Piratage des impôts : l'escroc connaît votre revenu fiscal (et ce qu'il peut en faire)

Jusqu'ici, un faux conseiller bancaire devait bluffer. Désormais, certains connaîtront votre revenu fiscal de référence, votre taux de prélèvement à la source et le nombre de personnes à votre charge. La cyberattaque contre la Direction générale des finances publiques, confirmée le 14 août, a exposé les données de 678 000 particuliers et professionnels. Le danger n'est pas le vol lui-même : c'est ce qu'il rend possible.

Ce que les pirates ont vraiment récupéré

L'intrusion remonte à fin juin, via l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. L'échantillon publié par l'auteur de la revendication contient un ensemble de données bien plus large que le seul montant d'impôt.

Y figurent les identités, dates et lieux de naissance, adresses postales, numéros de téléphone et adresses e-mail, identifiants fiscaux, situations familiales, nombre de personnes à charge, revenu fiscal de référence et taux de prélèvement à la source. S'y ajoutent des données cadastrales sur les biens immobiliers et leurs surfaces.

Pourquoi cette fuite change la nature des arnaques

Une tentative d'escroquerie classique se repère à ses approximations : un montant faux, un nom mal orthographié, une formule impersonnelle. Ces garde-fous viennent de sauter pour les personnes concernées.

Un escroc disposant de ce jeu de données peut vous appeler sur votre vrai numéro, vous nommer correctement, citer votre revenu fiscal de référence au bon montant et mentionner le nombre exact de vos enfants. Trois détails qu'aucun inconnu n'est censé connaître, et qui suffisent à faire baisser la garde. La même logique vaut par courriel, avec un message qui reprend votre adresse et votre situation familiale.

Deux scénarios sont à redouter en priorité. Le premier est le faux agent du fisc annonçant un remboursement ou un redressement, qui demande de vérifier vos coordonnées bancaires. Le second est le faux conseiller bancaire, qui s'appuie sur ces informations pour vous faire valider une opération présentée comme une sécurité.

Les trois réflexes qui coupent court

Aucun de ces scénarios ne fonctionne si vous appliquez une règle simple : ne jamais agir dans le fil d'un appel ou d'un message entrant, quelle que soit la précision des informations avancées.

• Raccrochez et rappelez vous-même le numéro figurant sur votre relevé ou au dos de votre carte. Un numéro affiché peut être usurpé, jamais celui que vous composez.
• Ne validez aucune opération dans votre application bancaire pendant un appel. Une validation ne sert jamais à annuler ou à sécuriser un paiement : elle l'autorise.
• Ne communiquez ni mot de passe ni coordonnées bancaires. Ni la DGFiP ni votre banque ne les demandent, et surtout pas pour vérifier si vous êtes concerné par cette fuite.

Si le pire arrive, la loi est de votre côté

En cas d'opération non autorisée, l'article L133-18 du code monétaire et financier impose à la banque de rembourser dès qu'elle est informée, et au plus tard le premier jour ouvrable suivant. Vous disposez de 13 mois à compter du débit pour contester.

La banque peut refuser en invoquant votre négligence grave, mais la Cour de cassation a nettement resserré cette porte de sortie. Dans un arrêt du 23 octobre 2024, elle a jugé qu'un client trompé par un escroc utilisant le numéro de téléphone de sa propre agence, et convaincu de suivre une procédure présentée comme sécurisée, ne commet pas de négligence grave. L'affaire portait sur 54 500 € de virements frauduleux.

La charge de la preuve pèse sur l'établissement, pas sur vous. Une nuance décisive existe toutefois : un virement que vous réalisez vous-même, en toute conscience, n'est pas une opération non autorisée. C'est le piège détaillé dans notre article sur l'arnaque au virement en location de vacances, où la banque n'a rien à rembourser.

Le parquet de Paris a ouvert une enquête et l'ANSSI participe aux investigations pour déterminer précisément l'étendue de la fuite. En attendant, la vigilance reste la seule protection efficace : les données volées, elles, ne seront pas récupérées.