Temps de lecture :
Après deux intrusions en juin puis en juillet, la DGFiP commence à informer les personnes dont des données auraient pu être consultées. La campagne d’envoi s’étale sur plusieurs jours et l’administration rappelle les bons réflexes face aux tentatives d’arnaque.
- La DGFiP commence à informer les contribuables touchés depuis le lundi 17 août.
- « Un peu plus de 350 000 particuliers » et environ 250 000 professionnels sont concernés.
- Les données potentiellement consultées incluent notamment l’identifiant fiscal, l’état-civil, des éléments de foyer fiscal et, parfois, des échanges via impots.gouv.fr.
- Risque principal : des tentatives de phishing plus crédibles grâce aux informations dérobées.
- Les emails officiels finissent par @dgfip.finances.gouv.fr et les envois doivent durer « tout au long de la semaine ».
L’administration fiscale démarre l’information des usagers touchés par la fuite de données liée à deux incursions majeures dans ses systèmes d’information, survenues en juin puis en juillet. Depuis lundi 17 août, la Direction générale des Finances publiques (DGFiP) adresse un message aux contribuables concernés.
D’après la DGFiP, il s’agit d’un « peu plus de 350 000 particuliers » et d’environ 250 000 professionnels. Lorsque le fisc ne dispose pas d’adresse électronique, un courrier papier est prévu.
Quelles informations ont pu être consultées ?
Le courriel précise, pour les particuliers, les données « susceptibles d'avoir été consultées ». La liste communiquée comprend :
- l’identifiant fiscal ;
- l’état-civil ;
- l’adresse postale ;
- l’adresse mail ;
- le numéro de téléphone ;
- la situation de famille ;
- le nombre de personnes à charge ;
- le nombre de parts fiscales ;
- le revenu fiscal de référence ;
- le taux de prélèvement à la source ;
- la liste des messages échangés via la messagerie d'impots.gouv.fr et, parfois, le contenu des échanges ;
- des données cadastrales relatives aux adresses et aux surfaces des biens immobiliers.
Pourquoi la DGFiP alerte sur le phishing
Au-delà de l’atteinte à la confidentialité (par exemple le revenu fiscal de référence ou le nombre de parts), ces éléments peuvent alimenter des tentatives d’hameçonnage particulièrement crédibles, car elles s’appuient sur des informations exactes.
La DGFiP met en garde dans son message : « Il convient d'être particulièrement méfiant face à toute prise de contact (appel téléphonique ou mail, SMS, messageries instantanées, réseaux sociaux...) de personnes ou d'organismes qui prétendraient vous connaître à partir des informations dérobées et vous solliciteraient dans le but de vous soutirer des informations confidentielles (...), vous faire valider des opérations bancaires (faux conseillers bancaires) ou demander votre mot de passe pour accéder à votre espace Finances Publiques ».
L’administration précise par ailleurs que le mot de passe de l’espace en ligne et les avis d’impôts n’ont pas été compromis.
Usurpation d’identité : un scénario jugé plus marginal
Autre possibilité évoquée : l’usurpation d’identité afin d’ouvrir un compte bancaire ou de souscrire un crédit. La DGFiP considère toutefois ce risque comme plus limité, en rappelant que ces données, seules, ne suffisent pas. « Pour y parvenir, les acteurs malveillants doivent également se procurer la copie de vos papiers d'identité », indique-t-elle.
Vous n’avez pas reçu de message : que faire ?
L’absence d’email ne permet pas de conclure que vous n’êtes pas concerné. La DGFiP annonce un envoi étalé dans le temps, qui doit se poursuivre « tout au long de la semaine ».
Point de vigilance utile : les adresses officielles de la DGFiP se terminent par @dgfip.finances.gouv.fr. Tout message provenant d’un autre domaine doit être considéré comme frauduleux.
