Vous recevez un email de la Direction générale des Finances publiques.
Il vous indique que certaines de vos données ont été consultées ou extraites lors de la cyberattaque récemment révélée.
Première réaction logique :
“Qu’est-ce que je dois faire maintenant ?”
Changer tous ses mots de passe ?
Appeler sa banque ?
Bloquer sa carte bancaire ?
Déposer plainte ?
Changer son adresse email ?
Surveiller ses comptes pendant six mois ?
La réponse n’est pas “faites tout”.
Certaines actions sont utiles immédiatement. D’autres ne servent à rien tant qu’aucune fraude n’a réellement eu lieu.
Voici donc un plan concret.
D’abord : savoir si vous êtes réellement concerné
Depuis le 17 août 2026, la DGFiP contacte directement les personnes concernées par le vol de données, par courriel ou par courrier postal lorsqu’elle ne dispose pas d’une adresse électronique.
La FAQ officielle publiée le 21 août précise que les informations susceptibles d’avoir été consultées comprennent notamment :
- votre identifiant fiscal ;
- votre état civil ;
- vos coordonnées postales ;
- votre numéro de téléphone ;
- votre adresse électronique ;
- votre situation familiale ;
- le nombre de personnes à charge ;
- votre nombre de parts fiscales ;
- votre revenu fiscal de référence ;
- votre taux de prélèvement à la source ;
- la liste des messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr.
Des données cadastrales ont également pu être consultées lors de l’incident.
C’est beaucoup d’informations.
Mais il faut aussi préciser ce qui n’a pas été compromis, selon la DGFiP :
les espaces personnels et professionnels impots.gouv.fr n’ont pas été piratés, et les identifiants de connexion ainsi que les mots de passe des usagers n’ont pas été compromis.
Cette distinction est importante pour décider quoi faire ensuite.
Étape 1 — Ne cliquez sur aucun lien reçu à propos de cette fuite
C’est probablement la mesure la plus importante.
À partir du moment où une fuite devient publique, les fraudeurs disposent d’un prétexte parfait :
“Suite à la cyberattaque de la DGFiP, nous devons sécuriser votre compte.”
Ou :
“Vos données ont été compromises. Cliquez ici pour confirmer votre identité.”
Ou encore :
“Un remboursement fiscal est bloqué à la suite de l’incident.”
Le message peut sembler extrêmement crédible.
Il peut même contenir votre vrai nom, votre adresse, votre situation fiscale ou d’autres informations issues de la fuite.
La DGFiP avertit explicitement que les données volées peuvent être utilisées pour rendre plus crédibles des tentatives de phishing ou des appels frauduleux.
La règle est donc simple :
ne vous connectez jamais à impots.gouv.fr à partir d’un lien reçu par email ou SMS.
Ouvrez votre navigateur et tapez vous-même :
impots.gouv.fr
La DGFiP rappelle également qu’elle ne demande jamais d’informations confidentielles par email, SMS ou téléphone. Elle ne demande notamment jamais un numéro de carte bancaire pour procéder à un remboursement fiscal.
Étape 2 — Vérifiez votre espace impots.gouv.fr directement
Connectez-vous vous-même à votre espace Finances publiques.
Il ne s’agit pas de paniquer, mais de vérifier que tout semble normal.
Regardez notamment :
- vos coordonnées ;
- votre messagerie sécurisée ;
- les messages récents ;
- les informations principales de votre dossier.
La DGFiP précise que les espaces personnels n’ont pas été compromis. Il ne s’agit donc pas d’une obligation de “récupérer” votre compte, mais simplement d’une vérification raisonnable après un incident de cette ampleur.
Autre point important : par mesure de sécurité, la DGFiP a réinitialisé le 20 août 2026 la double authentification valable six mois sur le même navigateur pour l’ensemble des particuliers. Il peut donc être normal que votre navigateur vous demande de refaire cette validation.
Étape 3 — Faut-il changer son mot de passe impots.gouv.fr ?
Pas obligatoirement à cause de cette fuite.
La DGFiP indique que les mots de passe des particuliers et professionnels n’ont pas été compromis.
Il n’y a donc pas de raison technique de modifier immédiatement un mot de passe unique et solide uniquement à cause de cet incident.
En revanche, changez-le si :
- vous utilisez le même mot de passe ailleurs ;
- votre mot de passe est ancien ou faible ;
- vous constatez quelque chose d’inhabituel ;
- vous avez cliqué sur un message frauduleux ;
- vous avez saisi vos identifiants sur un site dont vous n’êtes plus certain.
