La Direction générale des finances publiques (DGFiP) a annoncé qu’elle va contacter individuellement les contribuables victimes de la cyberattaque qui a visé le portail impots.gouv.fr. Cette intrusion informatique, survenue en février 2025, a permis à des pirates d’accéder à des données personnelles de milliers d’usagers.
Les personnes concernées recevront un message officiel les informant de la nature des informations consultées par les hackers. Cette démarche s’inscrit dans l’obligation légale de transparence imposée par le règlement général sur la protection des données (RGPD).
Quelles données ont été compromises
Selon les premières informations communiquées par l’administration fiscale, les pirates ont pu accéder à des données d’identification et à certaines informations personnelles des contribuables. L’ampleur exacte de la fuite reste en cours d’évaluation par les services de sécurité informatique de Bercy.
La DGFiP n’a pas précisé le nombre exact de comptes compromis, mais plusieurs sources évoquent des milliers de dossiers potentiellement consultés. Les données bancaires complètes, notamment les coordonnées de comptes utilisées pour les prélèvements à la source ou les remboursements, ne figureraient pas parmi les éléments dérobés.
L’administration fiscale insiste sur le fait qu’elle procède à une analyse approfondie pour déterminer avec précision quelles informations ont été consultées dans chaque dossier touché.
Comment reconnaître le message officiel
Face au risque accru d’arnaques exploitant cette faille de sécurité, la DGFiP met en garde les contribuables contre les faux messages. Le courrier officiel présentera des caractéristiques précises permettant de l’authentifier.
L’administration fiscale ne demandera jamais par courrier électronique de communiquer des mots de passe, des coordonnées bancaires complètes ou de cliquer sur des liens demandant une connexion urgente. Les contribuables qui reçoivent ce type de sollicitation doivent les ignorer et les signaler.
Le message légitime de la DGFiP expliquera la situation, détaillera les types de données potentiellement consultées et fournira des recommandations de sécurité. Il ne contiendra aucun lien demandant de saisir des identifiants de connexion.
Les mesures de précaution à prendre
Les contribuables touchés doivent renforcer la sécurité de leur espace personnel sur impots.gouv.fr. Le changement du mot de passe constitue la première mesure indispensable. Ce nouveau code doit être unique, complexe et différent de ceux utilisés pour d’autres services en ligne.
La DGFiP recommande également d’activer la double authentification lorsque cette option est disponible. Cette fonctionnalité ajoute une couche de sécurité supplémentaire en demandant une validation par SMS ou application lors de chaque connexion.
Les personnes concernées doivent surveiller attentivement leurs comptes bancaires et leurs relevés fiscaux dans les mois à venir. Toute opération suspecte ou demande inhabituelle doit être signalée immédiatement aux services concernés.
Le risque d’usurpation d’identité
Au-delà de l’accès aux données fiscales, cette cyberattaque expose les victimes à un risque d’usurpation d’identité. Les informations dérobées peuvent être utilisées par des escrocs pour se faire passer pour l’administration et réclamer des paiements frauduleux.
Certains pirates exploitent ces données pour monter des dossiers de crédit à la consommation ou des demandes d’aides sociales au nom des victimes. La vigilance s’impose donc sur l’ensemble des démarches administratives et financières.
Les contribuables qui constatent des démarches effectuées en leur nom sans leur consentement doivent déposer plainte et contacter rapidement les organismes concernés. La Banque de France propose un service de blocage préventif des ouvertures de crédit pour les personnes victimes de vol de données.
Les obligations légales de la DGFiP
Le RGPD impose aux organismes victimes de fuites de données de notifier les personnes concernées dans un délai de 72 heures après avoir pris connaissance de l’incident. Cette notification doit décrire la nature de la violation, les catégories de données touchées et les mesures prises pour y remédier.
L’administration fiscale doit également informer la Commission nationale de l’informatique et des libertés (CNIL) de cet incident de sécurité. L’autorité de contrôle peut diligenter une enquête et prononcer des sanctions si des manquements aux règles de protection des données sont constatés.
Les contribuables victimes disposent du droit de demander des informations complémentaires sur les données consultées et les mesures de sécurité mises en place. Ils peuvent également réclamer une indemnisation si un préjudice matériel ou moral est démontré.
Renforcer la sécurité du portail fiscal
Cet incident soulève des questions sur la robustesse des systèmes informatiques de l’administration fiscale. La DGFiP gère les données personnelles de plusieurs dizaines de millions de contribuables, ce qui en fait une cible privilégiée pour les cybercriminels.
Le même raisonnement vaut pour les entreprises, dont les postes de travail restent la première porte d’entrée des attaques. Un parc vieillissant, sur lequel les correctifs de sécurité ne sont plus assurés, constitue une faille durable : c’est l’une des raisons pour lesquelles de plus en plus de structures préfèrent louer leur matériel informatique plutôt que de l’acheter, le renouvellement régulier des machines étant alors intégré au contrat.
L’administration indique avoir renforcé ses dispositifs de sécurité suite à cette intrusion. Des audits complémentaires sont en cours pour identifier les failles exploitées et éviter qu’elles ne se reproduisent.
Les contribuables sont invités à consulter régulièrement leur espace personnel et à signaler toute anomalie. La DGFiP met à disposition un formulaire de contact sécurisé accessible depuis le portail impots.gouv.fr pour remonter les incidents suspects.
Rédaction — NG Promotion
