Cyberattaque du fisc, 678 000 usagers vont être contactés dès ce lundi !

Le message sera attendu, mais il devra aussi être examiné avec prudence. À partir de ce lundi 17 août, 678 000 particuliers et professionnels doivent apprendre si leurs informations figurent parmi les données dérobées dans le système informatique de la Direction générale des Finances publiques.

Les victimes seront prévenues individuellement par courrier postal ou par courriel. Aucune démarche préalable n’est donc nécessaire pour savoir si l’on est concerné.

Des accès frauduleux pendant plusieurs semaines

L’incident ne correspond pas à une prise de contrôle générale du site impots.gouv.fr. Il s’agit d’intrusions dans le système d’information de la DGFiP, rendues possibles par l’utilisation frauduleuse de comptes disposant d’autorisations internes.

« Un acteur malveillant a revendiqué des accès illégitimes au système d’information de la Direction générale des Finances publiques (DGFiP), intervenus en juin et juillet 2026, reposant sur des usurpations d’identifiants d’un agent de la DGFiP et d’un tiers habilité», explique le ministère de l’Action et des Comptes publics dans son communiqué du 14 août.

L’administration avait repéré en juin la compromission d’un accès et l’avait neutralisé. Elle n’avait cependant pas immédiatement découvert que des informations avaient été copiées. La revendication formulée les 12 et 13 août a conduit à de nouvelles vérifications.

« Dès la détection de ces intrusions, la DGFiP a immédiatement interrompu les accès de l’ensemble des comptes utilisés dans les incidents identifiés », assure Bercy. Des connexions à plusieurs systèmes sensibles ont aussi été coupées de manière préventive. La directrice générale des Finances publiques, Amélie Verdier, a reconnu que ses services avaient affronté une « attaque plus sophistiquée » que lors des précédents incidents.

Des informations fiscales sensibles ont été consultées

Les données exposées ne sont pas identiques pour toutes les victimes. Pour les particuliers, les fichiers consultés peuvent contenir les noms et prénoms, les coordonnées, la composition du foyer fiscal, le nombre de parts, le quotient familial, le revenu fiscal de référence ou encore le taux de prélèvement à la source.

Ces éléments dressent un portrait précis de la situation familiale et financière d’un contribuable. Ils peuvent donc servir à construire une fraude personnalisée, en reprenant des renseignements réels pour gagner la confiance de la victime.

Du côté des professionnels, l’administration évoque des « données moins sensibles que les particuliers ». La raison sociale, le numéro Siren, l’adresse de l’entreprise ou celle de son mandataire ont notamment pu être récupérés. Des informations cadastrales portant sur l’adresse et la surface de certains biens immobiliers ont aussi été consultées.

Les comptes impots.gouv.fr et les mots de passe sont restés protégés

La DGFiP insiste sur un point important : les espaces personnels et professionnels n’ont pas été ouverts par les attaquants. Les mots de passe et les identifiants des contribuables ne font pas partie des éléments signalés comme compromis.

Les informations dérobées « ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr », a précisé Amélie Verdier. Le pirate n’a donc pas pu entrer directement dans les espaces fiscaux des 678 000 victimes ni agir depuis leurs comptes.

Le danger se situe ailleurs. En associant un nom, une adresse et des données fiscales, des escrocs peuvent préparer des messages très convaincants. Ils pourraient, par exemple, annoncer un remboursement, réclamer le paiement urgent d’une prétendue dette ou demander une vérification bancaire.

Cette attaque doit par ailleurs être distinguée de l’intrusion ayant visé le fichier national des comptes bancaires, ou FICOBA, au début de l’année 2026. Ce précédent vol avait concerné environ 1,2 million de comptes bancaires et exposé notamment des RIB ou des IBAN. Le ministère de l’Économie avait détaillé cet incident en mars.

Comment savoir si ses données ont été volées

L’administration fiscale doit prendre elle-même contact avec chaque victime identifiée. Les premiers courriers et courriels sont envoyés à compter de ce lundi. « La DGFiP prendra directement contact dès la semaine prochaine avec chacun des particuliers et professionnels concernés. Ils recevront une information individuelle par courriel ou courrier précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter », précise le ministère.

Matignon a également confirmé que « les usagers concernés seront contactés individuellement à compter de lundi 17 août, avec le détail des données susceptibles d’avoir été exposées et les mesures de vigilance à adopter ».

Les contribuables n’ont donc pas à transmettre de document, à remplir un formulaire ou à communiquer leurs informations bancaires pour vérifier s’ils figurent parmi les victimes. L’annonce officielle mentionne uniquement un contact par courrier ou par courriel, et non une notification par SMS.

De faux courriels de la DGFiP pourraient circuler

L’envoi des notifications ouvre une période sensible. Des cybercriminels peuvent profiter de l’inquiétude suscitée par l’attaque pour diffuser de faux messages au nom de l’administration fiscale.

