Piratage du fisc : comment distinguer un vrai mail des impôts d’une arnaque ?

La Direction générale des finances publiques (DGFIP) a annoncé le vendredi 14 août avoir été victime d’un piratage informatique concernant les données de 678 000 personnes. La section cyber du parquet de Paris a ouvert une enquête dès le lendemain, confiée à l’Office anti-cybercriminalité, pour « extraction frauduleuse de données et association de malfaiteurs » .

La directrice générale des finances publiques, Amélie Verdier, a qualifié l’opération de plus sophistiquée que les précédentes, dans un contexte où plusieurs autres organismes publics ont déjà été visés ces dernières semaines, comme l’Agence nationale des titres sécurisés ou l’Insee.

Le premier ministre Sébastien Lecornu a de son côté réuni une cellule de crise interministérielle. Pour les particuliers touchés, les informations dérobées comprennent les noms et prénoms, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source ; pour les entreprises, il s’agit de données jugées moins sensibles comme le numéro Siren ou l’adresse du mandataire. L’administration fiscale a toutefois tenu à rassurer les usagers : ces données ne permettent pas, à elles seules, d’accéder à un compte sécurisé sur impots.gouv.fr.

Cette fuite fait craindre une vague de mails ou de SMS frauduleux imitant l’administration fiscale dans les prochaines semaines, d’autant que les escrocs pourraient désormais s’appuyer sur des informations personnelles exactes pour rendre leurs messages plus convaincants. Pour les prévenir, les usagers concernés doivent commencer à être contactés individuellement par la DGFIP à partir de ce lundi 17 août, avec le détail des données exposées et les mesures de vigilance à adopter. C’est justement dans l’intervalle, avant cette notification officielle, que la vigilance doit être la plus forte.

Le premier réflexe consiste à regarder l’adresse de l’expéditeur selon le site officiel des impôts. Un mail authentique de la DGFIP se termine toujours par @dgfip.finances.gouv.fr, et aucune autre terminaison n’est légitime, même lorsque le nom affiché semble officiel. Un site Internet des impôts a de la même façon toujours une adresse en gouv.fr, et toute variation, même minime, doit éveiller la méfiance.

Le ton du message est un autre indice précieux : l’administration fiscale ne menace jamais ses usagers de poursuites, d’intervention d’un huissier ou de la police par courriel, et ne promet pas non plus un remboursement immédiat en échange d’un clic sur un lien. Ce type d’urgence artificielle, tout comme les promesses trop avantageuses, constitue presque toujours le signe d’une tentative d’escroquerie, rappelle le site officiel des impôts.

Aucune donnée bancaire, aucun mot de passe ni code d’accès ne sont jamais réclamés par courriel, par SMS ou par téléphone.