La fuite de données touchant la Direction générale des Finances publiques est désormais précisément chiffrée : 678 000 particuliers et professionnels ont vu certaines de leurs informations consultées ou extraites lors d’intrusions survenues en juin et juillet 2026. Revenu fiscal de référence, quotient familial, taux de prélèvement à la source ou encore données cadastrales figurent parmi les informations concernées. Mais comment savoir si vous faites partie des victimes ? La DGFiP commence à contacter individuellement les personnes touchées à partir de cette semaine.
Dernière mise à jour : 17 août 2026.
Ce qu’il faut retenir
- 678 000 particuliers et professionnels sont concernés selon le bilan officiel de la DGFiP du 14 août.
- Les intrusions ont eu lieu en juin et juillet 2026 après l’usurpation de plusieurs identifiants professionnels.
- Des données fiscales comme le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source ont été consultées ou extraites.
- Des informations cadastrales concernant certaines propriétés ont également été consultées.
- Les mots de passe et identifiants des espaces impots.gouv.fr n’ont pas été compromis, selon la DGFiP.
- La DGFiP doit contacter individuellement les personnes touchées par courriel ou courrier.
- Il n’existe actuellement aucun outil public officiel permettant de saisir son numéro fiscal pour vérifier soi-même.
- Ne communiquez donc surtout pas votre numéro fiscal ou votre mot de passe à un site prétendant effectuer cette vérification.
TechPi avait détaillé l’intrusion dès sa confirmation dans notre article Impots.gouv.fr piraté : 700 000 contribuables concernés ?. Depuis, la situation a évolué : la DGFiP a officiellement confirmé un total de 678 000 particuliers et professionnels concernés.
678 000 personnes et entreprises sont officiellement concernées
L’administration fiscale a publié un nouveau point de situation le 14 août 2026.
Les investigations menées après les revendications d’un cybercriminel ont permis de confirmer que plusieurs accès frauduleux au système d’information de la DGFiP avaient effectivement conduit à la consultation et à l’extraction de données.
Ces intrusions ont été réalisées en juin et juillet après l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers disposant lui aussi d’un accès autorisé à certains systèmes.
Au total, la DGFiP estime désormais que 678 000 particuliers et professionnels sont concernés.
Quelles données ont été volées aux Impôts ?
La liste exacte dépend de chaque victime. Toutes les personnes concernées n’ont donc pas nécessairement vu les mêmes informations exposées.
La DGFiP confirme néanmoins plusieurs catégories particulièrement sensibles.
| Donnée | Exposition confirmée ? |
|---|---|
| Revenu fiscal de référence | Oui |
| Quotient familial | Oui |
| Taux de prélèvement à la source | Oui |
| Raison sociale d’entreprises | Oui |
| SIREN | Oui |
| Adresses de biens immobiliers | Oui, pour certaines données cadastrales |
| Surface de certains biens | Oui |
| Mot de passe impots.gouv.fr | Non |
| Identifiant de connexion impots.gouv.fr | Non compromis selon la DGFiP |
L’administration précise que les espaces particuliers et professionnels de Finances publiques eux-mêmes n’ont pas été compromis.
Le pirate n’aurait donc pas récupéré une base de mots de passe permettant de se connecter directement aux comptes impots.gouv.fr.
Comment savoir si je suis concerné par la fuite des Impôts ?
C’est désormais la question essentielle.
La méthode officielle consiste à attendre l’information individuelle de la DGFiP.
L’administration a annoncé qu’elle prendrait directement contact avec chaque particulier et professionnel identifié comme victime.
Cette campagne d’information doit commencer à partir de la semaine du 17 août 2026.
La notification peut arriver :
- par courrier électronique ;
- ou par courrier postal.
Le message doit préciser quelles données vous concernant ont pu être consultées ou extraites et les éventuelles précautions recommandées.
Pas de mail aujourd’hui ? Cela ne veut pas dire que vous êtes épargné
Il ne faut cependant pas tirer de conclusion trop rapidement.
La DGFiP doit informer plusieurs centaines de milliers d’usagers et indique parallèlement que les investigations techniques se poursuivent.
L’absence de message le 17 ou le 18 août ne signifie donc pas nécessairement que vos informations ne figurent pas dans les données compromises.
Il faut attendre la fin de la campagne de notification et les prochains points de situation officiels avant d’en tirer une certitude.
Existe-t-il un site pour vérifier son numéro fiscal ?
Non, aucun outil de vérification public n’a été annoncé par la DGFiP.
C’est un point particulièrement important compte tenu du contexte actuel.
Des fraudeurs pourraient profiter de l’inquiétude suscitée par la fuite pour créer de faux sites proposant :
- de vérifier si votre numéro fiscal est dans la fuite ;
- de « sécuriser » votre compte ;
- de confirmer vos coordonnées ;
- de réclamer un remboursement ;
- ou de modifier votre prélèvement à la source.
Ne saisissez jamais votre identifiant fiscal, votre mot de passe ou vos informations bancaires sur un site ouvert depuis un lien reçu par SMS ou par e-mail.
