I. Savoir ce qui a été touché : votre espace impots.gouv, vos données fiscales et le fichier FICOBA
A. Distinguer trois situations qui n’appellent pas les mêmes réflexes
La première clarification porte sur l’objet atteint. Un premier cas vise votre espace personnel sur impots.gouv.fr : vous ne parvenez plus à vous connecter, votre mot de passe a été modifié sans votre action, votre adresse électronique de contact a changé, des documents apparaissent dans votre messagerie sécurisée alors que vous n’avez accompli aucune démarche, ou vous recevez un avis d’impôt correspondant à des revenus que vous n’avez pas perçus. Un deuxième cas vise une usurpation plus large : un tiers utilise votre état civil, votre adresse ou vos identifiants pour déclarer, payer, demander un crédit d’impôt ou ouvrir des droits en votre nom. Un troisième cas, documenté par l’administration elle-même au premier semestre 2026, vise une consultation illégitime du fichier national des comptes bancaires, sans prise de contrôle de votre espace personnel mais avec exposition de données bancaires et d’identité.
Cette distinction commande la suite. Si votre espace a été pris en main, la priorité va à la reprise du compte, à la sécurisation de l’adresse électronique associée et à la contestation des actes passés en votre nom. Si vos données bancaires et d’identité ont été consultées dans un fichier central sans intrusion dans votre espace, la priorité va à la vigilance bancaire, à la traçabilité des usages frauduleux et à l’exercice de vos droits d’accès et de rectification. Dans les deux hypothèses, la plainte pénale et la démarche fiscale coexistent, sans se confondre.
La Direction générale des Finances publiques a décrit elle-même, dans une actualité publiée le 18 février 2026 et modifiée le 3 mars 2026, des faits qui éclairent cette troisième situation : dès la fin janvier 2026, un acteur malveillant ayant usurpé les identifiants d’un fonctionnaire habilité dans le cadre des échanges entre ministères a pu consulter une partie du fichier recensant les comptes bancaires ouverts en France, avec des données d’identité, d’adresse et de coordonnées bancaires (impots.gouv.fr : accès illégitimes au fichier FICOBA). La même page précise l’ordre de grandeur : les données consultées et extraites concerneraient environ 1,2 million de comptes selon l’administration, qui annonce des mesures immédiates de restriction d’accès, une information individuelle des usagers concernés, une sensibilisation des banques, une mobilisation avec le haut fonctionnaire de défense et de sécurité et l’ANSSI, ainsi qu’une notification à la CNIL et un dépôt de plainte (même source officielle). La page ajoute, dans sa mise à jour du 27 février 2026, que l’administration précise que l’identifiant fiscal n’aurait pas été consulté lors de ces accès illégitimes (même actualité DGFiP). Ces précisions datées importent : elles fixent ce que l’administration reconnaît, ce qu’elle exclut à ce stade, et ce qui reste à démontrer dossier par dossier.
Dans le même temps, la même administration rappelle une règle simple face aux messages qui exploitent ces incidents : l’administration rappelle qu’elle ne demande jamais les identifiants ni le numéro de carte bancaire par message (impots.gouv.fr : attention aux arnaques). Tout courriel, SMS ou appel qui réclame un identifiant, un mot de passe, un code à usage unique ou un numéro de carte en se présentant comme la DGFiP doit être traité comme suspect, même lorsqu’il reprend des informations exactes sur votre situation. Les données issues d’une exposition antérieure servent précisément à rendre l’hameçonnage crédible.
B. Identifier les traitements, les parties et leurs rôles avant d’agir
Le droit des données personnelles impose de nommer les choses. Le traitement en cause, côté espace personnel, comprend l’authentification à l’espace particulier, la messagerie sécurisée, le dépôt des déclarations, la consultation des avis et le paiement en ligne. Le responsable de ce traitement est l’administration fiscale pour les finalités de gestion de l’impôt, tandis que vous êtes la personne concernée. Le prestataire FranceConnect, lorsqu’il est utilisé comme modalité d’accès, intervient comme tiers de confiance pour l’authentification, sans devenir le responsable de l’assiette ou du recouvrement. Votre fournisseur de messagerie électronique et votre opérateur téléphonique sont des acteurs distincts : la compromission de votre boîte électronique précède souvent la prise de contrôle de l’espace fiscal, sans que l’administration en soit responsable par principe.
