Piratage de la DGFiP : 678 000 particuliers et professionnels concernés — les bons réflexes pour éviter les fraudes

Alerte cybersécurité — Mise à jour du 17 août 2026

Une intrusion informatique visant le système d’information de la Direction générale des Finances publiques (DGFiP) a permis à des personnes non autorisées de consulter et d’extraire des données concernant environ 678 000 particuliers et professionnels.

L’incident est sérieux. Mais son principal danger ne réside peut-être pas uniquement dans les données déjà dérobées.

Il réside aussi dans l’utilisation future de ces informations pour fabriquer des courriels, SMS, appels téléphoniques ou demandes de paiement particulièrement crédibles.

Chez A3C, nous souhaitons donc attirer l’attention de nos clients sur une règle devenue essentielle :

Le fait qu’un interlocuteur connaisse de vraies informations vous concernant ne prouve plus son identité.

Que s’est-il passé à la DGFiP ?

La DGFiP a confirmé des accès illégitimes à certains de ses systèmes d’information, intervenus au cours des mois de juin et juillet 2026.

Selon le communiqué officiel du ministère de l’Économie et des Finances, les investigations engagées ont établi que ces accès avaient permis de consulter ou d’extraire des données concernant environ 678 000 particuliers et professionnels.

Parmi les informations susceptibles d’être concernées figurent notamment :

• le revenu fiscal de référence ;

• le quotient familial ;

• le taux de prélèvement à la source ;

• pour les entreprises, la raison sociale et le SIREN ;

• certaines données cadastrales, notamment des informations relatives aux adresses et aux surfaces de biens immobiliers.

Les investigations se poursuivent afin de déterminer précisément la nature et le volume des données effectivement extraites.

Une précision importante : vos identifiants impots.gouv.fr n’ont pas été compromis

À ce stade, la DGFiP précise que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis.

Les identifiants et mots de passe permettant d’accéder à ces espaces n’ont pas davantage été compromis dans le cadre de cette intrusion.

Il n’y a donc pas lieu de conclure que votre espace fiscal a nécessairement été piraté parce que certaines données fiscales ont pu être extraites.

La DGFiP a par ailleurs annoncé qu’elle informerait directement les particuliers et professionnels concernés, par courriel ou courrier, en leur précisant les données susceptibles d’avoir été consultées ou extraites.

Pourquoi cette fuite de données peut-elle devenir dangereuse ?

Parce qu’un fraudeur disposant de plusieurs informations exactes peut construire une histoire extrêmement convaincante.

Un faux courriel provenant prétendument de l’administration fiscale pourrait, par exemple, mentionner :

• votre identité ;

• le nom exact de votre entreprise ;

• son numéro SIREN ;

• certaines informations fiscales ;

• une adresse correspondant réellement à votre patrimoine immobilier.

Un faux conseiller bancaire pourrait également utiliser certaines de ces informations pour gagner votre confiance.

Un escroc se faisant passer pour un fournisseur, un dirigeant ou un interlocuteur habituel peut procéder de la même manière.

C’est ce que l’on appelle notamment l’ingénierie sociale : l’attaquant ne cherche pas nécessairement à casser un système informatique. Il cherche à convaincre une personne d’effectuer elle-même l’action souhaitée.

Cybermalveillance.gouv.fr constate d’ailleurs que les nombreuses violations de données intervenues ces dernières années permettent aux cybercriminels de disposer de volumes importants de données personnelles récentes et structurées, facilitant des campagnes d’hameçonnage de plus en plus personnalisées.

Le nouveau réflexe : une information exacte n’est pas une preuve d’authenticité

C’est probablement la conséquence la plus importante de cet incident.

Nous avons naturellement tendance à accorder davantage de confiance à une personne qui connaît des éléments confidentiels de notre dossier.

Ce réflexe doit désormais être remis en cause.

Un fraudeur peut connaître une véritable information fiscale et rester un fraudeur.

Il peut connaître votre SIREN.

Il peut connaître votre adresse.

Il peut connaître le nom de votre société.

Il peut même connaître une information que vous considériez jusqu’alors comme suffisamment confidentielle pour authentifier votre interlocuteur.