Pour consulter votre compte, tapez vous-même l’adresse d’impots.gouv.fr dans votre navigateur ou utilisez l’application officielle.
Comment vérifier qu’un mail de la DGFiP est authentique ?
Le problème est particulièrement délicat : de vrais messages vont être envoyés aux victimes au moment même où des escrocs ont tout intérêt à imiter l’administration fiscale.
La présence de votre nom, de votre adresse ou même d’une information fiscale exacte ne prouve plus que le message est authentique, puisque ce sont précisément des informations qui peuvent avoir été exposées.
La règle la plus sûre consiste donc à ne jamais effectuer une démarche sensible depuis le lien présent dans un message.
En cas de doute :
- ne répondez pas directement au courriel ;
- n’appelez pas un numéro indiqué dans un message suspect ;
- ouvrez directement impots.gouv.fr ;
- utilisez la messagerie sécurisée de votre espace fiscal pour contacter votre service ;
- ou utilisez les coordonnées officielles de votre centre des Finances publiques.
La DGFiP rappelle par ailleurs qu’elle ne demande jamais par message votre mot de passe ni votre numéro de carte bancaire.
Faut-il changer son mot de passe impots.gouv.fr ?
La DGFiP indique que les mots de passe n’ont pas été compromis lors de cette attaque.
Changer immédiatement son mot de passe n’est donc pas présenté par l’administration comme une mesure obligatoire liée à cet incident.
Il reste néanmoins recommandé d’utiliser un mot de passe unique pour chaque service sensible. Si le même mot de passe est utilisé sur d’autres sites, mieux vaut le remplacer indépendamment de cette fuite.
Vous pouvez également consulter notre article consacré à Bitwarden et à la gestion sécurisée des mots de passe.
Le principal risque est maintenant le phishing ultra-personnalisé
Les données fiscales sont particulièrement intéressantes pour des escrocs car elles donnent une apparence de légitimité à leurs messages.
Imaginez un appelant connaissant votre nom, votre adresse et votre revenu fiscal de référence. Il peut beaucoup plus facilement se présenter comme un agent des Finances publiques, un conseiller bancaire ou un autre organisme administratif.
Les attaques pourraient notamment prendre la forme de :
- faux remboursements d’impôts ;
- fausses régularisations ;
- demandes de paiement urgentes ;
- faux changements de coordonnées bancaires ;
- faux appels d’un « conseiller » connaissant plusieurs informations réelles sur vous.
La bonne règle est désormais simple : une personne qui connaît des informations exactes sur votre situation n’est pas nécessairement une personne de confiance.
Que faire si la DGFiP confirme que vos données ont fuité ?
La première chose à faire est de conserver le courrier ou le courriel officiel précisant la nature des informations exposées.
Ensuite :
- redoublez de vigilance face aux e-mails, SMS et appels liés aux Impôts ;
- surveillez vos comptes en ligne et vos relevés bancaires ;
- ne validez jamais une opération bancaire sur la base d’un appel entrant ;
- conservez les preuves de toute tentative de fraude ;
- contactez directement l’organisme concerné par un canal indépendant si une demande paraît suspecte.
La CNIL recommande aux victimes de fuite de données de surveiller les utilisations anormales de leurs informations et, en cas d’usurpation avérée, de déposer plainte et de prévenir les organismes concernés.
Attention : une autre fuite de la DGFiP avait déjà eu lieu en février
La situation peut prêter à confusion car il s’agit du deuxième incident majeur touchant les données de la DGFiP en 2026.
En février, un pirate avait déjà obtenu un accès illégitime au fichier national des comptes bancaires FICOBA.
Cette première affaire concernait environ 1,2 million de comptes bancaires et pouvait exposer :
- l’identité du titulaire ;
- son adresse ;
- son RIB ou IBAN.
Cette fuite est différente de celle confirmée en août.
| FICOBA – février 2026 | DGFiP – août 2026 | |
|---|---|---|
| Volume | Environ 1,2 million de comptes | 678 000 particuliers et professionnels |
| IBAN / RIB | Oui | Pas annoncé dans la nouvelle fuite |
| Données fiscales | Non au cœur de l’incident | Oui |
| Revenu fiscal de référence | Non annoncé | Oui |
| Taux de prélèvement | Non annoncé | Oui |
Il est donc possible d’avoir été concerné par l’une de ces violations, par l’autre, voire potentiellement par les deux.
La notification officielle reste le meilleur moyen de savoir
En résumé, inutile de confier votre numéro fiscal à un quelconque « vérificateur de fuite ».
La DGFiP connaît les enregistrements concernés et doit informer directement chaque victime identifiée.
En attendant, la meilleure protection consiste à considérer avec méfiance toute sollicitation utilisant des informations fiscales pour gagner votre confiance.
La fuite ne donne pas automatiquement accès à votre espace impots.gouv.fr, mais elle peut fournir suffisamment d’informations à un escroc pour fabriquer une arnaque extrêmement convaincante.
