Actualité : Impôts, banques, opérateurs… vos données ont fuité : la menace se déplace, comment vous protéger

Un courriel des impôts qui cite votre revenu fiscal de référence, un SMS qui connaît le prénom de votre enfant et le nom de son collège, un appel de votre banque qui affiche bien son numéro… l'été 2026 a enchaîné les fuites visant l'État français, après deux années déjà chargées du côté des opérateurs et des complémentaires santé. Pourtant, ce n'est presque jamais la fuite elle-même qui coûte de l'argent aux particuliers, mais l'escroquerie qu'elle rend crédible quelques semaines plus tard. Nous avons repris les principales, avec pour chacune les arnaques qu'elles rendent possibles, celles qu'elles ne permettent pas, et les réflexes à adopter.

La Direction générale des finances publiques a reconnu mi-août 2026 une intrusion menée à partir des identifiants usurpés d'un agent et d'un tiers habilité . Environ 678 000 usagers, particuliers et professionnels confondus, sont potentiellement concernés, et les notifications individuelles ont commencé le 17 août.

Les données dérobées vont du numéro fiscal à l'adresse et au téléphone, en passant par la situation familiale, la tranche d'imposition, le revenu fiscal de référence et le taux de prélèvement à la source. Les mots de passe et les espaces particuliers, quant à eux, n'ont pas été touchés, ce qui limite le risque de connexion frauduleuse directe.

Le risque se déplace donc vers l'hameçonnage. Un escroc qui connaît votre revenu de référence et votre nombre de parts peut rédiger un faux avis de remboursement bien plus convaincant qu'un message générique, avant de vous diriger vers un formulaire réclamant vos coordonnées bancaires. La DGFiP rappelle de son côté qu'elle n'écrit qu'avec des adresses en @dgfip.finances.gouv.fr, n'envoie pas de SMS pour réclamer une dette et n'utilise aucun numéro surtaxé en 0899 ou 0891. Un remboursement d'impôt arrive par virement sur le compte déjà connu de l'administration, sans formulaire à remplir. Le numéro national d'assistance de l'administration fiscale française, le 0 809 401 401, permet de lever un doute sans surcoût.

L'intrusion remonte au 25 juillet 2026 et a été revendiquée le 17 août. Les 346 millions de lignes annoncées recouvrent beaucoup de doublons, avec de l'ordre de 4,35 millions d'identifiants de personnels et 1,22 million de fiches élèves après tri, sur des historiques remontant à 2005. Le ministère précise pour sa part que le système visé ne contenait ni données bancaires, ni mots de passe.

L'exploitation ne demande aucune compétence technique. Un message qui cite le nom de l'établissement, le prénom de l'enfant et sa classe désamorce la méfiance en une phrase, qu'il s'agisse d'une fausse facture de cantine ou d'un faux accès à l'espace numérique de travail. Les personnels sont visés pareillement, par des courriels qui imitent leur rectorat et reprennent leur fonction réelle.

Le réflexe consiste ici à ne jamais répondre sur le canal entrant. Un établissement se recontacte au numéro inscrit sur le carnet de correspondance, pas à celui du message reçu.