Piratage du fisc : ce que les pirates savent de vos revenus

Le piratage du fisc reconnu par la DGFiP le 13 août 2026 n'a pas seulement fait fuiter des noms et des adresses : il a mis dans la nature le revenu fiscal de référence et le taux de prélèvement à la source de centaines de milliers de contribuables. Autrement dit, des inconnus savent désormais combien vous gagnez, avec qui vous vivez et combien de personnes vous avez à charge.

Le volume revendiqué atteint 678 438 lignes de données, extraites d'un outil interne de l'administration fiscale. L'intrusion remonte au 26 juin. Elle n'est devenue publique que le 12 août, quand un pirate se présentant sous le pseudonyme ZeroBytes s'en est vanté sur un forum criminel du dark web. Le parquet de Paris a ouvert une enquête le 15 août et l'a confiée à l'Office anti-cybercriminalité.

Le 16 août, les sénateurs socialistes ont réclamé une commission d'enquête parlementaire. Les quelque 678 000 particuliers et professionnels concernés devaient être prévenus individuellement à partir du lundi suivant. Si vous êtes dans le lot, le message viendra de l'administration elle-même — et c'est précisément ce détail qui va rendre les escroqueries des prochaines semaines particulièrement crédibles.

Ce que le piratage du fisc a vraiment exposé

La liste dépasse largement l'état civil. On y trouve noms et prénoms, dates et lieux de naissance, adresses postales, coordonnées de contact, composition du foyer, nombre de personnes à charge, identifiants internes et historique de certaines démarches. Et surtout deux chiffres très bavards : le revenu fiscal de référence et le taux de prélèvement à la source.

Ces deux-là ne sont pas anodins. Le revenu fiscal de référence commande l'accès aux bourses, à des aides de la CAF, aux tarifs sociaux de l'énergie. Le taux de prélèvement permet, lui, d'estimer un salaire à la louche. Clubic relève que 26 805 personnes du fichier déclarent plus de 100 000 euros par an. La DGFiP n'a pas fait état de coordonnées bancaires ni de mots de passe.

Comment un intrus est entré fin juin

Le point d'entrée n'a rien d'un exploit spectaculaire. L'administration évoque une usurpation d'identité : quelqu'un s'est fait passer pour un utilisateur légitime, a obtenu un accès distant au réseau interne, puis s'est servi d'un outil permettant d'interroger les dossiers de particuliers et de professionnels. Ensuite, il suffisait d'enchaîner les requêtes et de récupérer les résultats.

Reste la question qui fâche. Sept semaines séparent l'intrusion du 26 juin de sa révélation. Ce n'est pas l'État qui a donné l'alerte, c'est l'attaquant lui-même. La DGFiP affirme avoir bloqué l'accès dès la revendication et poursuivre ses vérifications pour déterminer précisément quelles données sont sorties et combien d'usagers sont touchés.

678 438 lignes, est-ce beaucoup ?

Rapporté aux grandes fuites récentes, le volume paraît contenu : France Travail avait exposé environ 43 millions de personnes en 2024, les opérateurs de tiers payant Viamedis et Almerys 33 millions d'assurés la même année. Ici, on est sous les 2 % des foyers fiscaux. Mais la comparaison s'arrête là. Ce qui circule après ce piratage du fisc est bien plus intime, et bien plus monnayable, qu'un simple couple nom-adresse.

Pourquoi le Sénat veut une commission d'enquête

Le président du groupe socialiste au Sénat met en avant la répétition des incidents : il s'agit de vérifier si ces attaques successives trahissent des failles communes aux grands fichiers publics, puis d'en tirer des propositions législatives, réglementaires, organisationnelles et budgétaires. Traduction : savoir si l'État consacre assez d'argent et d'agents à la protection de ses bases de données.

Une commission d'enquête n'est pas un simple communiqué. Elle peut convoquer sous serment et exiger des documents, et sa durée est plafonnée à six mois. Encore faut-il qu'elle existe : sa création passe par une résolution, et le Parlement ne revient qu'à la fin septembre. En parallèle, la DGFiP s'est engagée à notifier l'incident à la CNIL et à déposer plainte.

Les arnaques à surveiller dans votre boîte mail

Un escroc qui connaît votre revenu, votre taux d'imposition et votre nombre d'enfants n'écrit plus un message générique bourré de fautes. Il écrit un message qui vous ressemble. Voici les trois formes que cela prend presque toujours.

Le faux remboursement d'impôt

Un courriel ou un SMS annonce un trop-perçu, avec un montant plausible au vu de vos revenus réels, et réclame vos coordonnées bancaires pour le virement. C'est le scénario le plus rentable, et il tombera surtout à l'automne, période des avis et des régularisations.

L'appel qui connaît déjà votre dossier

Au téléphone, l'interlocuteur récite votre adresse, votre situation familiale, parfois votre revenu fiscal de référence, pour installer la confiance avant de vous faire valider une opération. Ne validez jamais rien pendant l'appel : raccrochez et rappelez le numéro figurant sur votre avis d'imposition.

Ce que le fisc ne vous demandera jamais

Ni votre mot de passe, ni un code reçu par SMS, ni un paiement par carte ou cryptomonnaie. Toute demande de ce type est une fraude, sans exception. En cas de doute, passez par votre espace sur impots.gouv.fr plutôt que par le lien reçu.

Concrètement : guettez le message d'information de la DGFiP dans les prochains jours, changez le mot de passe de votre espace fiscal s'il est réutilisé ailleurs, et signalez tout courriel suspect via la plateforme officielle de signalement ou le 33700 pour les SMS. Côté suite, deux échéances comptent : les conclusions de l'Office anti-cybercriminalité et le retour du Parlement fin septembre, qui dira si la commission d'enquête verra le jour.