Cyberattaque de la DGFiP : ce que les contribuables piratés doivent faire immédiatement

Si vous êtes concerné par le vol de données du fisc survenu fin juin, la règle est simple : le fisc ne vous demandera jamais vos coordonnées bancaires, votre mot de passe ou un « remboursement » par mail ou SMS. Toute sollicitation de ce type est une arnaque. Les données volées lors de la cyberattaque de la Direction générale des finances publiques (DGFiP) — nom, adresse, situation fiscale, parfois numéro fiscal — ne permettent pas de vider votre compte, mais elles rendent les escroqueries beaucoup plus crédibles. Concrètement, trois réflexes s'imposent dès maintenant : ne cliquez sur aucun lien reçu au nom des impôts, changez le mot de passe de votre espace sur impots.gouv.fr, et surveillez tout message anormal les prochaines semaines.

Voici, point par point, ce qui s'est passé, ce que risquent les contribuables, et la marche à suivre.

Ce qui a réellement fuité (et ce qui n'a pas fuité)

La distinction est capitale, parce qu'elle change la nature du risque. Dans ce type d'attaque, les pirates récupèrent généralement des données d'identité et des données fiscales : nom, prénom, adresse postale, adresse mail, numéro fiscal, éléments de déclaration de revenus.

Ce qui ne se trouve pas dans les fichiers de gestion habituels de l'administration fiscale : votre mot de passe en clair (il est chiffré), le code secret de votre carte bancaire, ou un accès direct à votre compte en banque. Autrement dit, un pirate ne peut pas, avec ces seules informations, effectuer un virement à votre place.

Le vrai danger est indirect. Avec votre nom, votre numéro fiscal et le montant approximatif de votre impôt, un escroc peut vous écrire un message ultra-personnalisé qui ressemble à un vrai courrier de la DGFiP. C'est là que se joue la bascule : une donnée volée n'est dangereuse que quand elle sert de munition à une arnaque.

Pourquoi cette fuite décuple le risque de « phishing »

Le phishing (ou hameçonnage) consiste à se faire passer pour un organisme de confiance pour vous soutirer des informations ou de l'argent. Jusqu'ici, ces mails étaient souvent grossiers : fautes d'orthographe, montants génériques, adresse d'expéditeur douteuse.

Avec des données réelles, le scénario devient redoutable. Imaginez recevoir un mail qui cite votre nom exact, votre numéro fiscal et un « trop-perçu de 312 € à récupérer avant le 15 ». Le montant colle à peu près à votre situation. Vous baissez la garde. C'est exactement le mécanisme que les fuites de données alimentent.

Deux formes principales à surveiller :

• Le faux remboursement d'impôt. Un mail ou SMS vous annonce un crédit à récupérer en cliquant sur un lien. Le lien mène à un faux site qui copie impots.gouv.fr et réclame votre carte bancaire.
• L'usurpation d'identité. Avec vos données, un escroc peut tenter d'ouvrir un crédit à votre nom ou de détourner votre espace fiscal pour modifier un RIB de remboursement.

Les 6 gestes à faire dès maintenant

Voici la marche à suivre concrète, dans l'ordre de priorité :

1. Changez votre mot de passe sur impots.gouv.fr. Choisissez un mot de passe long, unique, que vous n'utilisez sur aucun autre site.
2. Activez la double authentification partout où c'est possible (impôts, banque, messagerie), pour qu'un mot de passe volé ne suffise plus à se connecter.
3. Vérifiez votre RIB dans votre espace fiscal. Si le RIB enregistré pour vos remboursements n'est pas le vôtre, contactez immédiatement votre centre des finances publiques.
4. Ne cliquez sur aucun lien reçu par mail ou SMS au nom des impôts. Rendez-vous toujours sur impots.gouv.fr en tapant l'adresse vous-même.
5. Signalez tout message frauduleux sur la plateforme officielle signal-spam.fr ou internet-signalement.gouv.fr (Pharos), et transférez les SMS suspects au 33700.
6. Surveillez vos comptes bancaires les prochaines semaines. Au moindre prélèvement inconnu, faites opposition et prévenez votre banque.

L'angle qu'on oublie : le danger vient souvent plusieurs mois après

Voici ce que la plupart des articles passent sous silence. La tentation, après ce type de fuite, est de vérifier ses comptes pendant deux semaines puis de tourner la page. C'est une erreur.

Les données volées ne sont pas exploitées immédiatement. Elles sont revendues, recoupées avec d'autres fuites, puis utilisées des mois, parfois des années plus tard. Un fichier siphonné en juin peut nourrir une campagne d'arnaque à l'automne suivant, au moment précis où vous recevez votre avis d'imposition — donc quand un faux courrier fiscal paraît totalement plausible.