Ces informations ne doivent donc plus être utilisées comme seules preuves de confiance.

Les 5 réflexes de sécurité recommandés par A3C

1. Ne cliquez pas immédiatement sur un lien reçu par courriel ou SMS

Vous recevez un message vous invitant à consulter votre dossier fiscal, régler une somme, demander un remboursement ou mettre à jour vos informations ?

N’utilisez pas immédiatement le lien contenu dans le message.

Ouvrez vous-même votre navigateur et saisissez l’adresse du site officiel :

impots.gouv.fr

Puis connectez-vous normalement à votre espace.

Si l’information est réelle, vous pourrez généralement la retrouver dans votre espace ou la vérifier directement auprès du service concerné.

2. Méfiez-vous particulièrement des demandes urgentes

L’urgence constitue l’une des armes favorites de l’escroc.

Quelques exemples :

« Votre remboursement expire aujourd’hui. »

« Votre compte va être suspendu. »

« Ce règlement doit impérativement être effectué avant 16 heures. »

« Le dirigeant demande que ce virement soit exécuté immédiatement et confidentiellement. »

Plus une demande inhabituelle paraît urgente, plus il faut prendre le temps de la contrôler.

Quelques minutes de vérification peuvent éviter une fraude de plusieurs milliers, voire plusieurs dizaines de milliers d’euros.

3. Nouveau RIB = contre-appel

Pour les entreprises, cette règle mérite de devenir systématique.

Toute modification de coordonnées bancaires d’un fournisseur doit être vérifiée par un second canal.

Vous recevez un courriel annonçant le changement du RIB d’un fournisseur ?

N’appelez pas le numéro indiqué dans ce courriel.

Appelez votre fournisseur à partir du numéro que vous possédiez déjà dans votre dossier, sur une ancienne facture fiable ou dans votre annuaire habituel.

Cette précaution est également recommandée lorsqu’une demande exceptionnelle concerne :

• un nouveau bénéficiaire ;

• un virement important ;

• un paiement urgent ;

• un changement de banque ;

• une demande prétendument formulée par un dirigeant ;

• un remboursement inhabituel.

Un changement de RIB n’est jamais une formalité administrative anodine.

4. Ne communiquez jamais vos moyens d’authentification à un interlocuteur qui vous sollicite

Un interlocuteur vous appelle et vous demande :

• votre mot de passe ;

• un code reçu par SMS ;

• un code de validation ;

• une validation dans votre application bancaire ;

• vos identifiants de connexion ?

Interrompez la procédure et vérifiez son identité par un autre canal.

Un code de double authentification est précisément conçu pour empêcher une personne connaissant votre mot de passe d’accéder à votre compte.

Le transmettre à un tiers peut neutraliser cette protection.

5. En cas de doute, contactez vous-même l’organisme concerné

C’est probablement la règle la plus simple.

Un message prétend provenir :

• des impôts ;

• de votre banque ;

• de l’URSSAF ;

• d’un fournisseur ;

• d’un client ;

• de votre expert-comptable ;

• d’une administration ?

Ne répondez pas nécessairement au message reçu.

Recherchez vous-même les coordonnées que vous utilisez habituellement et contactez directement l’organisme ou l’interlocuteur concerné.

Cybermalveillance.gouv.fr recommande précisément, lorsque l’authenticité d’un message ou d’un appel est incertaine, de ne pas répondre, de ne pas cliquer sur les liens ou pièces jointes et de contacter soi-même le service concerné.

Et si le message prétend provenir d’A3C ?

La même règle doit s’appliquer.

Un fraudeur peut parfaitement tenter d’usurper l’identité :

• du cabinet A3C ;

• d’un collaborateur ;

• d’un expert-comptable ;

• d’un dirigeant de votre entreprise.

Si vous recevez de notre part une demande qui vous semble inhabituelle, particulièrement lorsqu’elle concerne un paiement, des coordonnées bancaires, un mot de passe, un code de sécurité ou une opération urgente, ne vous fiez pas uniquement à l’adresse apparente de l’expéditeur.

Contactez A3C en utilisant vos coordonnées habituelles du cabinet.

