Données fiscales volées : le risque d'hameçonnage par l'IA

678 000 contribuables. C’est le nombre d’usagers dont des données fiscales ont été extraites de la Direction générale des finances publiques fin juin 2026, d’après la plainte déposée le 27 août par l’association Anti-corruption AC!! auprès du Parquet national financier.

La plainte est dirigée contre X. Autrement dit, elle ne désigne aucun coupable : elle demande à la justice d’enquêter. L’association précise elle-même que la DGFiP est présentée comme victime de ces intrusions, pas comme responsable. Elle demande seulement que soit vérifié si les auteurs ont pu bénéficier d’une aide interne, par exemple la fourniture d’identifiants. C’est une hypothèse d’enquête, rien de plus, et la présomption d’innocence s’applique pleinement.

Reste un fait établi et lourd : les données concernées. État civil, adresses, revenu fiscal de référence, taux de prélèvement à la source. Pris séparément, chacun de ces éléments semble anodin. Réunis, ils dessinent le portrait financier précis de centaines de milliers de foyers.

Pourquoi ces données valent cher

Un numéro de carte bancaire se change en une journée. Votre revenu fiscal de référence, votre adresse et votre taux de prélèvement, non. Ces informations restent vraies pendant des années, et elles permettent une chose que les escrocs recherchent avant tout : la crédibilité.

Un message qui cite votre revenu exact, votre adresse et votre situation fiscale ne ressemble pas à une arnaque. Il ressemble à un courrier de l’administration. C’est là que le risque bascule.

Ce que l’IA générative ajoute à l’équation

Jusqu’à récemment, un escroc qui voulait exploiter un fichier volé devait rédiger ses messages à la main, un par un, souvent dans un français approximatif qui trahissait la fraude. Cette limite a sauté.

Un modèle de langage rédige aujourd’hui des milliers de messages personnalisés, sans faute, chacun adapté aux données de sa cible. Le même outil clone une voix à partir de quelques secondes d’enregistrement, ou tient une conversation téléphonique cohérente. La donnée volée fournit le contenu ; l’IA fournit l’échelle et le vernis.

Concrètement, une victime peut recevoir un appel ou un courriel qui mentionne son taux de prélèvement réel, évoque un « trop-perçu » à rembourser, et l’oriente vers un faux site des impôts. Rien n’est faux dans les détails cités. C’est précisément ce qui rend le piège efficace.

Cette mécanique ne se limite pas aux impôts. La même semaine, l’Éducation nationale a subi une intrusion via l’usurpation d’un compte professionnel, dans la nuit du 25 juillet 2026, avec des conséquences encore visibles à la rentrée dans les académies de Nantes et de Toulouse (franceinfo). Le point commun n’est pas technique : c’est que des accès et des données publics circulent, et qu’ils alimenteront des campagnes ciblées pendant des mois.

Ce qu’une organisation doit en retenir

Pour un dirigeant, la question n’est pas « nos données étaient-elles dans ce fichier ». Elle est : « mes équipes savent-elles qu’un message exact dans ses détails peut être une fraude ».

Trois réflexes tiennent la route, indépendamment de l’outil employé par l’attaquant :

• Un canal ne prouve rien. Un message qui cite des informations exactes n’est pas authentifié pour autant. On vérifie toujours par un second canal connu, jamais par le lien ou le numéro fourni dans le message.
• Une demande urgente d’argent ou d’identifiants se traite comme suspecte par défaut, surtout si elle joue sur la peur d’une sanction fiscale.
• Un virement ou un changement de coordonnées bancaires exige une contre-vérification humaine, par téléphone à un contact déjà connu.

Ces règles ne coûtent rien. Elles supposent seulement que chacun les connaisse avant de recevoir le message piégé, pas après.

Si vous voulez structurer cette vigilance à l’échelle d’une équipe, plutôt que de la laisser à la vigilance individuelle, notre page cybersécurité présente notre approche. Et si vous pensez faire partie des personnes concernées par la fuite, surveillez vos comptes et signalez toute sollicitation inhabituelle sur la plateforme officielle du gouvernement.

Sources

• infodujour.fr, « Fuites de données fiscales à la DGFiP : AC!! Anticorruption saisit le Parquet national financier », 27 août 2026.
• franceinfo, « “C’est une situation de crise” : dans les académies de Nantes et de Toulouse, une rentrée scolaire “dégradée” après le piratage », août 2026.