Le bon réflexe n'est pas une vigilance de quinze jours, mais un changement d'habitude durable : ne jamais valider une demande financière reçue par message sans l'avoir vérifiée en tapant soi-même l'adresse officielle. Cette règle vaut pour toute votre vie numérique, bien au-delà de cette seule cyberattaque.

Comment reconnaître un vrai message des impôts d'un faux

Retenez ces repères simples :

• La DGFiP ne demande jamais de coordonnées bancaires, de mot de passe ou de numéro de carte par mail ou SMS.
• Un vrai remboursement se fait automatiquement sur le compte que vous avez déjà déclaré. Vous n'avez jamais à « cliquer pour le recevoir ».
• L'adresse d'un site officiel se termine par .gouv.fr. Méfiez-vous des variantes (impots-gouv.fr, impots.gouv-remboursement.com, etc.).
• L'urgence est un signal d'alarme. « Répondez sous 24h ou vous perdez votre remboursement » : l'administration ne fonctionne pas ainsi.

En cas de doute, ne répondez pas au message. Appelez votre centre des finances publiques ou connectez-vous directement à votre espace.

Vos droits : ce que dit la protection des données personnelles

En tant que personne concernée par une fuite de données, vous disposez de droits. Le responsable du traitement — ici l'administration — a l'obligation de notifier les violations de données présentant un risque pour les personnes, et d'en informer ces dernières lorsque le risque est élevé. Ces obligations découlent du cadre européen de protection des données (RGPD).

Si vous constatez un préjudice (usurpation, prélèvement frauduleux), vous pouvez :

• Déposer plainte auprès de la police ou de la gendarmerie, en apportant les preuves (mails, captures d'écran, relevés bancaires).
• Signaler l'incident à la Commission nationale de l'informatique et des libertés (CNIL).
• Faire opposition auprès de votre banque et, si nécessaire, inscrire un signalement pour prévenir l'ouverture frauduleuse de crédits.

Conservez systématiquement une trace écrite de chaque démarche : date, interlocuteur, numéro de dossier. Ces éléments seront décisifs si vous devez prouver votre bonne foi ou obtenir réparation.

Le réflexe pour les dirigeants et professionnels

Si vous gérez une entreprise, le risque se double. Vos données fiscales personnelles peuvent servir à cibler votre société : faux mail de l'administration réclamant un « complément de TVA », fausse mise en demeure, arnaque au président nourrie par des informations réelles.

La règle interne à diffuser à vos équipes comptables : aucun paiement, aucun changement de RIB fournisseur, aucune transmission de données fiscales sur la seule base d'un mail ou d'un appel, même si l'interlocuteur semble parfaitement informé. Toute demande sensible doit être vérifiée par un canal indépendant (rappel au numéro officiel connu, connexion directe au portail).

Questions fréquentes

Dois-je changer mon numéro fiscal après la fuite ?

Non, le numéro fiscal ne se change pas comme un mot de passe : il est attaché à votre identité fiscale. En revanche, sachez qu'il a pu être exposé, et restez donc méfiant face à tout message qui l'utilise pour paraître crédible. Sa seule présence dans un mail ne prouve pas que l'expéditeur est l'administration.

Puis-je être remboursé si un escroc vide mon compte à cause de cette fuite ?

Si un prélèvement frauduleux intervient, votre banque est en principe tenue de vous rembourser les opérations non autorisées, sauf négligence grave de votre part. D'où l'importance de ne jamais avoir communiqué vos codes : faites opposition sans délai et déposez plainte pour appuyer votre demande.

Comment savoir si mes données font partie de celles qui ont été volées ?

L'administration doit informer les personnes concernées lorsque le risque est élevé. Surveillez donc les communications officielles reçues via votre espace impots.gouv.fr ou par courrier. Attention : les escrocs exploitent justement l'attente d'un message officiel, donc ne cliquez sur aucun lien « pour vérifier si vous êtes concerné ».

Faut-il porter plainte même si je n'ai encore subi aucun préjudice ?

Sans préjudice concret, une plainte n'est pas indispensable dans l'immédiat, mais vous pouvez signaler l'incident à la CNIL et conserver tout message suspect. Portez plainte dès qu'un préjudice apparaît : usurpation, crédit ouvert à votre nom, prélèvement inconnu.

Un antivirus me protège-t-il de ce type d'arnaque ?

Non, pas contre le phishing. L'antivirus bloque les logiciels malveillants, mais il ne vous empêche pas de saisir vous-même votre carte bancaire sur un faux site. La seule protection efficace est votre vigilance : vérifier l'adresse, ne jamais cliquer sur un lien reçu par message.

Mes proches âgés sont-ils plus exposés ?

Oui, les personnes moins à l'aise avec le numérique sont des cibles privilégiées, car elles distinguent plus difficilement un vrai site d'un faux. Prévenez-les concrètement : le fisc ne demande jamais de payer ou de communiquer ses coordonnées bancaires par téléphone, mail ou SMS. En cas de doute, appelez-vous avant d'agir.