Côté fichier central, le traitement FICOBA recense les comptes bancaires ouverts en France. La CNIL présente ce fichier et les modalités d’exercice des droits associés sur une page dédiée permettant de demander l’accès à ses données FICOBA (CNIL : accéder au fichier FICOBA). L’incident de janvier 2026 décrit par la DGFiP correspond à une violation de données au sens du règlement européen : des données à caractère personnel ont été consultées sans autorisation, par usurpation d’identifiants d’un agent habilité. Le règlement impose au responsable de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir eu connaissance, sauf absence de risque (CNIL : violations de données, les règles à suivre). Lorsque le risque est élevé pour les personnes, une communication individuelle s’ajoute : le règlement prévoit qu’en cas de risque élevé pour les droits et libertés, le responsable communique la violation à la personne concernée dans les meilleurs délais (CNIL : quand faut-il notifier une violation à la CNIL). La DGFiP annonce précisément une information individuelle des usagers concernés, ce qui correspond à cette seconde logique sans s’y substituer dans votre dossier : conservez le courrier ou le message reçu, sa date et son contenu, car il fixera le point de départ de votre vigilance et, le cas échéant, de vos demandes.
Vos droits propres subsistent indépendamment de ces notifications. Le droit d’accès permet de savoir quelles données l’administration détient sur vous et d’en obtenir copie. Le droit de rectification permet de faire corriger une donnée inexacte. Le droit à l’effacement, plus encadré en matière fiscale en raison des obligations de conservation, ne permet pas d’exiger la suppression d’une imposition légalement établie, mais peut viser des données non nécessaires ou des coordonnées détournées. La CNIL détaille ces droits et les courriers types utilisables pour les exercer (CNIL : maîtriser vos données personnelles). En matière fiscale, l’accès à FICOBA suit un canal propre décrit par la CNIL, distinct de la demande adressée au service gestionnaire de votre dossier. Engager les deux démarches en parallèle évite de perdre des semaines : demande au service des impôts pour votre dossier individuel, et demande d’accès FICOBA pour vérifier les comptes recensés à votre nom.
II. Reprendre la main : sécuriser, contester l’impôt usurpé et obtenir réparation
A. Sécuriser le compte, figer les usages frauduleux et déposer plainte sans attendre
La reprise du compte suit un ordre pratique. Changez d’abord le mot de passe de l’adresse électronique associée à l’espace fiscal depuis un appareil sain, puis activez ou réactivez la double authentification chaque fois qu’elle est proposée. Vérifiez les règles de renvoi automatique, les adresses de récupération et les appareils connectés : un attaquant qui conserve l’accès à la boîte électronique reprend le compte fiscal après chaque réinitialisation. Ne renseignez aucun identifiant depuis un lien reçu par message. Connectez-vous en saisissant vous-même l’adresse impots.gouv.fr ou depuis votre favori, puis contrôlez la messagerie sécurisée, les déclarations déposées, les avis émis, les coordonnées bancaires enregistrées pour le prélèvement et les demandes en cours.
Signalez ensuite l’usurpation dans votre espace par la messagerie sécurisée, en décrivant les faits datés : dernière connexion légitime, premier constat anormal, modifications constatées, montants et documents concernés, mesures déjà prises. Demandez expressément le blocage de tout acte nouveau passé avec les identifiants compromis, la copie des traces de connexion et des actes contestés, et l’indication du service compétent pour la contestation de l’imposition. Adressez en parallèle, si votre boîte électronique a été compromise, une notification à votre fournisseur et conservez les journaux disponibles. Si des opérations bancaires ont été initiées à partir des données exposées, faites opposition auprès de votre banque selon ses canaux d’urgence et conservez les références.
