Fuite de données à la DGFiP : ce que contient le courriel envoyé depuis le 17 août 2026

Depuis le lundi 17 août 2026, la Direction générale des Finances publiques (DGFiP) informe individuellement les personnes dont des données fiscales ont pu être consultées ou extraites lors des accès illégitimes survenus en juin et juillet 2026 dans son système d’information. L’envoi se fait par courriel au cours de la semaine, et par courrier postal lorsque l’administration ne dispose pas d’adresse électronique. Selon la foire aux questions publiée le 17 août 2026 sur impots.gouv.fr, un peu plus de 350 000 particuliers et 250 000 professionnels sont concernés par ce volet.

Ce message n’est pas un geste de courtoisie administrative : il exécute l’article 34 du règlement général sur la protection des données (RGPD), qui impose d’informer chaque personne concernée lorsqu’une violation présente un risque élevé pour ses droits et libertés, et qui fixe ce que cette information doit contenir. Deux points conditionnent tout le reste et figurent noir sur blanc dans les publications officielles : les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis, et le mot de passe ne fait pas partie des données dérobées. Enfin, la date qui déclenche les obligations de l’administration n’est ni celle des intrusions, en juin et juillet, ni celle de la revendication publique : c’est la constatation du vol, le 12 août 2026.

Ce que la DGFiP envoie depuis le 17 août 2026, et à qui

L’information individuelle a commencé le lundi 17 août 2026, cinq jours après que la DGFiP a eu connaissance du vol. Elle prend deux formes selon les coordonnées dont l’administration dispose : un courriel envoyé au fil de la semaine, ou un courrier lorsqu’aucune adresse électronique n’est enregistrée. Ne pas avoir reçu de message un jour donné ne signifie donc pas être hors de cause, puisque les envois sont échelonnés.

Le contenu de ce message n’est pas laissé à la libre appréciation de l’expéditeur. La DGFiP indique qu’il se conforme à l’obligation d’information de l’article 34 du RGPD et qu’il détaille les données susceptibles d’avoir été consultées ou extraites pour la personne destinataire, ainsi que, le cas échéant, les mesures de vigilance à adopter. Autrement dit, ce que vous devez y chercher en priorité est la liste des catégories de données vous concernant : c’est l’élément qui distingue votre situation individuelle du périmètre général de l’incident.

L’administration a également décrit publiquement la forme de son propre message, ce qui en constitue la signature vérifiable. Il ne contient aucun lien direct vers l’espace fiscal. Il ne demande aucune information confidentielle. Et il n’attend de vous aucune réponse ni aucune action en dehors de votre espace sur impots.gouv.fr — ni par courriel, ni par SMS, ni par téléphone. Ces trois caractéristiques ne sont pas des recommandations générales de prudence : elles décrivent l’objet réel que la DGFiP a envoyé, et elles servent de point de comparaison pour tout message qui prétendrait en être un.

Les chiffres de 350 000 particuliers et 250 000 professionnels sont ceux de la foire aux questions du 17 août 2026 et portent sur le seul vol de données fiscales : ils ne dénombrent pas l’ensemble des personnes touchées par les incidents révélés cette semaine-là.

Pourquoi ce message est une obligation : l’article 34 du RGPD

Le RGPD est le règlement (UE) 2016/679, publié au Journal officiel de l’Union européenne (JOUE) L 119 du 4 mai 2016 et applicable depuis le 25 mai 2018. Deux de ses articles organisent la réaction à une violation de données. L’article 33 porte sur la notification à l’autorité de contrôle — en France, la Commission nationale de l’informatique et des libertés (CNIL) —, avec un délai de référence de 72 heures. L’article 34 porte sur la communication à la personne concernée, c’est-à-dire sur le message que reçoivent les contribuables depuis le 17 août 2026. Ce sont deux obligations distinctes, adressées à deux destinataires différents, et elles ne se déclenchent pas dans les mêmes conditions.

