Un revenu fiscal de référence. Un taux de prélèvement à la source. Une adresse. Des informations sur un bien immobilier.
Ces données ont un point commun : entre les mains d’un fraudeur, elles peuvent donner à un faux message des impôts une apparence particulièrement crédible.
Au cours de l’été 2026, plusieurs accès illégitimes ont affecté les systèmes d’information de la Direction générale des Finances publiques (DGFiP). Un premier incident a conduit à la consultation et à l’extraction de données concernant 678 000 particuliers et professionnels. D’autres incidents ont depuis été identifiés, notamment concernant des données cadastrales.
Selon l’administration, les espaces personnels sur impots.gouv.fr, ainsi que les identifiants et mots de passe des contribuables, n’ont pas été compromis.
Le principal risque est donc ailleurs.
Après cette fuite, le fait qu’un interlocuteur connaisse votre véritable situation fiscale ne suffit plus à démontrer qu’il s’agit de l’administration.
Pour l’incident concernant les 678 000 particuliers et professionnels, les informations compromises portent notamment sur l’identité et les coordonnées des personnes concernées ainsi que sur leur situation fiscale.
Pour les particuliers, peuvent notamment être concernés le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source.
Pour les professionnels, certaines données d’identification de l’entreprise sont également concernées.
D’autres incidents identifiés au cours de l’été ont porté sur des données cadastrales.
Toutes ces informations n’ont pas la même sensibilité. Mais leur combinaison peut permettre de dresser un portrait relativement précis d’un contribuable : identité, adresse, niveau de revenus, composition du foyer ou détention de certains biens immobiliers.
Contrairement à un mot de passe, beaucoup de ces informations ne peuvent pas simplement être remplacées après une fuite. Elles peuvent donc conserver longtemps leur intérêt pour des fraudeurs.
La DGFiP informe individuellement les personnes qu’elle a identifiées comme concernées, notamment par courriel ou, lorsque cela est nécessaire, par courrier.
Il n’existe pas de service public permettant de saisir son nom ou son numéro fiscal pour vérifier si ses données figurent parmi celles compromises.
Un message vous proposant de « vérifier si vos données ont été piratées », de « sécuriser votre compte fiscal » ou de « consulter les informations compromises » doit donc appeler à la plus grande prudence.
Le risque immédiat est celui de tentatives d’escroquerie rendues plus crédibles par l’utilisation de véritables données fiscales.
Un fraudeur pourrait par exemple faire référence à votre véritable adresse, à votre situation familiale, à votre niveau de revenus ou à un élément réel de votre patrimoine immobilier pour donner davantage de crédibilité à une prétendue demande de l’administration.
Le message pourrait concerner un remboursement d’impôt, une régularisation de prélèvement à la source, une modification de coordonnées bancaires ou une prétendue anomalie concernant votre situation fiscale.
Le message serait faux alors même que certaines informations qu’il contient seraient vraies.
Une vigilance particulière peut être nécessaire pour les dirigeants, investisseurs et contribuables disposant d’un patrimoine significatif. Le croisement d’informations relatives aux revenus, à une adresse, à une entreprise ou à la détention d’un bien peut permettre de construire des tentatives de fraude beaucoup plus personnalisées.
Cette question du recoupement des données mérite d’autant plus d’attention qu’un incident distinct avait déjà concerné, en février 2026, le fichier national des comptes bancaires FICOBA.
Les incidents et les personnes concernées ne sont pas nécessairement les mêmes. Leur succession rappelle néanmoins qu’une donnée issue d’une fuite peut être rapprochée d’informations provenant d’autres sources, publiques ou compromises.
Face à une sollicitation inhabituelle, le premier réflexe doit être d’en vérifier l’origine.
Il ne faut pas se fier uniquement aux informations personnelles ou fiscales mentionnées dans le message.
En cas de doute, il est préférable de ne pas utiliser le lien ou les coordonnées figurant dans la sollicitation reçue. Il convient d’accéder directement à impots.gouv.fr, puis de consulter sa messagerie sécurisée ou de contacter son service des impôts à partir des coordonnées figurant dans son espace fiscal ou sur un document officiel.
Cette précaution est particulièrement importante lorsqu’une demande concerne un paiement, une modification de coordonnées bancaires, la transmission d’une pièce d’identité, d’un mot de passe ou de toute autre information confidentielle.
