Fuite de données DGFiP 2026 : êtes-vous concerné ?

Mise à jour du 14 août 2026 à 11 h : la Direction générale des Finances publiques (DGFiP) confirme qu’un accès illégitime à son système d’information a permis de consulter et d’extraire des données concernant des particuliers et des professionnels. À ce stade, l’administration n’a pas encore précisé publiquement le nombre exact d’usagers ni la liste complète des données touchées.

Il faut donc distinguer deux choses : l’incident est confirmé, mais personne ne peut encore conclure que tous les contribuables sont concernés.

Ce que la DGFiP a officiellement confirmé

Dans un communiqué publié le 13 août 2026, le ministère indique qu’un acteur malveillant a revendiqué, le 12 août, un accès illégitime intervenu fin juin après une usurpation d’identité.

Les premières investigations confirment que cet accès, coupé fin juin, a permis la consultation et l’extraction de données relatives à des particuliers et à des professionnels. La DGFiP a annoncé de nouvelles restrictions, une plainte, une notification à la CNIL et la poursuite des investigations avec les services compétents, dont l’ANSSI.

Le communiqué ne détaille pas encore précisément :

• les catégories complètes de données extraites ;
• le nombre définitif de personnes et d’entreprises concernées ;
• les démarches particulières à effectuer selon chaque situation.

Ces éléments pourront évoluer. Fiez-vous en priorité aux mises à jour de la DGFiP, de la CNIL et de Cybermalveillance.gouv.fr.

Comment savoir si vous êtes concerné par la fuite DGFiP ?

1. Attendez l’information individuelle annoncée par la DGFiP

La DGFiP indique que les usagers concernés recevront une information individuelle. Celle-ci devra préciser les données susceptibles d’avoir été consultées ou extraites et, si nécessaire, les mesures de vigilance à adopter.

L’absence de message aujourd’hui ne permet pas encore d’affirmer que vous n’êtes pas concerné : l’enquête est toujours en cours.

2. Ne saisissez pas votre numéro fiscal sur un « vérificateur de fuite »

À la date de cette mise à jour, aucun moteur officiel dédié à cet incident n’a été annoncé pour saisir son numéro fiscal ou son adresse électronique et vérifier si l’on est concerné.

La CNIL explique qu’elle ne peut pas confirmer la présence d’une personne dans un fichier compromis. De manière générale, elle déconseille les sites tiers affirmant détenir les données d’une fuite. Ne transmettez donc pas votre numéro fiscal, votre avis d’imposition, votre RIB ou une pièce d’identité à un site qui promet de vous « vérifier ».

3. Ouvrez vous-même impots.gouv.fr

Pour contrôler votre situation, saisissez directement https://www.impots.gouv.fr dans votre navigateur ou utilisez votre favori habituel. N’utilisez pas le lien contenu dans un courriel ou un SMS reçu après l’annonce de la fuite.

Une fois connecté depuis le site officiel :

• vérifiez les informations de contact enregistrées ;
• consultez votre messagerie sécurisée et vos derniers échanges ;
• recherchez toute démarche ou modification que vous ne reconnaissez pas ;
• pour un espace professionnel, vérifiez également les coordonnées et délégations visibles.

Si quelque chose vous paraît inhabituel, contactez votre service des impôts depuis les coordonnées présentes sur un avis officiel ou depuis la rubrique de contact d’impots.gouv.fr.

Un risque à anticiper : le hameçonnage ciblé

Une fuite de données ne signifie pas automatiquement que votre mot de passe fiscal ou votre compte bancaire a été piraté. Le risque dépendra des informations réellement extraites, qui ne sont pas encore détaillées.

Un risque à anticiper est le hameçonnage ciblé. La CNIL rappelle que des données issues d’une fuite peuvent rendre des messages frauduleux plus réalistes. Des fraudeurs peuvent aussi exploiter l’actualité, et éventuellement des informations personnelles, pour fabriquer des messages plus convaincants :

• faux remboursement d’impôt ;
• prétendu impayé avec menace de majoration ;
• demande urgente de « sécurisation » du compte ;
• fausse mise à jour de RIB ;
• appel d’un faux agent des finances publiques ;
• pièce jointe présentée comme la liste des données compromises.

Cybermalveillance.gouv.fr rappelle que les périodes fiscales et les sujets d’actualité sont régulièrement utilisés pour rendre ces escroqueries plus crédibles.

Comment reconnaître un faux message des impôts ?

La page officielle d’impots.gouv.fr consacrée aux arnaques donne plusieurs repères utiles :

• les adresses électroniques de l’administration fiscale utilisent le domaine @dgfip.finances.gouv.fr ;
• les sites officiels de l’État utilisent un domaine en .gouv.fr ;
• la DGFiP n’envoie pas de SMS pour signaler un défaut de paiement ;
• elle ne demande pas de remplir un formulaire reçu par courriel pour obtenir un remboursement sans passer par l’espace authentifié.

Attention : le nom affiché de l’expéditeur et même certains éléments visuels peuvent être imités. Le réflexe le plus sûr reste de fermer le message et d’ouvrir vous-même impots.gouv.fr.

Ne communiquez jamais par téléphone, courriel ou formulaire inattendu :

• votre mot de passe ;
• un code de connexion à usage unique ;
• les données complètes de votre carte bancaire ;
• une copie de pièce d’identité ou d’avis fiscal sans avoir vérifié la demande par un autre canal.