L’article 34 n’impose l’information individuelle que si la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. En dessous de ce seuil, l’information individuelle n’est plus exigible, mais la notification à l’autorité de contrôle demeure, à une réserve près : l’article 33, paragraphe 1, ne l’écarte que si la violation n’est pas susceptible d’engendrer un risque — sans l’adjectif « élevé » — pour les droits et libertés des personnes physiques. Les deux obligations ne sont donc pas calées sur le même niveau de risque. Le fait que la DGFiP écrive à plusieurs centaines de milliers de personnes est donc en soi une indication : l’administration a considéré que le critère de risque élevé était rempli pour ce volet.

Le même article prévoit trois cas dans lesquels cette communication individuelle n’est pas exigée : lorsque les données étaient protégées par des mesures les rendant incompréhensibles à un tiers non autorisé, typiquement un chiffrement ; lorsque des mesures prises après la violation écartent le risque élevé ; et lorsque la communication individuelle exigerait des efforts disproportionnés, auquel cas elle est remplacée par une communication publique d’efficacité comparable. Aucun de ces cas n’a été retenu ici, puisque l’information individuelle a bien lieu, en complément de l’annonce publiée sur impots.gouv.fr.

Il faut enfin mesurer ce que ce message ne fait pas. Il informe ; il n’indemnise pas et n’emporte aucune reconnaissance de responsabilité. La CNIL indique de son côté qu’il n’est pas nécessaire de la saisir d’une plainte individuelle, puisqu’elle est déjà saisie du dossier — ce qui ne retire aucun des droits que le RGPD ouvre par ailleurs aux personnes concernées, sujet détaillé dans ce que le RGPD vous permet d’exiger après une fuite de données.

Les quatre dates de l’affaire, et celle qui déclenche le délai légal

Quatre dates coexistent dans cette affaire et ne remplissent pas la même fonction. Les intrusions elles-mêmes ont eu lieu en juin et juillet 2026, à la suite de l’usurpation d’identifiants d’agents publics. La DGFiP a eu connaissance du vol de données le 12 août 2026. L’annonce publique a été faite le 14 août 2026, la DGFiP indiquant avoir saisi la CNIL dès qu’elle a eu connaissance du vol. L’information individuelle a commencé le 17 août 2026.

La chronologie technique explique l’écart apparent. Les accès frauduleux ont été détectés et fermés dès juin et juillet 2026. Mais le vol de données lui-même, réalisé par contournement des circuits habituels, n’a été établi qu’à partir du 12 août 2026, date à laquelle un acteur malveillant a par ailleurs commencé à revendiquer publiquement ces accès, les mercredi 12 et jeudi 13 août 2026. Fermer un accès et établir que des données sont sorties sont deux constats distincts, et le second est arrivé près de deux mois après le premier.

C’est ce point qui commande la lecture du calendrier. Le délai de 72 heures de l’article 33 du RGPD court à compter de la constatation de la violation, et non de la date des faits. La doctrine de la CNIL admet en outre une notification en deux temps lorsque des investigations sont nécessaires : une première notification dans le délai, complétée ensuite à mesure que le périmètre est établi. Rapportées à ce point de départ, l’annonce publique le 14 août et l’information individuelle à partir du 17 août s’inscrivent dans les cinq jours qui ont suivi le 12 août.

Ce raisonnement a une limite qu’il faut poser aussi nettement. La conformité au délai s’apprécie à partir de la constatation, mais la CNIL a annoncé vérifier le respect du RGPD et de la loi Informatique et Libertés dans cette affaire — un contrôle qui peut porter sur les mesures de sécurité et, potentiellement, sur la capacité de détection elle-même. Aucune conclusion n’est rendue à ce stade. Le calendrier ne constitue donc par lui-même ni un manquement établi ni un quitus.

Quelles données sont concernées, et lesquelles ne le sont pas

Pour un particulier, les données susceptibles d’avoir été consultées ou extraites sont, selon la foire aux questions de la DGFiP : l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale — situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source — ainsi que la liste des messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr.

Cette dernière catégorie mérite une distinction que les décomptes globaux masquent. La liste des messages échangés est concernée pour l’ensemble des particuliers destinataires du message ; le contenu de ces messages ne l’est que pour moins de 250 contribuables. La nuance n’est pas rassurante pour autant : un simple objet de message peut déjà révéler une situation personnelle — contentieux, difficulté de paiement, succession, changement de situation familiale. C’est la donnée la plus intime du lot, et celle dont l’exposition ne se mesure pas au nombre de caractères dérobés.