Nous préférerons toujours répondre à une vérification inutile plutôt que de voir l’un de nos clients victime d’une fraude.

Que faire si vous avez déjà cliqué ou communiqué une information ?

Ne perdez pas de temps.

Selon la situation :

1. changez immédiatement le mot de passe concerné, particulièrement s’il est utilisé sur plusieurs services ;

2. activez la double authentification lorsqu’elle est disponible ;

3. si des informations bancaires ont été communiquées, contactez immédiatement votre banque ;

4. surveillez les opérations et connexions inhabituelles ;

5. conservez les courriels, SMS, captures d’écran et autres éléments pouvant servir de preuves ;

6. signalez l’incident sur les dispositifs officiels appropriés et, en présence d’une fraude, envisagez un dépôt de plainte.

Cybermalveillance.gouv.fr met à disposition des particuliers comme des professionnels des fiches réflexes et un parcours d’assistance en cas d’hameçonnage ou de fuite de données.

Faut-il changer immédiatement son mot de passe impots.gouv.fr ?

La DGFiP indique actuellement que les identifiants et mots de passe des espaces Finances publiques n’ont pas été compromis dans cette intrusion.

Il n’y a donc pas, sur la seule base de cet incident, d’indication officielle imposant un changement systématique du mot de passe.

En revanche, indépendamment de cette affaire, il reste recommandé d’utiliser :

• un mot de passe robuste ;

• un mot de passe différent pour chaque service important ;

• et la double authentification lorsqu’elle est proposée.

Si vous utilisez le même mot de passe sur plusieurs services, il est prudent de mettre fin à cette pratique.

Les personnes concernées doivent être informées par la DGFiP

La DGFiP a annoncé qu’elle prendra directement contact avec les particuliers et professionnels concernés afin de leur préciser les données susceptibles d’avoir été consultées ou extraites et les éventuelles mesures de vigilance à adopter.

Attention cependant à un paradoxe important :

l’annonce de cette campagne d’information peut elle-même être utilisée par des fraudeurs.

Il est donc possible que de faux courriels prétendant informer les contribuables de la fuite apparaissent.

Encore une fois :

Ne jugez pas l’authenticité d’un message uniquement à la précision des informations qu’il contient.

L’essentiel à retenir

🔐 Les espaces impots.gouv.fr et leurs mots de passe ne sont pas annoncés comme compromis.

⚠️ Des données fiscales, professionnelles et cadastrales ont cependant pu être consultées ou extraites.

🎣 Ces informations peuvent être utilisées pour fabriquer des tentatives d’hameçonnage beaucoup plus crédibles.

☎️ Toute demande inhabituelle doit être contrôlée par un autre canal.

🏦 Toute modification de RIB doit faire l’objet d’un contre-appel à un numéro déjà connu.

🔑 Ne communiquez jamais un mot de passe ou un code d’authentification à la suite d’une sollicitation inattendue.

Le message d’A3C

Une donnée dérobée est difficile à récupérer.

Une fraude, en revanche, peut souvent être évitée par quelques minutes de vérification.

Lorsqu’un message inhabituel concerne vos impôts, votre banque, un règlement, un fournisseur ou vos coordonnées bancaires :

• ne cédez pas à l’urgence ;
• ne cliquez pas sans vérifier ;
• contactez directement l’interlocuteur concerné par un canal que vous connaissez déjà.

Et si un message vous paraît suspect ou prétend provenir du cabinet :

contactez votre interlocuteur habituel chez A3C avant toute action.

---

A3C — Expertise comptable • Audit • Conseil

Sécuriser vos décisions, c’est aussi vous aider à reconnaître les risques avant qu’ils ne deviennent des fraudes.

Sources officielles

Direction générale des Finances publiques / ministère de l’Économie et des Finances — communiqué relatif aux accès illégitimes au système d’information de la DGFiP, août 2026.

Cybermalveillance.gouv.fr — recommandations relatives aux violations de données personnelles et à l’hameçonnage.

CNIL — recommandations relatives aux violations et fuites de données personnelles.

Communication reçue par les personnes visées par le piratage de la part de la DGFiP