Piratage impots.gouv.fr : vérifier si vous êtes concerné et reconnaître un vrai mail DGFiP

Le piratage des services en ligne des impôts a conduit de nombreux contribuables à se demander si leurs données personnelles étaient exposées. Ce guide indépendant répond aux quatre questions essentielles : comment vérifier si vous êtes concerné par l’attaque contre impots.gouv.fr, comment reconnaître un vrai e-mail de la Direction générale des finances publiques (DGFiP), comment réagir si vous avez reçu un message suspect et comment sécuriser votre compte.

1. Vérifier si vous êtes concerné par le piratage de impots.gouv.fr

La vérification se fait dans votre espace particulier, sur le site officiel. Pour vous connecter, saisissez l’adresse exacte https://www.impots.gouv.fr dans votre navigateur. Ne cliquez jamais sur un lien contenu dans un e-mail pour arriver sur cette page : vous devez taper l’adresse vous-même.

Sur la page d’accueil, choisissez « Espace particulier », puis renseignez votre numéro fiscal à treize chiffres et votre mot de passe. Si l’administration a activé une vérification en deux étapes, un code est envoyé par SMS ou généré dans une application : saisissez-le pour terminer la connexion.

Une fois dans votre espace, ouvrez la messagerie sécurisée. C’est par ce canal que la DGFiP transmet les informations officielles concernant votre dossier, notamment une éventuelle compromission de données. S’il n’y a aucun message, cela ne veut pas dire qu’il n’y a aucun risque, mais cela signifie qu’aucune notification officielle ne vous a encore été adressée par ce biais. Vérifiez également vos informations personnelles (adresse, téléphone, coordonnées bancaires enregistrées) pour détecter d’éventuelles modifications frauduleuses.

Si vous ne parvenez plus à vous connecter avec vos identifiants habituels, utilisez le lien « Mot de passe oublié » proposé sur la page de connexion. La procédure demande votre numéro fiscal et envoie un lien de réinitialisation à l’adresse e-mail connue du service. Si cette adresse e-mail a été changée sans votre accord, ou si la réinitialisation n’aboutit pas, contactez votre centre des finances publiques dont les coordonnées figurent sur le site officiel. Ne passez pas par un numéro de téléphone trouvé dans un e-mail suspect.

2. Reconnaître un vrai mail DGFiP d’un mail frauduleux

La DGFiP envoie rarement des pièces jointes et encore plus rarement des demandes de renseignements personnels par e-mail. L’administration privilégie la messagerie sécurisée de l’espace particulier. Quand un e-mail est légitime, il respecte plusieurs règles.

• Un vrai message s’adresse à vous par votre nom ou votre numéro fiscal. Les mails frauduleux utilisent des formules générales comme « cher contribuable » ou « madame, monsieur ».
• Un vrai message ne comporte pas de menace de blocage immédiat de compte ni de sanction fiscale. Les fraudeurs créent un sentiment d’urgence pour vous faire cliquer.
• Un vrai message ne vous demande jamais de confirmer votre mot de passe, votre code reçu par SMS, votre numéro de carte bancaire ou votre RIB. La DGFiP ne vous demande jamais ces informations par e-mail.
• Un vrai message peut contenir un lien vers impots.gouv.fr, mais il ne vous demande pas de passer par ce lien pour saisir des identifiants. Vous devez toujours ouvrir le site officiel dans un nouvel onglet.
• Les fautes d’orthographe, les adresses d’expéditeur bizarres (gmail.com, outlook.fr, etc.) et les pièces jointes au format ZIP, DOC ou PDF sont des signaux de fraude.

Vérifiez aussi l’adresse d’expédition. Un e-mail officiel provient généralement d’un domaine se terminant par dgfip.finances.gouv.fr, mais cette seule information ne suffit pas : les fraudeurs peuvent usurper une adresse. Le critère décisif reste le contenu : si un e-mail vous demande une action sensible, il est frauduleux.

3. Que faire si vous recevez un mail DGFiP suspect ?

1. Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe.
2. Ne répondez pas au message et ne transmettez aucune information personnelle.
3. Ouvrez votre navigateur, tapez https://www.impots.gouv.fr et connectez-vous à votre espace. Vérifiez s’il existe réellement un message de la DGFiP dans la messagerie sécurisée.
4. Signalez le courriel frauduleux. Vous pouvez utiliser le service Signal Spam (signal-spam.fr) en transférant le message complet avec les en-têtes. Vous pouvez aussi suivre les conseils de Cybermalveillance.gouv.fr pour savoir comment réagir.
5. Supprimez le message de votre boîte de réception, puis videz la corbeille.

Si vous avez déjà cliqué sur un lien, avez saisi votre mot de passe ou avez communiqué un code reçu par SMS, agissez rapidement. Modifiez immédiatement le mot de passe de votre compte impots.gouv.fr sur le site officiel. Si vous avez indiqué des coordonnées bancaires, prévenez votre banque. Enfin, l’administration recommande de surveiller les prochaines connexions dans votre espace.

4. Sécuriser votre compte impots.gouv.fr

Après un vol de données, la meilleure protection consiste à rendre plus difficile toute utilisation frauduleuse de votre compte. Voici les mesures à appliquer dès maintenant.

• Choisissez un mot de passe long, unique et sans lien avec vos informations personnelles (date de naissance, nom de jeune fille, adresse). Un gestionnaire de mots de passe peut vous aider à en générer un aléatoire.
• Ne réutilisez pas le mot de passe de votre espace impots.gouv.fr sur d’autres sites. Si un autre service a été piraté, les fraudeurs peuvent tenter les mêmes identifiants sur le site des impôts.
• Activez la double authentification si elle est proposée dans votre espace. Elle ajoute un code envoyé par SMS ou généré par une application, ce qui bloque la majorité des connexions frauduleuses.
• Assurez-vous que votre adresse e-mail et votre numéro de téléphone sont à jour dans votre profil. C’est grâce à ces coordonnées que la DGFiP vous prévient d’une activité suspecte.
• Ne communiquez jamais vos codes à un tiers, même si la personne se présente comme un agent des impôts. Aucun agent légitime ne vous demandera votre mot de passe.
• Déconnectez-vous systématiquement après une consultation sur un ordinateur partagé ou public.
• Si vous utilisez l’application mobile officielle, téléchargez-la uniquement depuis les stores officiels.

En cas de doute sur la sécurité d’une connexion ou si vous recevez une alerte de connexion que vous ne reconnaissez pas, ne laissez pas le problème de côté. Repassez par https://www.impots.gouv.fr, changez votre mot de passe et prévenez la DGFiP. Un doute traité rapidement limite les risques d’usurpation d’identité.

Ce guide est indépendant et n’est pas affilié à la Direction générale des finances publiques (DGFiP) — les marques citées appartiennent à leurs propriétaires.