amélie Verdier, a précisé qu'environ 350 000 particuliers et 250 000 comptes professionnels sont concernés, les chiffres avancés par l'attaquant comportant des doublons.
Nous avons analysé le contexte et les manquements de communication de cette affaire dans notre article sur les 48 jours de silence de la DGFiP au regard du RGPD. Ce guide-ci est purement opérationnel : ce que vous devez faire, dans quel ordre, et ce que vous ne devez surtout pas faire.
Quelles données sont concernées, et lesquelles ne le sont pas
La distinction est déterminante, parce qu'elle détermine vos actions. Beaucoup de conseils qui circulent en ligne visent des risques qui ne sont pas ceux de cet incident. Le tableau ci-dessous s'appuie exclusivement sur les éléments confirmés par l'administration au 19 août 2026.
| Donnée | Statut | Public visé | Source |
|---|---|---|---|
| Identité, adresses, coordonnées | Susceptible d'avoir été consultée ou extraite | Particuliers et professionnels | Communiqué n° 953, 14 août 2026 |
| Revenu fiscal de référence | Concerné | Particuliers | Communiqué n° 953, 14 août 2026 |
| Quotient familial | Concerné | Particuliers | Communiqué n° 953, 14 août 2026 |
| Taux de prélèvement à la source | Concerné | Particuliers | Communiqué n° 953, 14 août 2026 |
| Raison sociale et numéro SIREN | Concerné | Entreprises | Communiqué n° 953, 14 août 2026 |
| Données cadastrales : adresses et surfaces des biens | Consultées | Propriétaires | Communiqué n° 953, 14 août 2026 |
| Identifiants et mots de passe impots.gouv.fr | Non compromis | Tous | Communiqué n° 953, 14 août 2026 |
| Espaces particuliers et professionnels | Non compromis | Tous | Communiqué n° 953, 14 août 2026 |
| Coordonnées bancaires RIB et IBAN | Hors périmètre de cet incident | Tous | Incident distinct : FICOBA, février 2026 |
Bon à savoir : ces données ne se réinitialisent pas. Vous pouvez changer un mot de passe en trente secondes, pas votre revenu fiscal de référence ni la surface de votre maison. C'est ce qui distingue cette fuite d'une fuite d'identifiants classique, et ce qui justifie une vigilance qui dépasse largement la semaine de médiatisation.
Reconnaître le courriel officiel, en trois vérifications
La DGFiP a mis en ligne une foire aux questions le 17 août 2026 et publié une copie du message envoyé, ce qui permet de le comparer. Voici les trois points de contrôle, du plus fiable au moins fiable.
| Élément | Ce que contient le message officiel | Fiabilité du contrôle |
|---|---|---|
| Adresse d'expédition | no-reply@dgfip.finances.gouv.fr, la partie à droite de l'arobase devant être exactement dgfip.finances.gouv.fr | Élevée |
| Objet du message | « Consultation illégitime de vos informations fiscales » | Moyenne, un escroc peut le recopier |
| Contenu | Précise les catégories de données susceptibles d'avoir été consultées ou extraites, et les mesures de vigilance à adopter | Moyenne |
| Demandes formulées | Aucune. Le message ne demande ni mot de passe, ni coordonnées bancaires, ni paiement, ni pièce d'identité | Élevée, tout écart est un signal d'alarme |
| Lien à cliquer | Ne cliquez pas. Saisissez impots.gouv.fr vous-même dans la barre d'adresse | Règle absolue, sans exception |
Attention au piège le plus courant : l'affichage du nom d'expéditeur. Sur mobile en particulier, votre messagerie affiche souvent « Direction générale des Finances publiques » et masque l'adresse réelle. Il faut appuyer sur ce nom pour faire apparaître l'adresse complète. C'est un geste de deux secondes qui neutralise la majorité des imitations.
Attention : aucun outil officiel ne permet de vérifier si vous faites partie des personnes concernées. Il n'existe ni formulaire, ni moteur de recherche, ni service payant. Tout site vous demandant votre numéro fiscal pour « vérifier votre exposition » collecte en réalité vos données. La CNIL rappelle par ailleurs qu'elle ne confirme jamais elle-même la présence d'une personne dans un fichier compromis et invite à s'adresser à l'organisme concerné.
