La Direction générale des Finances publiques a commencé, le 17 août 2026, à contacter individuellement les usagers dont les données ont pu être consultées ou extraites lors d’un piratage survenu fin juin 2026. Par courriel ou par courrier, chaque message précise la nature exacte des informations concernées. Selon l’administration, environ 678 000 particuliers et professionnels sont touchés, via plusieurs fuites successives.
Les données exposées portent sur les dossiers des contribuables et sur le cadastre : nom, prénom, date et lieu de naissance, adresse postale, revenu fiscal de référence, taux de prélèvement à la source, situation familiale, numéro de téléphone et adresse e-mail.
Les espaces personnels sur impots.gouv.fr ne semblent pas avoir été compromis, et aucun mot de passe n’a été dérobé. Si un usager ne reçoit aucune notification, il n’est a priori pas concerné par cette fuite précise.
L’épisode s’ajoute à une liste déjà longue d’incidents ayant exposé des données bancaires ces derniers mois. En janvier 2026, des accès illégitimes au fichier national des comptes bancaires avaient déjà permis à un acteur malveillant de consulter les IBAN, RIB, identités et adresses associés à 1,2 million de comptes, avec parfois l’identifiant fiscal du titulaire. Free, SFR ou Viamédis figurent parmi les organismes ayant, eux aussi, subi des fuites de données.
Bloquer les prélèvements et surveiller son compte
Face à un IBAN volé, la première précaution reste la surveillance du compte bancaire, quel que soit l’établissement, alerte la CNIL. Dans les semaines suivant une fuite, il est conseillé de le consulter environ une fois par jour, une opération qui prend quelques secondes sur l’application mobile de sa banque. La plupart des établissements envoient une notification en cas de suspicion d’opération frauduleuse.
Il est possible de constituer une liste blanche des créanciers autorisés à prélever, comme le fournisseur d’électricité, l’opérateur Internet ou l’assurance, en la demandant en ligne ou auprès d’un conseiller. Une liste noire peut aussi être mise en place pour bloquer automatiquement les tentatives de prélèvement de comptes identifiés comme frauduleux.
Si un prélèvement suspect apparaît déjà, la première étape consiste à bloquer l’ensemble des prélèvements sur le compte, en ligne ou via un conseiller selon les banques, avant de signaler l’opération au service client. Certains établissements font désormais passer un agent doté d’intelligence artificielle avant tout contact humain ; il suffit alors d’insister pour demander à parler à un conseiller.
Le délai de contestation est de 13 mois à compter du débit pour une opération émanant d’Europe, contre 70 jours, extensibles à 120 jours, pour un débit venu de l’extérieur de l’Union européenne. Une fois la fraude vérifiée, la banque rembourse l’intégralité de la somme, généralement en quelques jours.
Se méfier des messages qui promettent d’effacer les données
Le vol conjoint de l’identité et de l’adresse postale, en plus des IBAN, expose particulièrement aux tentatives d’hameçonnage : faux courriels de la Sécurité sociale, de la banque ou d’un service de livraison. La consigne reste inchangée, ne pas ouvrir les pièces jointes, ne pas cliquer sur les liens et supprimer le message. Il est aussi recommandé de prévenir ses proches, les cybercriminels pouvant exploiter ces informations pour mieux les tromper à leur tour.
La CNIL a signalé en juin 2026 une arnaque supplémentaire : des messages de personnes prétendant pouvoir effacer les données volées des victimes. La consigne est claire, ne répondre à aucune sollicitation de ce type et ne transmettre ni document ni renseignement.
En cas d’usurpation avérée, mieux vaut déposer plainte auprès d’un commissariat ou d’une gendarmerie et solliciter cybermalveillance.gouv.fr, qui propose des conseils dédiés.
