678 000 contribuables touchés par la fuite de données fiscales

La fuite de données fiscales reconnue par la Direction générale des Finances publiques le 13 août concerne 678 000 particuliers et professionnels, et Bercy précise que ce total reste provisoire. L'affaire n'a rien de récent : l'accès frauduleux remonte à la fin du mois de juin 2026. Elle n'est devenue publique que la veille de l'aveu, quand un pirate a revendiqué son butin sur un forum criminel.

Celui qui signe du pseudonyme ZeroBytes affirme détenir 678 438 lignes, d'après Clubic : environ 392 800 particuliers et 285 500 professionnels. Le contenu compte peu de surprises mais beaucoup de précision. Nom, prénom, date et lieu de naissance, adresse postale, courriel, téléphone. Et surtout situation familiale, nombre de personnes à charge, revenu fiscal de référence et taux de prélèvement à la source.

C'est ce second bloc qui change la donne. Un escroc n'a plus besoin de votre mot de passe s'il connaît déjà vos revenus, la composition de votre foyer et l'adresse à laquelle l'administration vous écrit. Ni mot de passe ni coordonnées bancaires ne figurent dans la liste décrite par le ministère. C'est une bonne nouvelle très relative, parce que le danger réel se situe ailleurs.

Comment la fuite de données fiscales a eu lieu

Aucune faille logicielle n'a été forcée depuis l'extérieur. L'attaquant a usurpé les identifiants d'un agent qui disposait légitimement d'un outil de consultation des dossiers. Autrement dit, il n'a pas cassé la porte : il est entré avec les clés de quelqu'un d'autre, et le système l'a traité comme un fonctionnaire ordinaire faisant son travail.

Cet accès, qui avait été coupé fin juin dans le cadre du contrôle opéré, a néanmoins permis la consultation et l'extraction de données.

Sept semaines séparent donc la coupure de l'accès et l'information du public. La DGFiP indique qu'elle notifiera l'incident à la CNIL, déposera plainte et communiquera au fur et à mesure de l'enquête. Le syndicat Solidaires Finances Publiques, lui, affirme avoir alerté sur ce type de risque dès le mois de juin.

Pourquoi le revenu fiscal de référence vaut de l'or

Un fichier d'adresses se vend mal. Un fichier trié par revenus se vend très bien. Selon les chiffres revendiqués par le pirate et relayés par Clubic, 26 805 personnes du lot déclarent plus de 100 000 euros de revenu fiscal de référence, 386 dépassent le million et huit franchissent les dix millions d'euros. Ce tri transforme un vol de masse en liste de cibles prioritaires.

Le taux de prélèvement à la source ajoute une couche de crédibilité redoutable. C'est un chiffre que presque personne ne connaît par cœur et que seul le fisc est censé détenir. Un interlocuteur qui le cite au téléphone passe instantanément pour authentique, et c'est précisément l'effet recherché.

Les arnaques qui vont arriver dans votre boîte mail

La suite logique d'une fuite de cette nature n'est pas le vol immédiat, mais une vague d'hameçonnage sur mesure, souvent décalée de plusieurs semaines ou mois. Les données volées circulent, sont revendues, recoupées avec d'autres bases, puis exploitées par des équipes différentes de celles qui ont mené l'intrusion.

Ce qui guette les particuliers

Attendez-vous à des courriels ou SMS annonçant un remboursement d'impôt à récupérer, une régularisation urgente ou un avis de mise en recouvrement, avec votre vrai nom et votre vraie adresse. Le faux conseiller bancaire suivra : un appel affichant le numéro de votre agence, un opérateur qui connaît votre situation familiale et vous demande de « sécuriser » votre compte.

Ce qui guette les entreprises

Pour les 285 500 professionnels du fichier, le risque se double d'une exposition à la fraude au virement. Un faux fournisseur qui envoie un nouveau RIB, un faux contrôle fiscal annoncé par courrier, une usurpation de dirigeant auprès du comptable : tous ces scénarios deviennent nettement plus crédibles quand l'expéditeur cite des éléments fiscaux exacts.

La deuxième affaire du genre en six mois

Le plus inquiétant tient à la répétition. En février 2026, le fichier Ficoba, qui recense les comptes bancaires ouverts en France, avait déjà été consulté illégitimement pour environ 1,2 million de personnes, là encore via des identifiants d'agent détournés. Même administration, même méthode, six mois d'écart. Clubic rappelle aussi la brèche de l'ANTS, qui avait concerné 19 millions de Français.

Le problème n'est donc pas un logiciel à corriger, mais la façon dont les accès internes sont attribués, surveillés et révoqués. Tant que la détection repose sur un contrôle a posteriori, un compte volé peut moissonner des données pendant des jours avant que quelqu'un s'en aperçoive.

Les réflexes à prendre dès cette semaine

Vous ne pouvez pas retirer vos données du circuit, mais vous pouvez rendre leur exploitation nettement moins rentable. Quelques gestes simples suffisent à casser la plupart des scénarios décrits plus haut :

• Ne cliquez jamais sur un lien de remboursement d'impôt reçu par mail ou SMS ; tapez vous-même l'adresse du site des impôts.
• Activez l'authentification à deux facteurs sur votre espace fiscal et sur votre messagerie principale.
• Raccrochez systématiquement face à un « conseiller » qui vous presse, puis rappelez le numéro figurant sur votre carte bancaire.
• En entreprise, imposez une validation par téléphone sur un numéro connu avant tout changement de coordonnées bancaires d'un fournisseur.

Surveillez aussi les prochaines communications officielles : la DGFiP a promis de nouveaux éléments au fil de l'enquête, et le périmètre des 678 000 personnes concernées peut encore s'élargir. Si vous recevez un courrier de notification individuelle, conservez-le : il servira de point d'appui en cas de préjudice, y compris pour une réclamation auprès de la CNIL.