Un escroc qui connaît votre revenu fiscal de référence et votre taux de prélèvement à la source n’a plus besoin d’être convaincant. Il lui suffit d’être précis. C’est tout l’enjeu du piratage impots.gouv 2026, dont la CNIL vient de faire un dossier de contrôle.
Le 10 septembre, dans l’émission Cash Investigation sur France 2, la présidente de la CNIL Marie-Laure Denis a annoncé l’ouverture d’un contrôle de la Direction générale des finances publiques. Elle a évoqué la possibilité d’une mise en demeure avant la fin de l’année, ou l’ouverture d’une procédure de sanction.
Trois mois d’accès non détectés
La chronologie explique la sévérité du régulateur. Des accès illégitimes au système d’information de la DGFiP ont eu lieu en juin, juillet et août 2026, via des comptes d’agents compromis. L’administration n’a découvert l’intrusion que le 12 août, après une alerte de l’ANSSI — le jour même où l’attaquant revendiquait publiquement son butin.
Trois mois. Pendant lesquels un tiers a consulté les dossiers fiscaux de centaines de milliers de contribuables sans que rien ne se déclenche.
Deux chiffres qui ne coïncident pas
La DGFiP annonce « un peu plus de 350 000 particuliers » concernés, auxquels s’ajoutent environ 250 000 comptes professionnels. L’attaquant, lui, revendique 678 437 personnes, doublons compris. La CNIL a retenu le chiffre de 678 000 dans sa communication.
L’écart n’est pas anodin. Il porte sur la méthode de comptage — un même contribuable pouvant apparaître plusieurs fois — mais il alimente la défiance sur la transparence de l’administration.
Ce qui a fuité, et ce qui n’a pas fuité
La liste des données dérobées mérite d’être lue attentivement, parce qu’elle détermine le risque réel.
Ont fuité : l’identifiant fiscal, l’état civil, l’adresse postale, le numéro de téléphone, l’adresse électronique, la situation familiale, le nombre de parts, le taux de prélèvement à la source, le revenu fiscal de référence, ainsi que l’historique des messages échangés avec la DGFiP. Pour environ 250 contribuables, le contenu même de ces messages a été consulté.
N’ont pas fuité : les mots de passe, les codes d’accès, les coordonnées bancaires. Aucun RIB ni IBAN ne figure parmi les données dérobées, et les espaces particuliers et professionnels du site impots.gouv.fr n’ont pas été compromis.
Cette seconde liste compte autant que la première. Elle signifie qu’aucun prélèvement frauduleux direct n’est possible à partir de cette fuite, et qu’il n’y a pas d’urgence à changer votre mot de passe — il n’a pas circulé.
Le vrai danger s’appelle hameçonnage sur mesure
Le risque s’est déplacé. Il ne porte pas sur votre compte bancaire mais sur votre crédulité, et il exploite précisément ce qui a fuité.
Imaginez le courriel. Il reprend votre nom complet, votre adresse exacte, votre nombre de parts fiscales, et vous annonce un remboursement calculé sur votre revenu fiscal de référence — le vrai. Plus aucun des signaux d’alerte habituels ne fonctionne : ni la formule impersonnelle, ni le montant approximatif, ni la faute d’orthographe.
Trois réflexes valent mieux que toutes les listes de vigilance.
- Ne cliquez sur aucun lien reçu par mail ou SMS. Tapez impots.gouv.fr directement dans la barre d’adresse.
- Vérifiez le domaine de l’expéditeur. Un message légitime provient de @dgfip.finances.gouv.fr. Tout le reste est faux, y compris les variantes qui en sont très proches.
- Souvenez-vous que le fisc ne demande jamais de coordonnées bancaires par mail pour un remboursement. Elles figurent déjà dans votre espace.
Activez la double authentification
C’est la mesure la plus utile à titre individuel. La DGFiP a annoncé le 18 août le renforcement de l’authentification à double facteur pour les usagers, en parallèle de la réinitialisation des mots de passe de tous ses agents et d’un audit supervisé par l’ANSSI.
Une seconde faille, et une question de fond
Le 17 août, une brèche distincte a été découverte sur le portail des successions vacantes, qui ne contient que des données publiques. Une autre a été identifiée sur des données cadastrales. Moins graves sur le fond, elles dessinent un motif : les points d’entrée se multiplient.
Reste la question qui fâche. L’État ne peut pas être frappé d’une amende administrative dans les mêmes conditions qu’une entreprise privée. Une société qui aurait laissé fuiter les données de 678 000 clients pendant trois mois s’exposerait à une sanction financière lourde et publique. Pour l’administration fiscale, la CNIL dispose surtout de l’arme de la mise en demeure publique.
Le contrôle portera sur trois points précis : les conditions dans lesquelles les accès frauduleux ont été possibles, les mécanismes de détection qui ont échoué pendant trois mois, et les mesures de protection effectivement déployées depuis.
Comment savoir si vous êtes concerné
Les personnes touchées ont été notifiées individuellement à partir du 17 août, par courriel ou par courrier postal. Si vous avez reçu un tel message de la DGFiP depuis cette date, vos données fiscales circulent — et méritent une vigilance durable, pas seulement pendant quelques semaines.
Ces informations ne se périment pas. Un revenu fiscal de référence de 2025 reste un levier de manipulation crédible en 2028. Le meilleur réflexe, à ce stade, consiste à traiter par défaut comme suspect tout message fiscal non sollicité, y compris quand il paraît parfaitement informé. Surtout quand il paraît parfaitement informé.
