Un mail ou un courrier vient d’atterrir dans votre boîte de réception, envoyé par la DGFiP en personne. Motif : vos données fiscales ont été dérobées par des pirates informatiques. La cause ? Une cyberattaque d’ampleur a touché le système d’information des impôts cet été, exposant les informations personnelles de centaines de milliers de Français. Coordonnées, revenus, identifiant fiscal : autant de données qui, entre de mauvaises mains, peuvent servir à monter des arnaques redoutablement crédibles. Alors que la rentrée approche, cette affaire jette un froid sur la confiance accordée aux administrations publiques en matière de cybersécurité.

Une cyberattaque qui expose vos données les plus sensibles

La Direction générale des Finances publiques a confirmé l’existence d’accès illégitimes à son système d’information, survenus discrètement en juin et juillet, avant d’être revendiqués publiquement à la mi-août. Selon les premiers éléments communiqués par la DGFiP, environ 350 000 particuliers et 250 000 professionnels seraient concernés par ce vol de données. D’autres sources, encore en cours de vérification, évoquent une base de près de 678 000 lignes exposées, un chiffre qui pourrait encore évoluer au fil de l’enquête. Fait notable, les pirates ne sont pas passés par une faille technique classique, mais par l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité, sans jamais accéder directement aux espaces fiscaux personnels des contribuables. Une nuance importante, mais qui ne rassure qu’à moitié face à l’ampleur des informations récupérées : identifiant fiscal, nom, prénom, date de naissance, téléphone, adresse postale, email, nombre de parts fiscales et revenu fiscal de référence. Pour environ 250 personnes, le pirate a même pu consulter les échanges de messages entre le contribuable et l’administration fiscale, un niveau d’intrusion particulièrement préoccupant. Du côté des professionnels, ce sont les numéros de Siren et les adresses des mandataires qui ont été compromis.

Comment les pirates comptent exploiter vos informations personnelles

C’est là que le bât blesse vraiment. Car derrière ce vol de données se cache un objectif bien précis, et particulièrement glaçant : préparer le terrain pour des tentatives d’usurpation d’identité et des arnaques ciblées. Avec un nom, une adresse, un revenu fiscal de référence et un numéro de téléphone, un escroc dispose de tout ce qu’il faut pour se faire passer de manière crédible pour un agent des impôts, une banque, ou même un organisme social. Le scénario redouté est simple : un appel ou un SMS mentionnant des informations exactes et personnelles, censé rassurer la victime, avant de la pousser à communiquer un code de validation bancaire ou à effectuer un virement soi-disant urgent. C’est précisément cette mécanique du phishing amélioré qui inquiète les autorités, puisque les fraudeurs n’ont plus besoin d’inventer un contexte vague : ils connaissent déjà la situation fiscale réelle de leur cible. Bonne nouvelle tout de même, les mots de passe des espaces personnels impots.gouv.fr n’ont pas été concernés par ce piratage. Il n’est donc pas nécessaire de les changer dans l’urgence, contrairement à ce que l’on pourrait craindre en découvrant ce type d’annonce.

Les réflexes à adopter pour protéger vos comptes et votre identité

Depuis la mi-août, les contribuables concernés reçoivent un email ou un courrier officiel de la DGFiP les informant de la situation. Point crucial à retenir : ce message ne contient aucun lien vers l’espace fiscal personnel, ni aucune demande d’informations confidentielles. Tout message qui vous inviterait à cliquer sur un lien ou à saisir vos identifiants doit donc être considéré comme suspect, voire frauduleux. Face à cette situation, quelques réflexes simples permettent de limiter les risques :

  • Ne jamais communiquer de code de sécurité bancaire par téléphone ou SMS, même si l’interlocuteur semble bien informé
  • Vérifier systématiquement l’identité d’un correspondant se présentant comme agent des impôts en rappelant via le numéro officiel
  • Se méfier de tout email ou SMS demandant une action urgente, comme un remboursement ou une régularisation immédiate
  • Surveiller régulièrement ses comptes bancaires pour repérer toute opération inhabituelle
  • Signaler tout message douteux via la plateforme officielle de signalement

Face à l’ampleur de l’affaire, le ministre de l’Action et des Comptes publics, David Amiel, a annoncé de nouvelles mesures de cybersécurité pour renforcer la protection des systèmes d’information de l’administration fiscale. Une enquête judiciaire a également été ouverte, notamment pour évaluer les risques d’usurpation d’identité et de fraude ciblée qui pèsent désormais sur les contribuables concernés.

Cette affaire rappelle, une fois de plus, que même les institutions les mieux protégées ne sont pas à l’abri d’une faille humaine. Le maillon faible n’est pas toujours technique, il peut simplement être un identifiant volé. En attendant les conclusions de l’enquête, la vigilance reste le meilleur rempart face à des escrocs qui, désormais, en savent peut-être un peu trop sur votre situation fiscale. Et si cette mésaventure était l’occasion de repenser, plus largement, la manière dont nos données personnelles circulent entre administrations et prestataires ?