Cyberattaque des impôts : comment savoir si vos données ont été volées ?

La Direction générale des Finances publiques (DGFiP) a confirmé, le 14 août 2026, avoir subi une importante cyberattaque. Les données personnelles et fiscales de 678.000 particuliers et professionnels ont été consultées ou dérobées.

Des identifiants professionnels usurpés

Le pirate n’a pas directement forcé les comptes personnels du site impots.gouv.fr. Il a utilisé les identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité.

Grâce à ces accès, le cybercriminel a pu pénétrer dans le système informatique de l’administration. Les intrusions ont eu lieu en juin et juillet 2026.

Dès qu’elle a détecté les connexions suspectes, la DGFiP a bloqué les comptes concernés. Dans un premier temps, les contrôles n’ont toutefois pas permis de repérer le vol de données. Celui-ci n’a été confirmé qu’après des investigations plus poussées.

Quelles informations ont été dérobées ?

Les données concernées varient selon les usagers. Pour les particuliers, elles peuvent notamment comprendre :

• le nom et le prénom ;
• l’adresse postale ;
• le revenu fiscal de référence ;
• le quotient familial ;
• le taux de prélèvement à la source ;
• certaines informations cadastrales, comme l’adresse ou la superficie d’un bien immobilier.

Pour les professionnels, la fuite peut également concerner la raison sociale, l’adresse de l’entreprise ou le numéro SIREN.

La DGFiP apporte néanmoins une précision importante : les espaces personnels et professionnels sur impots.gouv.fr n’ont pas été piratés. Les identifiants et les mots de passe des usagers n’ont pas été dérobés lors de cette attaque.

Il n’est donc pas demandé de modifier immédiatement son mot de passe. Par prudence, il reste toutefois préférable d’utiliser un mot de passe unique et suffisamment complexe.

Comment savoir si vous êtes concerné ?

Vous n’avez aucune démarche particulière à effectuer. La DGFiP doit contacter directement chaque particulier et professionnel concerné.

Cette information individuelle est envoyée par courriel ou par courrier postal. Elle précise quelles données ont pu être consultées ou extraites. Elle indique également les précautions à prendre.

Il est donc inutile de contacter votre centre des Finances publiques uniquement pour savoir si vous figurez parmi les victimes.

Attention aux faux messages des impôts

Le principal risque vient désormais des tentatives d’hameçonnage, aussi appelées phishing. Les fraudeurs peuvent utiliser les informations volées pour créer des messages particulièrement crédibles.

Un faux courriel peut, par exemple, reprendre votre adresse ou une véritable donnée fiscale. Il peut ensuite vous demander de confirmer vos coordonnées bancaires, de payer une somme ou de réclamer un prétendu remboursement.

Face à un message inattendu, ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe. Ne communiquez jamais votre mot de passe, votre numéro de carte bancaire ou vos coordonnées bancaires.

Pour vérifier une information, saisissez vous-même l’adresse impots.gouv.fr dans votre navigateur. Vous pouvez ensuite consulter votre espace personnel et sa messagerie sécurisée.

La DGFiP rappelle qu’un courriel officiel utilise une adresse appartenant au domaine @dgfip.finances.gouv.fr. Les sites de l’administration fiscale doivent, quant à eux, se terminer par .gouv.fr. (1)

Un courriel frauduleux peut être signalé sur Signal Spam. Un SMS ou un appel suspect peut être transmis au 33700. L’adresse d’un faux site peut également être signalée à Phishing Initiative. (2)