Et surtout : si vous réutilisez le même mot de passe sur plusieurs services, corrigez cette habitude maintenant.
La CNIL recommande l’utilisation de mots de passe différents et l’activation de l’authentification multifacteur lorsque le service le permet.
Étape 4 — Sécurisez d’abord votre adresse email
C’est probablement plus important que de changer votre mot de passe fiscal.
Pourquoi ?
Parce que votre adresse email sert souvent à récupérer les mots de passe de nombreux autres services :
banque,
commerce en ligne,
réseaux sociaux,
administrations,
cloud,
assurances.
Si votre adresse électronique figure parmi les informations volées, elle peut désormais être utilisée pour vous cibler beaucoup plus précisément.
Vérifiez donc votre messagerie principale :
- utilisez un mot de passe unique ;
- activez le MFA si disponible ;
- vérifiez les connexions récentes ;
- contrôlez qu’aucune règle de transfert inconnue n’a été créée ;
- vérifiez les appareils connectés.
Votre email est souvent la clé qui permet de récupérer toutes les autres clés.
Étape 5 — Préparez-vous au vrai danger : le phishing personnalisé
Après ce type de fuite, le problème le plus probable n’est pas qu’un pirate se connecte directement à votre compte fiscal.
Le problème est qu’il vous convainque de faire quelque chose vous-même.
La CNIL explique qu’une fuite de données permet de produire des courriels ou SMS frauduleux beaucoup plus réalistes grâce aux véritables informations récupérées.
Dans le cas DGFiP, imaginez un appel :
“Bonjour Monsieur Dupont. Nous vous contactons au sujet de votre dossier fiscal. Votre revenu fiscal de référence est de X euros et nous avons détecté une anomalie sur votre prélèvement à la source.”
Vous reconnaissez les informations.
Elles sont exactes.
Vous commencez donc naturellement à faire confiance à votre interlocuteur.
C’est précisément le piège.
Désormais, considérez comme suspect tout message qui vous demande :
- de confirmer votre identité ;
- de communiquer un code reçu par SMS ;
- de fournir votre numéro de carte ;
- d’installer une application ;
- de donner accès à votre ordinateur ;
- de faire un virement ;
- de déplacer votre argent vers un “compte sécurisé” ;
- de communiquer vos identifiants bancaires ou fiscaux ;
- d’agir dans l’urgence.
Même si votre interlocuteur connaît votre vrai nom, votre adresse, vos revenus ou votre situation familiale.
La connaissance de vos données n’est plus une preuve de son identité.
C’est probablement la leçon la plus importante de cette fuite.
Étape 6 — Faut-il appeler sa banque immédiatement ?
Si vous avez seulement reçu l’information de la DGFiP et qu’aucune fraude n’est détectée :
il n’est pas nécessaire de bloquer votre carte bancaire ou votre compte.
Le communiqué DGFiP n’indique pas que vos numéros de carte bancaire ou vos identifiants bancaires ont été volés lors de cet incident.
En revanche, prenez l’habitude pendant les semaines suivantes de consulter régulièrement vos opérations bancaires.
Cherchez :
- des prélèvements inconnus ;
- des virements inhabituels ;
- des bénéficiaires que vous n’avez pas ajoutés ;
- des demandes de validation que vous n’avez pas initiées.
Et surtout, méfiez-vous du faux conseiller bancaire.
La FAQ officielle DGFiP cite précisément les fraudes par manipulation, dont les faux conseillers bancaires, parmi les risques rendus plus crédibles par les données volées.
Si quelqu’un vous appelle en prétendant être votre banque :
raccrochez.
Puis appelez vous-même votre banque au numéro habituel ou à celui inscrit sur votre carte.
Étape 7 — Ne déposez pas plainte simplement parce que vos données ont fuité
C’est une distinction importante.
Être concerné par une violation de données n’est pas automatiquement la même chose qu’avoir subi une fraude ou une usurpation d’identité.
La CNIL a déjà été officiellement saisie concernant l’incident DGFiP. Elle précise qu’il n’est pas nécessaire de lui adresser une plainte individuelle concernant cette violation de données.
De même, il n’est pas utile d’aller immédiatement au commissariat uniquement parce que la DGFiP vous a informé que vos données figurent parmi celles concernées.
