Par Sébastien Secrecy, développeur indépendant.
Si vous avez reçu ces jours-ci un courriel ou une lettre de la Direction générale des Finances publiques, ce n’est probablement pas un hameçonnage. Depuis le lundi 17 août, l’administration fiscale prévient un par un les usagers dont les données ont été consultées et extraites en juin et juillet, par des personnes qui avaient usurpé les identifiants d’agents publics. C’est le second incident de l’année au fisc, après la consultation du fichier des comptes bancaires entre fin janvier et mi-février. Voici ce que dit la FAQ officielle publiée le 21 août, et ce qu’elle ne dit pas.
Ce qui a été lu
Pour chaque personne concernée, selon la DGFiP : l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale, c’est-à-dire la situation de famille, le nombre de personnes à charge, le nombre de parts, le revenu fiscal de référence et le taux de prélèvement à la source, ainsi que la liste des messages échangés avec l’administration par la messagerie d’impots.gouv.fr. Le communiqué de Bercy du 14 août parle d’« un total de 678 000 particuliers et professionnels ». Pour les professionnels, la raison sociale et le SIREN ont aussi été consultés, et pour les propriétaires, des données cadastrales : adresses et surfaces des biens.
Ce qui n’a pas été touché, et c’est important : les espaces personnels n’ont pas été compromis, aucun mot de passe n’a fui, et cette fois, aucune coordonnée bancaire, contrairement à l’épisode de l’hiver où 1,2 million de comptes du fichier FICOBA avaient été consultés avec RIB, identité et adresse. Par précaution, la double authentification de tous les espaces particuliers a été réinitialisée le 20 août : à la prochaine connexion, on vous redemandera un code.
Ce que ça vaut pour un escroc
Plus qu’il n’y paraît. Le revenu fiscal de référence et le taux de prélèvement disent combien vous gagnez, donc combien on peut vous demander. La situation de famille dit si vous avez des enfants, donc si l’arnaque au faux proche peut marcher. Les messages échangés avec le fisc disent ce qui vous préoccupe : un désaccord sur un avis, une demande de délai, une question sur un crédit d’impôt. Un escroc qui a lu votre dernier message peut vous rappeler « à son sujet ». La DGFiP elle-même cite les risques : hameçonnage, appels frauduleux au faux conseiller bancaire, fraude au président, tous « rendus plus crédibles par la mention de vos données personnelles ».
Et ces données ne restent pas seules. Recoupées avec les fuites de 2024, mutuelles et France Travail, et avec les 11,7 millions de comptes du service des titres sécurisés révélés en avril, elles complètent pour des millions de personnes un dossier où tout est vrai, sauf la personne qui appelle. La CNIL a compté 6 167 violations de données en 2025, un record, dont une quarantaine touchant chacune plus d’un million de personnes ; l’administration est parmi les secteurs les plus visés.
Les appels qui vont suivre
Le calendrier joue pour les fraudeurs : avis d’impôt reçus cet été, taxe foncière à l’automne. Attendez-vous à trois scénarios. Le faux agent des impôts qui annonce un trop-perçu à vous rembourser et vous demande de « confirmer » un RIB ou de cliquer sur un lien. Le faux agent qui, au contraire, réclame une régularisation urgente sous menace de pénalités, par virement ou par un moyen exotique. Et le faux conseiller bancaire qui, pour prouver qu’il est bien de votre banque, récite votre revenu fiscal de référence avant de vous faire « sécuriser » votre compte. Dans les trois cas, tout ce qu’il sait est exact, et ça ne prouve rien.
Que faire, concrètement
L’administration fiscale ne demande jamais d’information confidentielle par courriel, SMS ou téléphone. Ses courriels se terminent par @dgfip.finances.gouv.fr ou @authentification.impots.gouv.fr, rien d’autre. Pour accéder à votre espace, tapez vous-même impots.gouv.fr ou ouvrez l’application, jamais un lien reçu. Si quelqu’un vous appelle au nom des impôts ou de votre banque, raccrochez et rappelez le numéro qui figure sur votre avis ou sur votre carte, pas celui de l’appel. Conservez les preuves d’une tentative, signalez-la sur cybermalveillance.gouv.fr, et déposez plainte, en ligne via la plateforme THÉSÉE si vous préférez. Enfin, prévenez vos parents : ce sont eux qu’on appellera en premier.
Rien de ce qu’on sait sur vous ne prouve qui vous parle. C’est la conclusion de mon billet de mars, et la raison d’être de TrustWords, l’application que je termine et qui sort dans les prochains jours : entre proches, deux mots renouvelés toutes les dix minutes sur les deux téléphones, que personne ne peut lire dans un fichier.