Votre plan d'action, en trois horizons
Tout ne se joue pas dans les quarante-huit heures. La logique de ce type de fuite est la suivante : les données sont exploitées par vagues, souvent plusieurs mois après, quand l'attention médiatique est retombée.
Sécuriser le canal de communication
Vérifiez l'adresse d'expédition du message reçu. Conservez le courriel original sans le supprimer, en-têtes compris, il pourra servir de preuve. Si vous avez déjà cliqué sur un lien douteux et saisi des informations, changez immédiatement le mot de passe concerné et prévenez votre banque si des coordonnées bancaires ont été communiquées.
Mettre en place la surveillance
Activez les alertes par message sur vos comptes bancaires, y compris pour les faibles montants : les fraudeurs testent souvent avec de petites sommes. Consultez votre espace sur impots.gouv.fr en saisissant l'adresse vous-même et vérifiez qu'aucune coordonnée n'a été modifiée. Prévenez les personnes de votre entourage susceptibles d'être ciblées en votre nom.
Exercer vos droits
Si le courriel reçu ne vous paraît pas assez précis, adressez une demande d'accès au délégué à la protection des données du ministère de l'Économie et des Finances sur le fondement de l'article 15 du RGPD. Le responsable de traitement dispose d'un mois pour répondre, prorogeable de deux mois en cas de complexité.
Maintenir la vigilance
Traitez avec méfiance tout appel, message ou courrier qui vous cite des informations fiscales exactes. La connaissance de votre revenu fiscal de référence n'est plus une preuve d'authenticité, c'est désormais une donnée en circulation. Cette règle vaut pour les faux conseillers bancaires comme pour les faux agents des impôts.
Et si la fuite venait de votre propre site ?
Le scan RGPDKit analyse vos traceurs, vos formulaires et vos documents obligatoires, et vous indique en quelques minutes les points de non-conformité à corriger en priorité.
Trois erreurs à éviter
Certaines réactions instinctives font plus de mal que de bien. Voici celles que nous voyons remonter le plus souvent auprès des victimes de fuites de données.
Vos droits et vos recours, avec les bons fondements
Être concerné par une violation de données ouvre des droits précis. Voici le tableau des démarches, avec le texte applicable et l'interlocuteur compétent.
| Situation | Démarche | Interlocuteur | Fondement juridique |
|---|---|---|---|
| Savoir précisément quelles données vous concernant ont été consultées | Demande d'accès écrite | Délégué à la protection des données du ministère de l'Économie et des Finances | Art. 15 et art. 34 RGPD |
| Recevoir un message suspect par courriel | Signalement | signal-spam.fr | Signalement volontaire |
| Recevoir un message suspect par SMS | Transfert au 33700 | Plateforme interopérateurs | Art. L34-5 du code des postes et communications électroniques |
| Avoir été victime d'un hameçonnage | Diagnostic et mise en relation avec un prestataire | cybermalveillance.gouv.fr | Dispositif d'assistance national |
| Constater une usurpation de votre identité | Dépôt de plainte | Commissariat, gendarmerie ou plainte en ligne | Art. 226-4-1 du code pénal, un an d'emprisonnement et 15 000 € d'amende |
| Constater un débit non autorisé | Contestation écrite et demande de remboursement | Votre banque | Art. L133-18 du code monétaire et financier, contestation possible pendant 13 mois |
| Estimer que le responsable de traitement a manqué à ses obligations | Plainte en ligne | CNIL | Art. 77 RGPD |
| Avoir subi un préjudice matériel ou moral démontrable | Recours indemnitaire | Juge administratif, l'État étant en cause | Art. 82 RGPD |
Un mot sur l'indemnisation, parce que la question revient partout. L'article 82 du RGPD ouvre bien un droit à réparation, mais la Cour de justice de l'Union européenne a jugé que le seul fait d'être concerné par une violation ne constitue pas automatiquement un dommage indemnisable. Il faut établir un préjudice réel et un lien de causalité. Concrètement : conservez la trace de toute escroquerie subie, de tout appel frauduleux, de toute démarche que vous avez dû engager. Sans dossier, pas de réparation.