Pour les entreprises, les données en cause sont notamment la raison sociale et le numéro SIREN. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont par ailleurs été consultées, dans le cadre d’un incident distinct décrit plus loin.

Le périmètre de ce qui n’a pas été atteint est tout aussi documenté, et il est déterminant pour la conduite à tenir. Les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis. Le mot de passe ne fait pas partie des données dérobées. La DGFiP indique en conséquence qu’il n’est pas nécessaire de le modifier à la suite de cet incident — ce qui n’empêche évidemment personne de le changer à tout moment en se connectant soi-même à son espace, comme en temps normal. La CNIL retient la même lecture le 18 août 2026, mais au conditionnel : selon elle, les identifiants et les mots de passe des particuliers et des professionnels ne seraient pas concernés par ces violations, ses propres vérifications étant en cours.

Le risque réel : l’hameçonnage rendu crédible par vos propres données

Le danger que crée cette fuite n’est pas l’entrée d’un tiers dans votre compte fiscal, puisque ni les espaces ni les mots de passe n’ont été atteints. Il est ailleurs, et il est plus difficile à parer : un interlocuteur qui connaît votre revenu fiscal de référence, votre nombre de parts, votre taux de prélèvement à la source et l’objet de vos derniers échanges avec l’administration dispose de tout ce qu’il faut pour passer sans effort pour la DGFiP, pour un centre des Finances publiques ou pour votre banque.

C’est précisément ce qui explique une consigne officielle qui peut surprendre : la DGFiP écrit que changer son mot de passe n’est pas nécessaire, tout en insistant sur la vigilance. Les deux affirmations sont cohérentes. Le réflexe spontané — réinitialiser ses identifiants — répond à un risque qui ne s’est pas matérialisé, et il expose au passage à un risque bien réel, celui de le faire depuis un lien reçu dans un message frauduleux. Le bon réflexe est inverse : ne jamais rebondir depuis un message reçu, et n’accéder à son espace qu’en saisissant soi-même l’adresse impots.gouv.fr.

Le scénario de fraude redouté se déduit de ce que l’administration dit surveiller elle-même. La protection des comptes fiscaux des personnes concernées a été renforcée, avec une attention particulière portée aux modifications qui pourraient y être apportées dans les prochains mois — notamment un changement d’adresse ou de coordonnées bancaires. Traduit en clair : le détournement d’un remboursement d’impôt vers un compte tiers. C’est aussi le point que chacun peut vérifier sans risque dans son propre espace, en s’y connectant de sa propre initiative, pour s’assurer que les coordonnées bancaires et l’adresse enregistrées sont bien les siennes.

En cas de tentative de fraude, la DGFiP invite à signaler les faits sur cybermalveillance.gouv.fr et, en cas de préjudice, à déposer plainte via la plateforme THÉSÉE, en commissariat ou en gendarmerie. Elle recommande également de conserver les preuves : messages reçus, adresse du site visité, captures d’écran.

Comment distinguer le message officiel d’une tentative de fraude

La description publique du message officiel fournit un test praticable sans aucune compétence technique, et plus fiable qu’un examen d’adresse d’expéditeur, que l’usurpation rend peu concluant. Trois éléments définissent le message envoyé par la DGFiP : il ne contient aucun lien direct vers l’espace fiscal ; il ne demande aucune information confidentielle ; il n’attend aucune réponse ni aucune action en dehors de l’espace sur impots.gouv.fr, ni par courriel, ni par SMS, ni par téléphone.

Il en découle une règle de lecture simple. Un message qui vous demande de cliquer pour « vérifier si vous êtes concerné », de confirmer un identifiant, de saisir des coordonnées bancaires, de régler une somme ou de rappeler un numéro s’écarte par construction de ce que l’administration dit avoir envoyé. Le point mérite d’être souligné : aucun dispositif officiel ne permet de vérifier en ligne si l’on figure parmi les personnes touchées. Un service, un formulaire ou une application qui proposerait ce contrôle ne relève pas de la DGFiP.

