Piratage du site des impôts : quels risques si mon compte personnel a été exposé ?

⏳ Temps de lecture : 5 minutes

Vous avez reçu un courriel de la DGFiP. Votre cœur s’emballe. La nouvelle est tombée : votre compte a été exposé lors du piratage du site des impôts d’août 2026. Pourtant, le fisc vous rassure : les mots de passe n’ont pas fui. Alors, que risquez-vous concrètement ?

Le 14 août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé une intrusion massive. 678 438 lignes de données ont été dérobées. Ce chiffre représente 1,01 % des 67,1 millions de contribuables français. Un ratio qui pourrait sembler faible. Pourtant, derrière chaque ligne se cache une personne. Une personne comme vous, dont les données fiscales sont désormais entre de mauvaises mains. Les attaques, survenues en juin et juillet, ont été rendues possibles par l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité.

🔊 Version audio

L’assaut en deux vagues : le récit d’une cyberattaque d’ampleur

Le piratage du site des impôts ne se résume pas à un unique incident. Il s’agit de deux assauts distincts, menés par le même groupe, ZeroBytes. La première offensive, en juin 2026, a visé le portail impots.gouv.fr. Le pirate a usurpé l’identité d’un agent pour accéder à un VPN interne. Il a ensuite aspiré des données fiscales via un outil de recherche. Résultat : 678 438 lignes de données personnelles exfiltrées.

La deuxième attaque, en juillet, a ciblé le Serveur professionnel de données cadastrales (SPDC). ZeroBytes a contourné l’authentification multifacteur. Il a récupéré plus de 250 000 lignes, correspondant à des informations sur des biens immobiliers. Là où cela devient fascinant, c’est que ces deux intrusions sont restées indétectées pendant des semaines. La DGFiP n’a pris conscience de l’ampleur des dégâts qu’après la revendication publique du pirate, le 12 août 2026.

Le contenu du butin : quelles données ont vraiment fui ?

Pour comprendre les risques, il faut d’abord connaître la nature des données volées. Le fisc a communiqué la liste précise des informations compromises. Pour les particuliers, cela inclut :

1. Nom et prénom : l’identité civile de base.
2. Revenu fiscal de référence : une donnée clé pour évaluer votre situation financière.
3. Quotient familial : qui révèle votre composition familiale.
4. Taux de prélèvement à la source : un indicateur de votre niveau d’imposition.

Pour les entreprises, les données dérobées comprennent la raison sociale et le numéro SIREN. Le fisc alerte également sur un risque de fuite de données cadastrales, relatives aux adresses et aux surfaces des biens immobiliers.

Le risque zéro n’existe pas : pourquoi les mots de passe ne sont pas la seule menace

La DGFiP martèle un message rassurant : les données dérobées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr. En effet, les identifiants et mots de passe n’ont pas été consultés. Vous pouvez donc vous connecter en toute sécurité. Mais ce n’est pas tout. Le véritable danger réside ailleurs.

Les données volées, bien que non suffisantes pour un piratage direct, sont des munitions pour des attaques plus sophistiquées. Imaginons qu’un fraudeur croise votre nom, votre revenu fiscal et votre adresse (via les données cadastrales). Il peut alors vous contacter par téléphone ou par courriel. Il mentionnera votre numéro fiscal pour gagner votre confiance. Il vous proposera un “remboursement” ou une “régularisation”. Vous baisserez votre garde. C’est le principe de l’hameçonnage ciblé, ou spear phishing.

Le site FICOBA et le cadastre sont des sources de données qui, une fois recoupées, permettent de dresser un portrait-robot financier de chaque victime. C’est ce croisement qui rend la fuite dangereuse.

Concrètement, que risquez-vous si votre compte a été exposé ?

Vous êtes-vous déjà demandé ce qu’un pirate peut faire avec votre revenu fiscal de référence ? La réponse est : beaucoup de choses, mais indirectement.

• Usurpation d’identité : un fraudeur peut utiliser vos données pour ouvrir des comptes bancaires ou souscrire des crédits à votre nom. Votre revenu fiscal, associé à votre identité, rend la fraude plus crédible.
• Arnaques sur mesure : les escrocs peuvent vous contacter en citant des données réelles (votre taux d’imposition, votre quotient familial). Leurs messages paraîtront authentiques. Ils vous inciteront à cliquer sur des liens malveillants ou à communiquer des informations bancaires.
• Chantage : dans certains cas, les pirates peuvent menacer de divulguer des informations sensibles, comme votre situation familiale ou vos revenus, si vous ne payez pas une rançon.
• Revente de données : les données volées ont une valeur sur le dark web. Elles sont revendues à d’autres cybercriminels qui les utiliseront pour leurs propres campagnes de fraude.

Le principal risque, selon les experts, reste celui de l’hameçonnage. Les hackers pourraient mentionner votre numéro fiscal pour rendre l’escroquerie plus crédible. Une donnée que vous ne retrouvez nulle part ailleurs ? La sophistication de l’attaque a empêché la DGFiP de détecter le vol de données pendant plusieurs semaines. Les contrôles effectués “n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données”.

Le gouvernement à l’épreuve : entre excuses et mesures d’urgence

Face à l’ampleur du scandale, le gouvernement a réagi. Le Premier ministre, Sébastien Lecornu, a convoqué une cellule interministérielle de crise le 17 août 2026. Il a demandé à l’ANSSI (Agence nationale de la sécurité des systèmes d’information) un audit approfondi sur le vol de données. La directrice générale des Finances publiques, Amélie Verdier, a présenté ses “excuses à tous les usagers concernés”.

Le gouvernement a également annoncé un renforcement de la cybersécurité de l’État. Un “plan de sécurisation des systèmes d’information de l’État” a été lancé. Mais ces mesures, bien que nécessaires, ne résolvent pas le problème immédiat. Les données sont déjà dans la nature. La question n’est pas de savoir si une tentative de fraude aura lieu, mais quand et comment.

Questions fréquentes sur le piratage du site des impôts

Mon compte sur impots.gouv.fr a-t-il été piraté ?
Non. Les pirates n’ont pas accédé aux comptes sécurisés. Les identifiants et mots de passe n’ont pas été volés.

Comment savoir si je suis concerné ?
La DGFiP contacte directement les personnes concernées par courriel ou courrier, à compter du 17 août 2026.

Que dois-je faire si je reçois un courriel suspect ?
Ne cliquez sur aucun lien. Ne répondez pas. Transférez-le à la plateforme gouvernementale de signalement des spams (signal-spam.gouv.fr).

Les données cadastrales sont-elles vraiment sensibles ?
Oui. Elles révèlent votre adresse et la superficie de votre bien, ce qui peut être utilisé pour des arnaques ciblées ou du repérage.

Puis-je porter plainte ?
Oui. Vous pouvez déposer une plainte auprès de la gendarmerie ou du commissariat de police pour “usurpation d’identité” ou “escroquerie” si vous êtes victime d’une fraude.

Tableau comparatif : les deux vagues de l’attaque

Caractéristique	Première attaque (juin 2026)	Deuxième attaque (juillet 2026)
Cible	Portail impots.gouv.fr (particuliers et entreprises)	Serveur professionnel de données cadastrales (SPDC)
Mode d’accès	Usurpation d’identifiants d’un agent (VPN)	Contournement de l’authentification multifacteur
Données volées	Revenu fiscal, quotient familial, taux de prélèvement, SIREN	Adresses, surfaces de biens immobiliers
Volume	678 438 lignes	Plus de 250 000 lignes
Revendication	12 août 2026 sur un forum du dark web	14 août 2026, parallèlement au communiqué de Bercy