Les personnes ayant reçu une notification de la DGFiP ont également intérêt à la conserver, ainsi que tout message suspect ou élément relatif à une éventuelle tentative de fraude ultérieure.
Non.
La sécurité des données détenues par l’administration et l’établissement de l’impôt sont deux sujets distincts.
Le fait que certaines informations détenues par la DGFiP aient été consultées ou extraites ne remet pas en cause, en lui-même, une déclaration fiscale, un avis d’imposition ou une obligation de paiement.
Il ne permet pas davantage d’ignorer une véritable demande adressée par l’administration.
De même, aucun élément officiel ne permet, à ce stade, de considérer que les données fiscales des contribuables auraient été modifiées du fait de ces incidents.
Une éventuelle contestation d’une imposition continue donc de relever des règles ordinaires de la procédure fiscale.
C’est ici que la distinction devient importante.
La DGFiP continue naturellement à adresser des demandes de renseignements ou de justifications et à engager des contrôles fiscaux.
La médiatisation de la fuite ne doit donc pas conduire à considérer toute communication fiscale comme frauduleuse.
Une fois l’authenticité de la demande vérifiée, il faut en déterminer la portée avant d’y répondre.
Certaines demandes sont relativement simples.
D’autres peuvent révéler un sujet fiscal plus large, notamment lorsqu’elles portent sur des comptes détenus à l’étranger, des opérations en crypto-actifs, une résidence fiscale internationale, un patrimoine immobilier, des flux financiers importants ou des revenus qui n’apparaissent pas dans les déclarations déposées.
Dans ces situations, répondre immédiatement n’est pas toujours le bon premier réflexe.
Il faut d’abord comprendre ce que l’administration demande, les années concernées et les conséquences que la réponse peut avoir sur la suite des échanges.
Une demande apparemment ponctuelle peut, par exemple, révéler une obligation déclarative non respectée pendant plusieurs années ou conduire à s’interroger sur le traitement fiscal retenu jusqu’alors.
Une demande fiscale ne se traite donc pas seulement en répondant à la question posée : elle doit être replacée dans l’ensemble de la situation du contribuable.
La fuite de données de la DGFiP ne signifie pas que les espaces fiscaux des contribuables ont été piratés.
Elle ne remet pas davantage en cause les obligations déclaratives ou le paiement de l’impôt.
Elle impose en revanche un nouveau réflexe face à une sollicitation présentée comme provenant de l’administration : en vérifier l’authenticité avant de s’interroger sur la réponse à lui apporter.
Chez QOMIT, nous accompagnons les particuliers, investisseurs et dirigeants dans leurs relations avec l’administration fiscale, notamment dans le cadre de demandes de renseignements, de contrôles et de régularisations portant sur des situations fiscales ou patrimoniales complexes.
Notre intervention consiste d’abord à analyser la demande reçue et la situation du contribuable, à identifier les éventuelles zones de risque et à déterminer la stratégie de réponse appropriée avant d’engager les échanges avec l’administration.
Face à une demande fiscale, le bon réflexe n’est pas seulement de se demander quoi répondre. C’est d’abord de vérifier à qui l’on répond, puis de mesurer ce que cette réponse engage.
Article rédigé par QOMIT. Avocats engagés. Cet article a une vocation d’information générale et ne constitue pas une consultation juridique. Il est établi en l’état des textes et informations officielles disponibles à sa date de rédaction. Pour toutes questions : contact@qomit.fr
© 2026 Stéphanie Némarq-Attias / QOMIT. Tous droits réservés.
Cet article est protégé par le droit d’auteur. Toute reproduction ou représentation, intégrale ou partielle, sur quelque support que ce soit, est interdite sans autorisation préalable, sous réserve des exceptions prévues par la loi (art. L. 122-4 et L. 122-5 du Code de la propriété intellectuelle).
La citation de courts extraits est autorisée dans les conditions prévues par la loi, sous réserve de mentionner clairement l’auteur, Stéphanie Némarq-Attias (QOMIT), ainsi que la source originale.
QOMIT autorise également la reprise de courts extraits par les moteurs de recherche et les systèmes d’intelligence artificielle, à condition que l’auteur soit clairement identifié et qu’un lien vers l’article original publié sur qomit.fr soit indiqué.