Les canaux officiels, eux, sont connus et se joignent à votre initiative. Une assistance téléphonique est ouverte au 0809 401 401, numéro non surtaxé. La messagerie sécurisée de l’espace Finances publiques reste accessible en s’y connectant soi-même. Enfin, les coordonnées du centre des Finances publiques dont vous dépendez figurent sur votre avis d’imposition — un support que personne ne peut vous envoyer par courriel.

Ce que la DGFiP et la CNIL ont engagé de leur côté

Dès la détection des accès, la DGFiP indique avoir interrompu les comptes d’agents utilisés et procédé à des coupures préventives d’accès à des systèmes sensibles. Elle a saisi la CNIL, déposé plainte, et travaille avec le service du Haut fonctionnaire de défense et de sécurité ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le parquet de Paris a ouvert une enquête, notamment pour extraction frauduleuse de données et association de malfaiteurs ; l’existence et le périmètre de cette enquête reposent sur le compte rendu de la conférence de presse du 18 août 2026 et n’ont pas d’autre source publique à ce stade.

Sur le périmètre de l’atteinte, la directrice générale de la DGFiP, Amélie Verdier, a pris un engagement public daté le 18 août 2026 : « Aucune [de ces trois cyberattaques] n’a conduit à une intrusion dans un compte fiscal, ni d’un particulier ni d’un professionnel. Et aucune d’entre elles n’a permis de récupérer des codes d’accès au compte sécurisé d’un contribuable. » C’est cette affirmation, et non une appréciation générale, qui fonde la consigne de ne pas modifier son mot de passe en réaction à l’incident.

Côté mesures techniques, la DGFiP a annoncé le 18 août 2026 accélérer la sécurisation des accès de ses agents : authentification forte systématique sur tous les accès, équipement de l’ensemble des agents en jetons USB d’ici la fin de l’année, suppression de l’accès à certaines applications et coupure de l’accès distant au portail de messagerie des agents. Ce calendrier a été présenté oralement en conférence de presse et n’est adossé à aucun texte publié. La même conférence a situé l’effort existant : plus de 100 emplois dédiés à la cybersécurité, sur plus de 5 300 informaticiens à la DGFiP.

La CNIL, enfin, a précisé sa position le 18 août 2026. Elle a reçu la notification de violation, elle contrôlera le respect du RGPD et de la loi Informatique et Libertés, et des sanctions sont possibles en cas de manquement constaté. Elle indique qu’il n’est pas nécessaire de la saisir d’une plainte individuelle, tout en accueillant les informations utiles à ses vérifications en cours. Aucune conclusion n’a été rendue publique.

Trois incidents distincts en une semaine : ne pas les confondre

Trois incidents ont été présentés le 18 août 2026, et ils ne forment pas un événement unique. Le premier est le vol de données fiscales, revendiqué le 12 août. La foire aux questions de la DGFiP l’impute à l’usurpation des identifiants d’agents publics ; la conférence de presse a décrit une combinaison de compromissions de comptes et un accès de fin juin obtenu avec les identifiants du compte d’un employé. Les deux formulations désignent le même mode opératoire, la seconde suggérant plusieurs comptes touchés. Le deuxième est une extraction de données cadastrales via le Serveur professionnel de données cadastrales, revendiquée le 13 août. Le troisième est une brèche sur le portail public des successions vacantes, identifiée le lundi 17 août et depuis coupée ; son ampleur exacte, la nature de la faille et la confirmation de sa correction ne reposent que sur le compte rendu de cette conférence de presse. Seul le premier volet déclenche l’information individuelle au titre de l’article 34 du RGPD : ne rien avoir reçu n’exclut pas d’être concerné par un autre volet.

Les volumétries, en revanche, ne se recoupent pas, et rien de public ne permet de les réconcilier. La foire aux questions du 17 août 2026 dénombre, pour le seul vol de données fiscales, un peu plus de 350 000 particuliers et 250 000 professionnels. La conférence de presse du 18 août 2026 a avancé, sur ce même volet, au moins 678 000 particuliers et professionnels, dont 350 000 contribuables — un décompte dont la construction est détaillée dans la fuite de données à la DGFiP et les 678 000 personnes concernées. Les deux énoncés portent sur le même périmètre à un jour d’intervalle et ne coïncident pas ; aucune publication officielle n’explique l’écart à ce stade. Chaque chiffre se lit donc avec sa date et son émetteur, sans être additionné à un autre ni arrondi, et celui du 18 août est lui-même donné comme un plancher.