Si vous êtes entreprise, agence ou indépendant
Le communiqué mentionne explicitement les données professionnelles : raison sociale, numéro SIREN, éléments fiscaux, et données cadastrales pour les biens détenus. La combinaison est redoutable pour une catégorie de fraude bien identifiée.
Protéger votre trésorerie
La fraude au faux fournisseur devient beaucoup plus crédible quand l'escroc cite votre SIREN et vos données fiscales.
- Instaurez une règle écrite : toute demande de changement de coordonnées bancaires est validée par téléphone, sur un numéro déjà connu, jamais sur celui indiqué dans le message.
- Formez explicitement les personnes qui manipulent les virements, y compris les remplaçants pendant les congés.
- Méfiez-vous des faux courriers d'huissier ou de recouvrement mentionnant vos biens immobiliers.
- Vérifiez les habilitations de votre espace professionnel et retirez les accès des anciens collaborateurs.
Tirer les leçons pour votre propre conformité
L'incident est un cas d'école transposable à toute organisation qui traite des données personnelles.
- Le vecteur n'était pas une faille technique exotique, mais l'usurpation d'identifiants légitimes. Vos comptes à privilèges sont votre point faible.
- La détection a échoué une première fois : la coupure d'un accès frauduleux ne prouve pas l'absence d'extraction.
- Vérifiez que votre politique de confidentialité décrit réellement vos traitements et mentionne votre procédure en cas de violation.
- Testez votre chaîne d'alerte une fois par an. Deux heures suffisent à révéler qu'un numéro d'astreinte n'est plus attribué.
Ce qui va se passer maintenant
Lors de la conférence de presse du 18 août 2026, le ministre de l'Action et des Comptes publics, David Amiel, a présenté les excuses de l'État et évoqué des « faits graves » entamant la confiance des Français. Amélie Verdier a reconnu que les investigations internes menées en juin et juillet avaient échoué à repérer l'extraction, et a rendu publique une troisième brèche, détectée le 17 août 2026 sur un portail public relatif aux successions vacantes.
Plusieurs mesures ont été annoncées : généralisation de l'authentification renforcée à tous les agents d'ici la fin de l'année 2026, réinitialisation des mots de passe des agents, limitation par quotas des consultations sur les fichiers sensibles, programme de récompense des chercheurs en sécurité, et audit supervisé par l'ANSSI dont les premières conclusions sont attendues en septembre 2026 et seront transmises aux commissions des finances de l'Assemblée nationale et du Sénat. La DGFiP indique par ailleurs qu'elle procédera à des vérifications supplémentaires en cas de changement d'adresse ou de coordonnées bancaires sur les comptes des personnes concernées.
Pour vous, cela ne change rien à court terme. Les données sont sorties, elles circulent, et aucune mesure de sécurisation rétroactive ne les fera revenir. C'est précisément pourquoi le seul levier qui reste entre vos mains est le contrôle systématique du canal par lequel on vous contacte.
Si vous ne deviez retenir qu'une seule règle de cet article, c'est celle-ci. Elle neutralise la quasi-totalité des campagnes d'hameçonnage qui vont suivre.
- Vérifier l'expéditeur : la partie située après l'arobase doit être exactement dgfip.finances.gouv.fr.
- Ne jamais cliquer : saisissez impots.gouv.fr vous-même dans la barre d'adresse.
- Conserver le message : ne supprimez pas le courriel de notification, il documente votre situation.
- Activer les alertes bancaires : y compris pour les petits montants, qui servent de test aux fraudeurs.
- Signaler systématiquement : signal-spam.fr pour les courriels, le 33700 pour les SMS.
- Prévenir votre entourage professionnel : la fraude au changement de RIB cible d'abord les services comptables.
- Documenter tout incident : capture d'écran, date, montant. C'est la base de tout recours ultérieur.
Questions fréquentes
Comment savoir si je suis concerné par le piratage de la DGFiP ?
La DGFiP contacte individuellement chaque personne concernée depuis le 17 août 2026, par courriel ou par courrier postal lorsqu'elle ne dispose pas d'adresse électronique. Il n'existe aucun outil officiel de vérification en ligne. Tout site qui propose de tester votre numéro fiscal ou votre adresse pour savoir si vous êtes concerné est frauduleux et cherche à collecter vos données. Si vous ne recevez rien, cela ne signifie pas nécessairement que vous êtes hors périmètre : les investigations se poursuivent et l'administration a indiqué qu'elle communiquerait de nouveaux éléments.
