Fuite de données DGFiP : vos identifiants fiscaux sont-ils concernés ?

Une fuite de données qui change la crédibilité des arnaques

Mise à jour : 5 octobre 2026, après la publication du rapport de l'ANSSI le 29 septembre. La DGFiP avait annoncé des accès illégitimes à son système d'information en juin, juillet et août, puis des vols de données revendiqués les 12 et 13 août. L'ANSSI a retracé des activités observées entre mai et août et décrit deux périmètres d'exfiltration : des données liées à la plateforme impots.gouv.fr et des données cadastrales détenues par la DGFiP. La DGFiP précise que le site impots.gouv.fr et les espaces Finances publiques des usagers n'ont pas été compromis : il faut distinguer ces espaces des systèmes concernés par le rapport.

La page de la DGFiP mentionne également une vulnérabilité découverte le 17 août sur le portail des successions vacantes, qui ne contenait que des données publiques. Ce volet est distinct des accès illégitimes décrits dans le rapport de l'ANSSI.

Le communiqué du 14 août fait état de données consultées ou extraites concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source et, pour les entreprises, raison sociale ou SIREN. Il mentionne aussi la consultation de données cadastrales. Les FAQ de la DGFiP distinguent les deux périmètres : pour les particuliers, les données peuvent inclure l'identifiant fiscal, l'état civil, les coordonnées, la situation fiscale et la liste des messages échangés ; le contenu des messages a pu être consulté pour moins de 250 personnes, sans les pièces jointes. Pour les professionnels, les données comprennent le SIREN, la dénomination et l'adresse de l'entreprise ainsi que des métadonnées de messagerie ; le contenu des messages a pu être consulté pour moins de 2 076 professionnels, sans les pièces jointes. Les déclarations et paiements d'impôts des professionnels n'ont pas été consultés. Consultez les FAQ officielles DGFiP pour les particuliers et pour les professionnels pour les détails.

Un point doit être posé clairement : la DGFiP indique que le site impots.gouv.fr, les espaces Finances publiques et leurs mots de passe n'ont pas été compromis. Il n'est donc pas nécessaire de changer son mot de passe fiscal à cause de cet incident. Changez-le s'il a été réutilisé sur un service compromis ou si vous avez un autre indice d'exposition. Cette précision n'annule pas le risque d'hameçonnage, mais évite de laisser croire que les comptes fiscaux ont été ouverts aux attaquants.

Ce que le rapport de l'ANSSI a établi

L'ANSSI attribue la compromission des systèmes de la DGFiP à des faiblesses combinées dans trois domaines. Des identifiants légitimes ont été volés après leur utilisation sur des équipements personnels, puis utilisés sur des portails sensibles dépourvus d'authentification forte. Certaines applications sensibles étaient accessibles depuis Internet ou depuis le Réseau interministériel de l'État sans cloisonnement suffisant, augmentant leur exposition et ouvrant un risque de déplacement latéral depuis les ressources d'autres organismes, comme le ministère de l'Éducation nationale. Enfin, aucune des deux vagues d'exfiltration n'a été détectée par les moyens de supervision de la DGFiP ou de l'ANSSI.

Le rapport souligne notamment qu'un portail utilisé pour extraire des informations n'était pas supervisé par la DGFiP et que les signaux suspects n'étaient pas corrélés. La protection des identités, la limitation des accès et la capacité à repérer une activité anormale comptent ensemble. Le rapport ne réduit pas l'incident à un simple problème de mot de passe.

Pourquoi des informations fiables rendent le phishing plus dangereux

Un faux message fiscal convainc rarement par sa seule apparence. Il devient plus persuasif lorsqu'il contient une information exacte : le nom d'une société, un numéro SIREN, une référence à une démarche réelle ou une période d'imposition cohérente.

Ces détails ne donnent pas automatiquement accès au compte. Ils réduisent cependant le doute au moment où une personne reçoit un courriel, un SMS ou un appel. L'attaquant peut ensuite demander une connexion, une pièce justificative, un paiement ou un code de validation sous prétexte de régularisation.

