Ce qui s’est passé

Le 13 août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé avoir été victime d’une intrusion dans ses systèmes. Deux fuites de données distinctes ont été identifiées.

La première concerne environ 350 000 particuliers et 250 000 comptes professionnels. Les informations concernées sont couvertes par le secret fiscal : nom, prénom, revenu fiscal de référence, quotient familial, taux de prélèvement à la source.

La seconde, révélée le même jour, touche jusqu’à 433 485 particuliers et 1 082 professionnels, via le serveur professionnel de données cadastrales. Sont concernées les adresses des biens immobiliers, leur surface, ainsi que les références de parcelle.

La DGFiP notifie individuellement les personnes concernées depuis la semaine du 17 août, par email ou courrier. Ne pas recevoir de notification ne signifie pas qu’il faut faire une démarche particulière : c’est la communication officielle de l’administration qui fait foi, pas une inquiétude générale.

Suis-je concerné ?

Si vous êtes un particulier, les données potentiellement exposées sont votre identité, votre situation fiscale (revenu de référence, quotient familial, taux de prélèvement) et, pour une partie des personnes touchées, l’adresse et les caractéristiques de votre bien immobilier.

Si vous êtes un professionnel (TPE/PME), ce sont la raison sociale, le numéro SIREN et certaines adresses qui ont pu être consultés.

Ce que ces données permettent concrètement

Une fuite de mot de passe se corrige en changeant de mot de passe. Une fuite de données fiscales ou cadastrales ne se corrige pas : on ne change ni son adresse, ni son historique de revenus. C’est ce qui rend ce type d’incident différent des fuites plus classiques, et c’est pour cette raison que la vigilance doit s’installer dans la durée, pas seulement dans les prochains jours.

Voici les scénarios que ce type de données rend possibles, tels qu’ils sont documentés par les autorités et les experts en cybersécurité mobilisés sur ce dossier. Cette liste n’est pas exhaustive : elle présente les scénarios les plus documentés à ce jour, pas un inventaire complet des fraudes possibles.

Pour les particuliers

• Phishing ciblé crédible. Un email ou SMS se présentant comme la DGFiP, citant votre vrai nom ou votre situation fiscale réelle pour paraître légitime, et demandant de confirmer un remboursement ou des coordonnées bancaires.
• Faux agent au téléphone. Un interlocuteur qui connaît déjà des éléments réels vous concernant pour gagner votre confiance rapidement, avant de pousser à la communication d’un code de validation bancaire.
• Usurpation d’identité administrative. Ouverture de crédit ou souscription frauduleuse facilitée par la combinaison de votre identité et de vos données fiscales.
• Ciblage patrimonial. Le recoupement entre niveau de revenu et données cadastrales permet d’identifier des profils intéressants pour des arnaques à l’investissement ou aux produits financiers.
• Ciblage physique du domicile. L’adresse couplée à des indicateurs de valeur du bien peut, dans les cas les plus graves, exposer à un risque de repérage en vue d’un cambriolage. C’est un point que plusieurs experts en cybersécurité mobilisés sur ce dossier ont explicitement soulevé cette semaine dans les médias : ce risque n’est pas théorique.
• Fraude au RIB en transaction immobilière. Si vous êtes engagé dans un achat, une vente ou une location, un escroc peut usurper l’identité de votre notaire, agent immobilier ou bailleur pour vous transmettre un RIB falsifié et détourner un virement. Ce risque est amplifié par la fuite cadastrale, qui identifie précisément les propriétaires de biens.

Pour les professionnels

• Fraude au RIB ou au faux fournisseur. Un attaquant utilisant votre SIREN et votre raison sociale réels pour se faire passer pour votre entreprise et demander en urgence un changement de coordonnées bancaires.
• Usurpation commerciale. Création de fausses factures ou d’un faux interlocuteur s’appuyant sur des informations d’entreprise authentiques pour tromper vos clients ou fournisseurs.
• Ingénierie sociale ciblant vos équipes comptables ou RH. Un appel invoquant un contrôle fiscal, s’appuyant sur des données réelles pour paraître crédible face à un collaborateur non sensibilisé.

Les réflexes à adopter dès maintenant

Ces réflexes ne dépendent pas d’un délai : ils s’appliquent que vous ayez reçu une notification ou non, et restent valables dans la durée, pas seulement les prochains jours.

• Ne jamais rappeler un numéro reçu par SMS ou email : composez toujours le numéro officiel de la DGFiP retrouvé par vous-même.
• Méfiez-vous de toute demande présentée comme urgente concernant vos coordonnées bancaires, même si votre interlocuteur semble bien informé.
• Évitez d’annoncer vos absences à venir sur les réseaux sociaux dans les prochaines semaines.
• Si votre logement va rester vide un moment, vérifiez que serrures, alarme et éclairage extérieur sont opérationnels, et signalez toute démarche inhabituelle liée à votre bien (faux diagnostiqueur, fausse visite). Le dispositif « opération tranquillité vacances » existe auprès de votre commissariat ou gendarmerie si vous souhaitez un passage renforcé.
• Si une transaction immobilière est en cours, vérifiez systématiquement tout RIB reçu par email en appelant votre interlocuteur sur un numéro que vous connaissiez déjà – jamais celui indiqué dans le message reçu.
• Côté professionnel : sensibilisez vos équipes comptables et RH à ne jamais modifier des coordonnées bancaires fournisseur sur simple appel ou email, même urgent – une vérification par un second canal doit être systématique.

Aucun outil public ne permet aujourd’hui de vérifier si vous êtes concerné en dehors de cette notification individuelle – tout site qui propose de le faire doit être évité. Vous pouvez, si vous le souhaitez, exercer votre droit d’accès RGPD directement auprès de la DGFiP pour obtenir la liste exacte des données vous concernant, sans attendre le courrier.

À partir de la réception d’une notification confirmée, surveillez vos comptes bancaires avec attention dans les semaines qui suivent.

Les réflexes de fond, à installer durablement

• Activez la double authentification partout où c’est possible, en particulier sur vos comptes bancaires et administratifs.
• Utilisez un gestionnaire de mots de passe plutôt que des mots de passe réutilisés.
• Formez-vous, vous et vos équipes, à repérer les techniques d’ingénierie sociale : l’urgence et l’autorité apparente sont les deux leviers les plus utilisés par les attaquants.
• Sauvegardez régulièrement vos données importantes, séparément de vos appareils principaux.
• Gardez un œil régulier sur vos propres données : relevés bancaires, avis d’imposition, courriers administratifs inhabituels.

En cas de doute avéré

Si vous constatez une opération suspecte : faites opposition auprès de votre banque sans délai. Pour un SMS frauduleux, transférez-le au 33700. Pour un email frauduleux, signalez-le via Signal Spam. Pour un site ou message frauduleux plus généralement, le signalement se fait sur Pharos (internet-signalement.gouv.fr). En cas de doute sur la marche à suivre, cybermalveillance.gouv.fr propose un parcours d’accompagnement adapté à votre situation. Si une fraude à la carte bancaire est avérée et que l’opposition a déjà été faite, Perceval (via service-public.fr) permet de la signaler. Enfin, si vos données personnelles sont en cause, le signalement à la CNIL reste pertinent.