Comment reconnaître le vrai courriel de la DGFiP ?
L'objet du message est « Consultation illégitime de vos informations fiscales » et l'expéditeur est no-reply@dgfip.finances.gouv.fr. La partie située à droite de l'arobase doit être exactement dgfip.finances.gouv.fr, sans variante ni sous-domaine inhabituel. Le message précise les catégories de données susceptibles d'avoir été consultées et ne demande jamais de mot de passe, de coordonnées bancaires, de pièce d'identité ou de paiement. En cas de doute, ne répondez pas et passez par la messagerie sécurisée de votre espace sur impots.gouv.fr.
Dois-je changer mon mot de passe impots.gouv.fr ?
Ce n'est pas nécessaire au regard de cet incident précis. Le communiqué du 14 août 2026 indique que les espaces Finances publiques des particuliers et des professionnels n'ont pas été compromis, et que les identifiants et mots de passe ne l'ont pas été non plus. Changer régulièrement de mot de passe et ne pas le réutiliser sur plusieurs services reste une bonne pratique générale, mais cela ne répond pas au risque principal ici, qui est l'hameçonnage ciblé fondé sur des informations fiscales exactes.
Mes coordonnées bancaires ont-elles été volées ?
Pas dans le cadre de cet incident. Les catégories décrites par l'administration sont fiscales, administratives et cadastrales. L'affaire FICOBA de février 2026, qui portait sur des coordonnées bancaires d'environ 1,2 million de comptes, est un incident distinct, même s'il concernait également la DGFiP et reposait aussi sur une usurpation d'identifiants. Une surveillance de vos relevés reste néanmoins recommandée : les données fiscales volées peuvent servir de matière première à une fraude bancaire montée plusieurs mois plus tard.
Puis-je demander la liste exacte des données me concernant qui ont fuité ?
Oui. L'article 15 du RGPD ouvre un droit d'accès auprès de tout responsable de traitement, et l'article 34 impose que la communication d'une violation décrive la nature de celle-ci en des termes clairs et simples. Le courriel de notification précise déjà les catégories concernées. Pour obtenir davantage de détail, adressez une demande écrite au délégué à la protection des données du ministère de l'Économie et des Finances. Le délai de réponse est d'un mois, prorogeable de deux mois en cas de complexité ou de nombre élevé de demandes.
Puis-je obtenir une indemnisation ?
L'article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral résultant d'une violation. Contre l'État, l'action relève du juge administratif. La jurisprudence européenne exige toutefois la démonstration d'un préjudice réel et d'un lien de causalité : le seul fait d'être concerné, ou la seule crainte d'un usage abusif, ne suffit généralement pas. Rassemblez donc les preuves de tout préjudice concret, escroquerie subie, temps passé en démarches, frais engagés.
Que faire si j'ai déjà cliqué sur un lien frauduleux ?
Si vous avez saisi un mot de passe, changez-le immédiatement sur le service concerné et partout où vous l'aviez réutilisé. Si vous avez communiqué des coordonnées bancaires ou un numéro de carte, contactez votre banque sans attendre pour faire opposition. Conservez le message et les captures d'écran, puis rendez-vous sur cybermalveillance.gouv.fr, qui propose un parcours de diagnostic et oriente vers les démarches adaptées. Un dépôt de plainte est possible dès qu'un préjudice ou une tentative caractérisée existe.
Je gère les données de mes clients, que dois-je en tirer pour mon activité ?
Trois enseignements directement transposables. D'abord, le vecteur d'entrée était une usurpation d'identifiants légitimes, pas une faille exotique : vos comptes à privilèges méritent une authentification renforcée et une revue régulière. Ensuite, la détection a échoué une première fois, ce qui rappelle que couper un accès ne dispense pas d'investiguer l'extraction éventuelle. Enfin, la qualité de la notification compte autant que l'incident lui-même. Vous pouvez évaluer l'état de votre socle documentaire et technique avec notre audit de conformité en ligne.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.