Pour une TPE-PME, le risque est double. Une personne peut être ciblée comme particulier, mais aussi comme représentant d'une entreprise. Un message qui mélange une donnée personnelle exacte et une information professionnelle connue peut sembler suffisamment légitime pour contourner les réflexes habituels.

Les bons réflexes face à un message sur les impôts

• Ne pas utiliser le lien ou le numéro fourni dans le message : ouvrir soi-même impots.gouv.fr ou l'espace professionnel habituel.
• Ne jamais transmettre un mot de passe, un code reçu par SMS ou une validation MFA à la demande d'un interlocuteur inattendu.
• Vérifier l'information par un second canal connu, notamment avec le cabinet comptable ou la personne qui gère les accès.
• Conserver le message, ses en-têtes si possible et les captures utiles avant de le signaler.
• En cas de doute ou de préjudice, utiliser les dispositifs officiels indiqués par la DGFiP, comme 17Cyber, PHAROS ou Cybermalveillance.gouv.fr.

La DGFiP indique avoir informé individuellement les personnes concernées. Un courriel reçu au sujet de la fuite ne devient donc pas fiable simplement parce qu'il mentionne l'incident réel. Pour les réflexes généraux après une exposition, consultez aussi notre guide consacré aux fuites de données.

Trois vérifications utiles pour une PME

Le rapport invite les petites organisations à vérifier que les protections couvrent les usages réels, et pas seulement les comptes ou outils les plus visibles :

1. Protéger les identités : imposez une authentification multifacteur sur les accès sensibles et encadrez l'accès aux portails professionnels depuis des appareils personnels.
2. Limiter les chemins d'accès : vérifiez quels comptes et applications peuvent atteindre les données sensibles, puis cloisonnez les environnements et les accès des prestataires selon leur besoin réel.
3. Rendre les activités observables : recensez les applications qui traitent ou exportent des données, conservez leurs journaux utiles et vérifiez que les alertes peuvent rapprocher plusieurs signaux suspects.

Ces contrôles complètent la gestion des mots de passe. Ils ne remplacent ni une analyse de risque adaptée au système ni l'accompagnement d'un professionnel lorsque l'organisation ne dispose pas des compétences nécessaires.

Le rôle limité d'un coffre de mots de passe

Un coffre de mots de passe aide sur une partie du problème : chaque accès peut avoir un secret unique, sans copie dans un document partagé ou un carnet. Pour un compte fiscal ou professionnel, une équipe peut :

1. Générer un secret aléatoire et suffisamment long, différent de tous les autres.
2. Le conserver dans un coffre chiffré, avec un accès limité aux personnes qui en ont besoin.
3. Activer l'authentification multifacteur lorsqu'elle est proposée par le service.
4. Après une compromission, changer le secret depuis un appareil sain et vérifier séparément les sessions et accès actifs auprès du service concerné.

Soclyde aide à générer des secrets uniques et à les conserver dans un coffre chiffré local-first. Cela peut réduire la réutilisation et les copies centralisées. Un coffre ne détecte pas une exfiltration, ne cloisonne pas les applications et ne protège pas un appareil personnel compromis : ces mesures relèvent aussi de la configuration des services, des postes et du système d'information.

À retenir

Une fuite de données ne donne pas nécessairement les clés d'un compte. Elle peut toutefois fournir le contexte nécessaire pour rendre une attaque sociale plus crédible. La réponse doit donc combiner deux protections : vérifier les demandes par un canal indépendant et rendre chaque accès critique unique, long et difficile à recopier.

Pour une petite équipe, la leçon dépasse le choix d'un mot de passe : protégez les identités, réduisez les accès inutiles et vérifiez que les applications importantes sont supervisées. Pour organiser les secrets, consultez notre guide pour créer des mots de passe forts et uniques et notre guide sur les gestionnaires local-first, ou échangez avec Soclyde sur votre stratégie de mots de passe.