En revanche, la situation change dès que vous constatez :
- une opération frauduleuse ;
- un compte créé à votre nom ;
- un crédit que vous n’avez jamais demandé ;
- un faux profil utilisant votre identité ;
- un abonnement contracté à votre nom ;
- une tentative réelle d’escroquerie vous ayant causé un préjudice.
Là, il faut agir.
Étape 8 — Si vous recevez une tentative de fraude, conservez les preuves
Ne supprimez pas tout immédiatement.
Avant de supprimer un message frauduleux, conservez :
- l’email ;
- le SMS ;
- le numéro de téléphone ;
- les captures d’écran ;
- l’adresse du site ;
- l’heure de l’appel ;
- les éventuels documents reçus ;
- les opérations bancaires suspectes.
Cybermalveillance.gouv.fr recommande explicitement de conserver les messages, URL, captures et autres éléments susceptibles de servir de preuve.
Vous pouvez ensuite utiliser 17Cyber, le service public d’assistance en ligne opéré par cybermalveillance.gouv.fr avec la Police nationale et la Gendarmerie nationale.
Le service est disponible 24 h/24 et 7 j/7 et fournit un diagnostic ainsi que les démarches adaptées à la situation.
Étape 9 — Si votre identité est réellement usurpée, passez à un autre niveau
Si quelqu’un utilise réellement votre identité, il ne s’agit plus seulement de vigilance.
Il faut constituer un dossier.
Cybermalveillance.gouv.fr recommande alors :
- de conserver toutes les preuves ;
- de signaler l’usurpation aux organismes concernés ;
- de déposer plainte ;
- de prévenir immédiatement les banques et établissements financiers dont vous êtes client ;
- de sécuriser les comptes éventuellement compromis.
Et il existe trois fichiers importants que peu de personnes connaissent.
FICOBA
Le fichier FICOBA recense les comptes bancaires ouverts en France.
Si vous soupçonnez qu’un escroc a ouvert un compte à votre nom, vous pouvez demander à consulter les comptes enregistrés sous votre identité depuis votre espace particulier impots.gouv.fr, rubrique « Autres services ».
FICP
Le Fichier national des incidents de remboursement des crédits aux particuliers permet notamment de vérifier si des incidents liés à des crédits sont enregistrés sous votre identité.
FCC
Le Fichier central des chèques contient certaines informations liées aux incidents sur chèques et cartes bancaires.
La Banque de France recommande aux victimes d’usurpation de consulter le FICP et le FCC afin de détecter d’éventuelles opérations réalisées frauduleusement en leur nom.
Il n’est pas nécessaire de faire ces démarches chaque semaine simplement parce que vos données DGFiP ont fuité.
Elles deviennent particulièrement utiles si vous voyez apparaître des signes concrets d’usurpation.
Étape 10 — N’envoyez plus vos documents d’identité “nus”
Cette fuite rappelle un autre problème : les fraudeurs croisent les données provenant de plusieurs incidents.
Une information isolée peut sembler peu dangereuse.
Mais combinée avec :
- une adresse ;
- un numéro fiscal ;
- un avis d’imposition ;
- une pièce d’identité ;
- un RIB ;
- un numéro de téléphone ;
elle peut devenir beaucoup plus exploitable.
Lorsque vous devez transmettre une copie de pièce d’identité, cybermalveillance.gouv.fr recommande de la marquer avec le motif, la date et le destinataire pour limiter sa réutilisation frauduleuse. Le service public filigrane.beta.gouv.fr permet notamment d’ajouter ce type de filigrane.
C’est une excellente habitude à adopter maintenant.
Le plan concret : aujourd’hui, cette semaine, les prochains mois
Aujourd’hui
- Connectez-vous directement à impots.gouv.fr sans passer par un lien reçu.
- Vérifiez que votre espace semble normal.
- Sécurisez votre adresse email principale.
- Changez les mots de passe que vous réutilisez sur plusieurs services.
- Activez le MFA partout où il est proposé.
- Informez votre conjoint et les personnes de votre foyer.
- Prévenez particulièrement les personnes âgées ou peu familières avec le numérique.
La CNIL recommande précisément de partager les informations de vigilance avec les proches potentiellement concernés, notamment les personnes vulnérables.
Pendant les prochaines semaines
Surveillez :
- vos emails ;
- vos SMS ;
- les appels prétendant venir des impôts ;
- les appels de “conseillers bancaires” ;
- vos comptes bancaires ;
- les notifications de connexion à vos principaux services.