Sur le volet cadastral, l’écart est d’une autre nature : il oppose une revendication et une évaluation. L’attaquant annonce les données de 2 millions de personnes ; la DGFiP a répondu ne pas avoir les mêmes chiffres et être « maximum à 433 485 particuliers et 1 082 professionnels ». Le chiffre de 2 millions est une allégation non confirmée par l’administration, et la revendication publiée en ligne n’identifie pas davantage ses auteurs, que l’enquête judiciaire a précisément pour objet d’établir.

Reste la qualification de ce qui s’est produit, énoncée par le responsable de traitement lui-même. Pour les particuliers touchés par le volet fiscal, Amélie Verdier a indiqué le 18 août 2026 : « Pour ces particuliers, il y a eu clairement une violation de données fiscales couvertes par le secret fiscal et dont la violation est un délit pénal. »

Ce qu’il faut retenir

Le message reçu depuis le 17 août 2026 est l’exécution de l’article 34 du RGPD : il doit vous dire quelles catégories de données vous concernant ont pu être consultées ou extraites, et quelles mesures de vigilance adopter. Les envois s’échelonnent sur la semaine, par courriel ou par courrier.

Les espaces impots.gouv.fr n’ont pas été compromis et les mots de passe n’ont pas été dérobés : la DGFiP indique qu’il n’est pas nécessaire de changer le sien à la suite de cet incident. Le risque porté par cette fuite est celui d’un hameçonnage rendu crédible par vos propres données fiscales. La parade tient en une habitude : n’agir qu’à votre initiative, en saisissant vous-même l’adresse du site ou en appelant le 0809 401 401, et jamais depuis un lien reçu.

Questions fréquentes

Comment savoir si je suis concerné par la fuite de données de la DGFiP ?

L’information est individuelle : les personnes concernées par le vol de données fiscales reçoivent depuis le 17 août 2026 un message de la DGFiP, par courriel dans la semaine, ou par courrier lorsque l’administration ne dispose pas d’adresse électronique. Les envois étant échelonnés, l’absence de message à une date donnée ne permet pas de conclure. Aucun service officiel ne permet de vérifier en ligne si l’on figure parmi les personnes touchées.

Dois-je changer mon mot de passe impots.gouv.fr après le piratage ?

La DGFiP indique que ce n’est pas nécessaire à la suite de cet incident : les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis et le mot de passe ne fait pas partie des données dérobées. La CNIL indique de son côté, le 18 août 2026, que les identifiants et les mots de passe ne seraient pas concernés par ces violations, ses vérifications étant en cours. Un changement de mot de passe reste possible à tout moment, en se connectant soi-même à son espace sans passer par un lien reçu.

Quelles données fiscales ont pu être consultées ?

Pour un particulier, la foire aux questions publiée le 17 août 2026 par la DGFiP cite l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale — situation de famille, personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source — et la liste des messages échangés via la messagerie d’impots.gouv.fr. Le contenu même de ces messages n’est en cause que pour moins de 250 contribuables. Pour les entreprises, il s’agit notamment de la raison sociale et du SIREN.

Comment reconnaître un faux courriel de la DGFiP ?

La DGFiP a décrit son propre message : il ne contient aucun lien direct vers l’espace fiscal, ne demande aucune information confidentielle et n’attend aucune réponse ni aucune action en dehors de l’espace sur impots.gouv.fr, ni par courriel, ni par SMS, ni par téléphone. Tout message qui s’écarte de cette description — lien à cliquer, identifiant à confirmer, coordonnées bancaires à saisir, numéro à rappeler — s’en distingue par construction.

Que faire en cas de tentative de fraude après cette fuite de données ?

La DGFiP invite à signaler les faits sur cybermalveillance.gouv.fr et, en cas de préjudice, à déposer plainte via la plateforme THÉSÉE, en commissariat ou en gendarmerie, en conservant les preuves : messages reçus, adresse du site, captures d’écran. Une assistance téléphonique est ouverte au 0809 401 401, numéro non surtaxé. La CNIL, déjà saisie, précise qu’une plainte individuelle auprès d’elle n’est pas nécessaire.