Ce qui s'est passé
Les 12 et 13 août 2026, un acteur malveillant a revendiqué des accès illégitimes au système d'information de la Direction générale des Finances publiques (DGFiP), intervenus en juin et juillet 2026. Ces intrusions reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité — autrement dit, pas une faille technique spectaculaire, mais une compromission d'identifiants humains.
Le 14 août 2026, la DGFiP a publié un communiqué officiel confirmant les faits. La CNIL a été saisie dans la foulée. Une plainte a été déposée, et l'ANSSI (Agence nationale de la sécurité des systèmes d'information) ainsi que le service du Haut fonctionnaire de défense et de sécurité sont pleinement mobilisés.
Qui est concerné et quelles données ont été exposées ?
Les investigations ont établi que les accès illégitimes ont permis de consulter et d'extraire des données concernant environ 678 000 particuliers et professionnels, dont :
- Près de 393 000 particuliers
- Près de 286 000 professionnels
Pour les particuliers, les données potentiellement exposées comprennent :
- La situation de famille et le nombre de parts fiscales
- Le revenu fiscal de référence
- Le taux de prélèvement à la source
- Les messages échangés avec la DGFiP via la messagerie d'impots.gouv.fr
Pour les professionnels et entreprises, les données exposées incluent :
- La raison sociale
- Le numéro SIREN
- Des données cadastrales (adresses, surfaces de biens immobiliers)
Ce qui n'a PAS été compromis
Il est important de le préciser clairement :
- Les espaces Finances publiques des particuliers et des professionnels sur impots.gouv.fr n'ont pas été compromis
- Les identifiants et mots de passe des usagers n'ont pas été volés
- Le site impots.gouv.fr reste accessible et sécurisé normalement
Comment savoir si vous êtes concerné ?
Vous n'avez aucune démarche à effectuer pour le savoir. À partir du 17 août 2026, la DGFiP contacte directement et individuellement chaque personne concernée, par courriel ou par courrier postal.
Le message officiel de la DGFiP comporte les caractéristiques suivantes :
- Un objet du type : « consultation illégitime de vos informations fiscales »
- Une ouverture du type : « vous êtes concerné(e) par cet acte de malveillance »
- Le détail précis des données susceptibles d'avoir été consultées
- Aucun lien cliquable — c'est le point le plus important à retenir
Le réflexe anti-phishing : méfiez-vous des faux messages
Cette fuite crée mécaniquement un terrain fertile pour les tentatives de phishing. Des escrocs vont exploiter l'événement pour envoyer de faux e-mails usurpant l'identité de la DGFiP.
Les règles d'or à appliquer immédiatement :
- Vérifiez systématiquement l'adresse de l'expéditeur : tout e-mail légitime de la DGFiP se termine par @dgfip.finances.gouv.fr ou @authentification.impots.gouv.fr
- Ne cliquez jamais sur un lien reçu par e-mail ou SMS prétendant provenir des impôts
- Si vous souhaitez accéder à votre espace, connectez-vous directement sur www.impots.gouv.fr en tapant l'adresse vous-même dans votre navigateur
- L'administration fiscale ne vous demandera jamais vos coordonnées bancaires ni vos identifiants par e-mail ou SMS
Les mesures annoncées par la DGFiP
Lors d'une conférence de presse le 18 août 2026, la DGFiP a annoncé plusieurs mesures correctives :
- Suppression des accès compromis et restriction de l'accès Internet des agents à certaines applications sensibles
- Réinitialisation des mots de passe de l'ensemble des agents
- Généralisation d'une authentification renforcée (MFA) à tous les agents et tous leurs accès, d'ici fin 2026
- Limitation et contrôle accrus du nombre d'accès aux applications contenant des données sensibles
- Renforcement de la formation des agents face aux tentatives de hameçonnage
- Intensification des tests de détection des failles de sécurité
Ce que cela révèle sur les risques cyber en 2026
Cette affaire n'est pas isolée. Elle s'inscrit dans une série d'incidents touchant des données fiscales et financières françaises en 2026, et rappelle une vérité souvent sous-estimée : le maillon faible, c'est rarement le système, c'est l'identifiant humain.
Pour les dirigeants et DAF, c'est l'occasion de poser trois questions à leurs équipes :
- Nos accès aux outils sensibles sont-ils protégés par une authentification à double facteur ?
- Nos collaborateurs sont-ils formés à reconnaître une tentative de phishing ?
- Nos procédures de gestion des habilitations sont-elles régulièrement auditées ?
La cybersécurité n'est plus un sujet réservé aux DSI des grandes entreprises. Elle concerne chaque cabinet, chaque DAF, chaque dirigeant qui manipule de la donnée financière et fiscale au quotidien.
Sources : Communiqué DGFiP du 14 août 2026 — FAQ economie.gouv.fr — Conférence de presse DGFiP du 18 août 2026