Les 7 actions à faire dès maintenant

1. Sécurisez d’abord votre adresse électronique. Elle reçoit notamment les codes de connexion et les messages administratifs. Utilisez un mot de passe unique et activez la double authentification proposée par votre fournisseur de messagerie.
2. Vérifiez que le mot de passe de votre espace fiscal n’est utilisé nulle part ailleurs. S’il est réutilisé, remplacez-le par un mot de passe unique depuis le site officiel.
3. Ne validez aucun code reçu que vous n’avez pas demandé. Ne communiquez jamais oralement ou par message un code à usage unique à un agent, un conseiller bancaire ou un technicien. Un service légitime peut en revanche vous demander de saisir vous-même ce code dans son application ou son site officiel.
4. Surveillez vos comptes bancaires. Signalez immédiatement à votre banque toute opération ou tout prélèvement inconnu.
5. Pour une entreprise, imposez le contre-appel. Tout changement de RIB ou ordre de virement doit être confirmé en appelant le contact habituel avec un numéro déjà connu, jamais celui indiqué dans le message reçu.
6. Prévenez les personnes qui traitent les paiements et les courriels. Comptabilité, secrétariat et direction doivent connaître les faux remboursements, faux impayés et fausses demandes de RIB.
7. Conservez les preuves d’une tentative ou d’une fraude. Capture du message, adresse complète de l’expéditeur, numéro appelant, URL et heure de réception peuvent être utiles pour le signalement.

Changer tous vos mots de passe au hasard n’est pas la meilleure première réponse. Priorisez la messagerie, l’espace fiscal et la banque, surtout en cas de mot de passe réutilisé ou d’activité suspecte.

Que faire si vous avez déjà cliqué ou transmis une information ?

Agissez sans attendre :

1. quittez le faux site et ne réutilisez pas son lien ;
2. depuis un appareil de confiance, changez le mot de passe du compte concerné et de tous les comptes où il était réutilisé ;
3. si vous avez transmis ou saisi ce code sur un site frauduleux, sécurisez immédiatement le compte auquel il était associé, puis vérifiez vos autres comptes sensibles ;
4. si vous avez transmis des données bancaires ou validé une opération, contactez immédiatement votre banque avec son numéro habituel ;
5. vérifiez votre espace fiscal en passant directement par impots.gouv.fr ;
6. conservez les preuves avant de supprimer le message ;
7. utilisez le diagnostic de Cybermalveillance.gouv.fr ou le service public 17Cyber pour être orienté.

En cas d’usurpation d’identité, d’escroquerie ou d’opération frauduleuse, la CNIL recommande également de prévenir les établissements concernés et de déposer plainte auprès de la police ou de la gendarmerie.

Et pour les entreprises ?

Les professionnels sont explicitement inclus dans le périmètre annoncé par la DGFiP, sans que cela signifie que toutes les entreprises sont touchées.

Le point de vigilance prioritaire est la fraude financière utilisant une identité ou un contexte crédible. La procédure la plus efficace reste simple : toute demande inhabituelle liée à un paiement, un RIB ou une urgence fiscale doit être confirmée par un second canal connu.

Profitez aussi de l’alerte pour vérifier :

• qui accède à la messagerie et à l’espace fiscal professionnel ;
• si d’anciens salariés ou prestataires disposent encore d’une délégation ;
• si les comptes de messagerie sensibles utilisent un mot de passe unique et une double authentification ;
• si la procédure de validation des virements est écrite et réellement appliquée.

Questions fréquentes

Est-ce que tous les contribuables français sont concernés ?

Non, rien ne permet de l’affirmer. La DGFiP confirme l’extraction de données de particuliers et de professionnels, mais poursuit ses investigations pour déterminer précisément les données et le nombre d’usagers concernés.

Vais-je recevoir un courriel si mes données ont été consultées ?

La DGFiP annonce une information individuelle des usagers concernés, sans détailler dans son communiqué le canal utilisé dans chaque cas. Si vous recevez un message, ne cliquez pas sur ses liens pour vérifier : ouvrez vous-même impots.gouv.fr ou contactez votre service avec des coordonnées officielles.

Existe-t-il un site pour tester mon numéro fiscal ou mon adresse ?

Aucun vérificateur officiel dédié à cet incident n’est annoncé à la date du 14 août 2026. La CNIL déconseille d’utiliser les sites tiers qui prétendent détenir les données compromises.

Dois-je changer immédiatement mon mot de passe impots.gouv.fr ?

Le communiqué officiel ne dit pas, à ce stade, que les mots de passe ont été extraits. Changez-le immédiatement s’il est réutilisé, trop faible, si vous avez cliqué sur un lien suspect ou si vous observez une activité anormale. Dans tous les cas, sécurisez aussi l’adresse électronique associée au compte.

Un courriel provenant de @dgfip.finances.gouv.fr est-il forcément sûr ?

Ce domaine est celui utilisé officiellement par l’administration fiscale, mais le nom affiché d’un expéditeur peut être falsifié et une boîte de messagerie peut être compromise. Ne transmettez jamais de secret ou de code à usage unique. Pour une action sensible, passez directement par votre espace fiscal ou contactez votre service par un canal connu.

Sources officielles

• Ministère des Finances, communiqué du 13 août 2026 : accès illégitime au système d’information de la DGFiP
• Impots.gouv.fr : attention aux arnaques et aux faux messages
• CNIL : comment savoir si une fuite de données vous concerne et que faire
• Cybermalveillance.gouv.fr : hameçonnage aux couleurs des impôts
• Cybermalveillance.gouv.fr : que faire en cas de fuite de données personnelles

Cet article sera mis à jour si la DGFiP publie de nouveaux éléments sur les données ou le nombre d’usagers concernés.