Cette méthode, appelée hameçonnage ou phishing, consiste à imiter un organisme connu afin d’amener une personne à cliquer sur un lien, à ouvrir une pièce jointe ou à communiquer des renseignements confidentiels. Les données fiscales volées peuvent rendre ces tentatives plus difficiles à identifier.

L’administration rappelle une règle claire : « Sachez que les services de la Direction générale des Finances publiques ne demandent jamais de coordonnées bancaires, d’informations personnelles, de données d’identification des fournisseurs et des clients, d’informations sur les factures ou sur les références des contacts financiers… par courriel ou téléphone. »

Un message demandant un numéro de carte bancaire, un mot de passe ou un code reçu par SMS doit donc être considéré comme frauduleux. Il ne faut ni répondre ni utiliser les coordonnées mentionnées dans le courriel.

Les vérifications à effectuer avant de cliquer

Les adresses utilisées par la DGFiP se terminent exactement par « @dgfip.finances.gouv.fr ». Une adresse presque identique, contenant une lettre supplémentaire ou un autre nom de domaine, signale une tentative d’usurpation.

Cette vérification reste utile, mais le moyen le plus sûr consiste à ne pas suivre le lien reçu. En cas de doute, il est préférable de saisir soi-même l’adresse www.impots.gouv.fr dans son navigateur, puis de se connecter à son espace sécurisé.

Les sites officiels de l’administration fiscale utilisent des adresses appartenant au domaine « .gouv.fr ». Il faut lire l’adresse complète et pas seulement repérer les mots « impôts », « finances » ou « gouvernement » dans le lien. Un faux site peut reprendre le logo et la présentation graphique de la DGFiP presque à l’identique.

Les appels téléphoniques inattendus doivent susciter la même prudence. Si une personne prétend appartenir au fisc et réclame une information confidentielle, il convient de raccrocher puis de contacter l’administration à partir d’un numéro trouvé sur son site officiel. Le numéro affiché à l’écran ne suffit pas à identifier l’appelant, car il peut être falsifié.

Sébastien Lecornu convoque une réunion de crise

Face à l’ampleur de l’incident, le Premier ministre doit présider ce lundi après-midi une cellule interministérielle de crise. La réunion se déroulera en « visioconférence sécurisée», après son déplacement en Gironde auprès des populations touchées par les incendies de l’été.

Les principaux ministères concernés doivent vérifier que le dispositif d’information des victimes est opérationnel. La réunion doit également dresser un état des lieux des mesures prises pour protéger les systèmes les plus sensibles. Matignon résume la réponse de l’État par une « doctrine constante » : « Détecter et interrompre, poursuivre, informer, renforcer ».

La DGFiP a saisi la Commission nationale de l’informatique et des libertés et annoncé le dépôt d’une plainte. La section cyber du parquet de Paris a parallèlement ouvert une enquête pour « extraction frauduleuse de données » et « association de malfaiteurs ».

La sécurité informatique de l’État de nouveau questionnée

Cette attaque intervient après plusieurs intrusions ayant affecté des organismes publics en 2026, dont l’Agence nationale des titres sécurisés, l’Insee et le fichier FICOBA. Leur succession alimente les interrogations sur la protection des grandes bases administratives.

Les sénateurs socialistes demandent la création d’une commission d’enquête parlementaire. Ils considèrent que ces incidents ne permettent pas « à ce stade de conclure à une défaillance structurelle », mais souhaitent rechercher d’éventuelles « vulnérabilités communes ».

Selon Patrick Kanner, président du groupe socialiste au Sénat, cette commission pourrait « formuler les propositions législatives, réglementaires, organisationnelles et budgétaires nécessaires ».

Un plan de 200 millions d’euros en cours de déploiement

La cellule interministérielle doit enfin examiner l’avancement du plan présenté le 30 avril par Sébastien Lecornu. Celui-ci prévoit une « nouvelle gouvernance numérique de l’État» et la création d’une autorité chargée de mieux coordonner et sécuriser les infrastructures des ministères.

Une enveloppe de 200 millions d’euros doit financer la modernisation des applications, les outils de détection et la cryptographie post-quantique. À partir de 2027, chaque ministère devra consacrer 5 % de son budget numérique à la cybersécurité. Le gouvernement veut également développer des tests d’intrusion internes et utiliser l’intelligence artificielle pour repérer les vulnérabilités. Les différentes mesures sont présentées sur le site du gouvernement.

« Les administrations françaises sont, comme l’ensemble des grandes organisations publiques et privées en Europe, la cible d’attaques informatiques dont le nombre et la sophistication augmentent ; des attaques qualifiées de délits commis contre les Français et contre l’État », ont déclaré les services du Premier ministre.