Une intrusion confirmée, des volumes encore incertains
La Direction générale des Finances publiques (DGFiP) a confirmé qu'un accès illégitime au système d'information d'Impots.gouv.fr est intervenu fin juin 2026 après une usurpation d'identité. Selon la communication transmise aux médias, cet accès, qui avait été coupé dans le cadre d'un contrôle opéré, a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels.
Ce que dit l'administration et ce qui circule
Dans sa formulation, la DGFiP reconnaît l'intrusion mais n'a pas confirmé de chiffres précis sur l'ampleur de la fuite. Bercy a publié un message indiquant que l'incident avait été revendiqué le 12 août 2026. Des médias, se référant à deux plateformes spécialisées en cybersécurité, font état d'un fichier concernant un peu moins de 700 000 personnes, mais ce total n'a pas été validé officiellement par l'administration fiscale.
"un accès illégitime au système d’information intervenu fin juin 2026 après une usurpation d’identité"
Nature des données potentiellement exposées
Les éléments décrits par les sources consultées laissent apparaître des informations de nature personnelle et fiscale : identifiants fiscaux, noms, prénoms, dates et lieux de naissance, adresses postales, numéros de téléphone et adresses e‑mail. Plus sensible encore, selon Le Parisien, le pirate aurait eu accès à des données "normalement protégées" comme le taux d'imposition et le revenu fiscal de référence (RFR), et aurait même classé des foyers par niveau de RFR.
Quelques chiffres rapportés par la presse
Parmi les éléments relayés par les médias, on trouve des ordres de grandeur qui peuvent éclairer l'impact potentiel :
- ~700 000 personnes potentiellement concernées (chiffre non confirmé par la DGFiP)
- 26 000 foyers évoqués avec un RFR supérieur à 100 000 €
- 8 foyers cités comme ayant un RFR dépassant 10 millions d'euros
| Type d'information | Présence rapportée |
|---|---|
| Identifiants fiscaux | Oui (signalé) |
| Coordonnées (adresse, téléphone, e‑mail) | Oui (signalé) |
| Données fiscales (taux, RFR) | Oui (selon médias) |
Conséquences et points de vigilance pour les contribuables
Si les chiffres restent à confirmer par la DGFiP, l'extraction de données fiscales et personnelles soulève plusieurs enjeux pratiques : risque d'usurpation d'identité, d'hameçonnage ciblé (phishing), et d'utilisation frauduleuse d'informations sensibles. Les contribuables affectés ne sont pas encore identifiés publiquement ; il appartiendra à l'administration, si elle le juge nécessaire, d'informer les personnes concernées et de porter des mesures de remédiation.
Enjeux administratifs et juridiques
Au niveau institutionnel, la déclaration d'un accès illégitime engage des obligations de notification, d'investigation et, potentiellement, de signalement aux autorités nationales de protection des données. Les limites temporelles — intrusion en juin, revendication en 12 août — soulignent aussi la question de l'intervalle entre l'incident et sa médiatisation, et des mesures prises pour couper l'accès et déterminer l'étendue de l'extraction.
Les investigations en cours devront préciser : l'origine exacte de l'usurpation, la nature complète des fichiers extraits, le périmètre des personnes réellement concernées et les actions engagées pour empêcher toute diffusion ou exploitation ultérieure. En attendant ces confirmations officielles, les professionnels de la cybersécurité et les autorités recommandent la vigilance renforcée autour des communications prétendument émanant de l'administration fiscale.
À retenir : la DGFiP confirme un accès illégitime fin juin 2026 et l'extraction de données ; des médias évoquent près de 700 000 personnes potentiellement affectées et des informations fiscales sensibles, mais ces chiffres n'ont pas été validés par l'administration.