Ne vous laissez pas impressionner par quelqu’un qui connaît des informations personnelles exactes.
Ces informations peuvent justement provenir de la fuite.
Pendant les prochains mois
Le risque ne disparaît pas quand l’actualité disparaît.
Une base de données volée peut être conservée, revendue, recoupée et réutilisée longtemps après l’attaque.
Gardez donc les mêmes réflexes :
- mots de passe uniques ;
- MFA ;
- contrôle des comptes ;
- prudence face aux appels ;
- vérification systématique des demandes inhabituelles ;
- filigrane sur les documents sensibles transmis.
Ce qu’il ne faut PAS faire
Après une fuite importante, la peur pousse parfois à multiplier les actions inutiles.
Il n’est pas nécessaire, uniquement à cause de l’incident DGFiP, de :
- bloquer immédiatement votre carte bancaire ;
- fermer votre compte bancaire ;
- demander un nouveau numéro fiscal ;
- renouveler votre carte d’identité ;
- déposer plainte alors qu’aucune fraude n’a eu lieu ;
- déposer une plainte individuelle auprès de la CNIL pour la violation DGFiP ;
- changer votre mot de passe fiscal uniquement parce que la fuite existe, s’il est unique et qu’aucune activité suspecte n’est observée.
En revanche, certaines de ces actions deviennent nécessaires si une fraude ou une usurpation réelle est détectée.
Le bon principe est donc :
ne paniquez pas, mais augmentez fortement votre vigilance.
Le changement de réflexe le plus important
Pendant longtemps, nous avons utilisé une information personnelle comme moyen de vérifier l’identité d’une personne.
“Il connaît mon adresse.”
“Il connaît ma banque.”
“Il connaît mon revenu.”
“Il connaît mon numéro fiscal.”
“Il sait que je possède ce logement.”
Donc nous lui faisons confiance.
Après des fuites comme celle de la DGFiP, ce raisonnement ne fonctionne plus.
Un fraudeur peut connaître énormément de choses sur vous sans être votre banque, votre administration ou votre conseiller.
Une information correcte n’est plus une preuve d’identité.
La seule vraie vérification consiste à reprendre vous-même le contrôle du canal :
raccrocher,
fermer le message,
ouvrir vous-même le site officiel,
appeler vous-même le numéro connu.
Ce réflexe protège contre une grande partie des fraudes qui suivront ce type de fuite.
Conclusion
Quand des données personnelles ont été volées, il est impossible de les “changer” comme un mot de passe.
On ne peut pas changer facilement son nom, son historique fiscal, son adresse passée ou son revenu fiscal de référence.
La protection doit donc changer de logique.
Il ne s’agit plus seulement d’empêcher la fuite : il faut rendre les données volées moins utiles aux fraudeurs.
Cela passe par quelques habitudes extrêmement simples :
ne jamais faire confiance à un appel uniquement parce que l’interlocuteur connaît vos informations ;
ne jamais cliquer sur un lien administratif reçu dans l’urgence ;
se connecter soi-même aux sites officiels ;
protéger sa messagerie ;
utiliser le MFA ;
surveiller ses comptes ;
conserver les preuves dès qu’une fraude apparaît ;
et réagir rapidement si une véritable usurpation d’identité est détectée.
Le piratage de la DGFiP rappelle finalement une règle que nous devrons tous intégrer :
vos données personnelles peuvent désormais être connues d’un fraudeur.
Votre vigilance doit donc porter moins sur ce qu’il sait, et davantage sur ce qu’il vous demande de faire.
Checklist à conserver
- Je me connecte moi-même à
impots.gouv.fr. - Je ne clique pas sur les liens reçus par email ou SMS.
- Mon adresse email utilise un mot de passe unique.
- J’active le MFA lorsqu’il est disponible.
- Je surveille régulièrement mes opérations bancaires.
- Je raccroche lorsqu’un prétendu conseiller bancaire me demande d’agir.
- Je rappelle les organismes via leurs coordonnées officielles.
- Je conserve les preuves en cas de tentative de fraude.
- J’utilise 17Cyber si je suis victime d’une cybermalveillance.
- En cas d’usurpation réelle, je préviens ma banque et je dépose plainte.
- Si nécessaire, je contrôle FICOBA, FICP et FCC.
- Je filigrane les copies de documents d’identité que je transmets.
