Piratage des impôts : ce que l’on sait, et les six réflexes à avoir

Un accès illégitime au système d’information de la Direction générale des finances publiques fait l’objet de vérifications. L’information a circulé vite, souvent mal, et beaucoup de gens se demandent s’ils doivent changer leur mot de passe des impôts dans la minute.

La réponse courte est non. La réponse utile tient en six gestes, et surtout en une habitude à prendre pour les semaines qui viennent.

Les faits, au 21 août 2026

Concrètement, les informations potentiellement concernées sont du type revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale, ainsi que des données cadastrales : adresses, surfaces des biens.

Selon la CNIL, les identifiants et mots de passe des espaces fiscaux ne seraient pas affectés. Le ministère doit informer individuellement les personnes concernées.

Ce que l’on ignore encore : l’ampleur exacte, et ce qui a réellement été extrait. Les vérifications sont en cours, et cet article reflète l’état des informations officielles à sa date de publication.

Pourquoi c’est sérieux, même sans mot de passe volé

Un mot de passe volé, on le change. Un revenu fiscal de référence, une adresse et une surface de bien, non. Ces informations-là ne se réinitialisent pas, et elles suffisent à rendre une arnaque terriblement crédible.

C’est tout le problème : un escroc qui connaît votre nom, votre adresse et le montant approximatif de votre impôt n’a plus besoin d’un message maladroit. Il peut écrire quelque chose qui ressemble exactement à ce que vous attendiez.

Les six réflexes à appliquer maintenant

1. Allez au site par vous-même. Tapez impots.gouv.fr dans la barre d’adresse. Jamais par un lien reçu par e-mail ou par SMS, même s’il paraît parfait.
2. Passez en revue votre espace sécurisé : messagerie, coordonnées, documents, et toute opération que vous ne reconnaissez pas.
3. Traquez les mots de passe réutilisés. Les identifiants fiscaux ne seraient pas concernés, mais si celui des impôts sert aussi ailleurs, remplacez-le partout par des mots de passe uniques.
4. Sécurisez d’abord votre messagerie. C’est elle qui permet de réinitialiser presque tous vos autres comptes. Double authentification activée, sans exception.
5. Surveillez les mouvements inhabituels pendant plusieurs semaines : comptes bancaires, avis fiscaux, notifications FranceConnect.
6. Gardez les preuves. Avant de supprimer un message douteux, conservez une capture, l’adresse de l’expéditeur, l’URL et l’horaire.

Les quatre arnaques à attendre dans les semaines qui viennent

Une fuite réelle est une aubaine pour les escrocs : elle rend leurs messages plausibles. Voici les formes les plus courantes.

Le message	Ce qu’il promet ou menace	Le signal
Faux remboursement	« Vous avez droit à 286 € »	Un formulaire qui demande vos coordonnées bancaires
Faux impayé	« Dernier rappel avant majoration »	Un délai très court, un ton menaçant
Fausse sécurisation	« Confirmez votre identité », « réactivez votre espace »	Un domaine qui ressemble à impots.gouv.fr sans l’être
Faux support	Un numéro à appeler immédiatement	On vous demande un code, un mot de passe, ou une prise en main à distance

L’administration fiscale ne vous demandera jamais un mot de passe, un code de validation ou un numéro de carte complet par message.

Vous avez déjà cliqué ou saisi quelque chose ?

Un mot de passe communiqué. Changez-le tout de suite sur le vrai site, puis partout où il était réutilisé. Sécurisez aussi l’adresse e-mail associée.

Des données bancaires communiquées. Appelez votre banque au numéro figurant sur votre carte, faites opposition si elle le recommande, et surveillez les opérations, y compris les petits montants.

Un fichier ou une pièce jointe ouverte. Si l’appareil se comporte anormalement, déconnectez-le du réseau, lancez une analyse complète, et demandez de l’aide.

Une usurpation constatée. Rassemblez les preuves, signalez les faits, et déposez plainte auprès de la police ou de la gendarmerie.

Les bons canaux, et eux seuls

Pour vérifier une information ou demander de l’aide, passez par les sources officielles : le communiqué de la DGFiP, les publications de la CNIL, cybermalveillance.gouv.fr pour un diagnostic, et 17Cyber pour l’assistance aux victimes. Tapez ces adresses vous-même.

À retenir

Vos identifiants fiscaux ne sont a priori pas concernés : le vrai risque des prochaines semaines, ce sont les messages qui vont s’appuyer sur cette affaire. La règle est simple et suffit dans presque tous les cas : on ne clique pas, on tape l’adresse soi-même.