Le dépôt de plainte ne doit pas attendre l’issue des démarches fiscales. Deux qualifications pénales correspondent aux faits les plus fréquents. L’usurpation d’identité est définie ainsi : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (Legifrance : code pénal, article 226-4-1 en vigueur au 8 octobre 2026). La même peine s’applique lorsque les faits sont commis sur un réseau de communication au public en ligne, selon le même article. L’intrusion dans un système est visée séparément : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (Legifrance : code pénal, article 323-1 en vigueur au 8 octobre 2026), avec des peines aggravées lorsque la suppression ou la modification de données en est résultée ou lorsque le système visé est un système de données à caractère personnel mis en œuvre par l’État, selon le même article. Déposez plainte avec les pièces qui montrent l’usage de vos données et l’accès frauduleux : captures datées, avis contestés, messages suspects avec en-têtes complets, relevés bancaires, récépissés de signalement. Lorsque le tiers a obtenu un versement ou une décharge en se faisant passer pour vous, la qualification d’escroquerie peut s’ajouter : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (Legifrance : code pénal, article 313-1 en vigueur au 8 octobre 2026). De même, l’extraction ou la détention frauduleuse des données du système fiscal est visée : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende » (Legifrance : code pénal, article 323-3 en vigueur au 8 octobre 2026). La fiche de Service-Public sur l’usurpation d’identité décrit la conduite à tenir et les dépôts envisageables (Service-Public : usurpation d’identité). Demandez le récépissé et le numéro de procès-verbal, utiles pour la banque, l’administration fiscale et, plus tard, le juge civil. Les services sont tenus de recevoir votre plainte : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents » (Legifrance : code de procédure pénale, article 15-3 en vigueur au 8 octobre 2026).
La démarche auprès de la CNIL se prépare en même temps. Si l’administration ne répond pas à votre demande d’accès ou de rectification, ou si la réponse est incomplète, vous pouvez saisir la CNIL après l’expiration du délai imparti au responsable. Conservez la preuve de la demande initiale et de la date d’envoi, la copie de la réponse reçue et la liste précise des données contestées. En cas de préjudice lié à des appels ou messages frauduleux exploitant vos données fiscales ou bancaires, joignez les exemples datés : ils illustrent le risque et justifient une communication rapide et des mesures de protection. La CNIL ne prononce pas la décharge de l’impôt et n’ordonne pas le remboursement bancaire, mais elle peut instruire la plainte relative aux données, contrôler le responsable et, le cas échéant, sanctionner les manquements à la sécurité et aux droits.
B. Contester l’avis établi à votre nom et demander réparation du préjudice distinct de l’impôt
L’impôt établi à partir d’une déclaration usurpée ne se corrige pas par un simple appel téléphonique. La voie contentieuse fiscale s’applique : « Les réclamations relatives aux impôts, contributions, droits, taxes, redevances, soultes et pénalités de toute nature, établis ou recouvrés par les agents de l’administration, relèvent de la juridiction contentieuse lorsqu’elles tendent à obtenir soit la réparation d’erreurs commises dans l’assiette ou le calcul des impositions, soit le bénéfice d’un droit résultant d’une disposition législative ou réglementaire » (Legifrance : livre des procédures fiscales, article L190 en vigueur au 8 octobre 2026). En matière d’impôt sur le revenu, l’obligation déclarative personnelle fonde la contestation de la déclaration usurpée : la loi prévoit que toute personne imposable « est tenue de souscrire et de faire parvenir à l’administration une déclaration détaillée de ses revenus et bénéfices » (Legifrance : code général des impôts, article 170 en vigueur au 8 octobre 2026), de sorte qu’une déclaration déposée par un tiers sans mandat ne peut vous être imputée sans examen. Adressez une réclamation individuelle au service indiqué sur l’avis, dans les délais de droit commun, en exposant que la déclaration n’émane pas de vous, en joignant la plainte, les preuves de compromission du compte et tout élément d’identité ou de résidence incompatible avec la déclaration litigieuse. Demandez le sursis de paiement dans les conditions prévues pour éviter les poursuites pendant l’instruction, sans considérer ce sursis comme acquis avant la réponse. Si un tiers a modifié vos coordonnées bancaires pour détourner un remboursement, signalez-le expressément et demandez la traçabilité du versement.
La charge de la démonstration mérite une méthode. L’administration établit l’impôt à partir des éléments déclarés ; vous contestez l’imputabilité de la déclaration. Rapportez des éléments objectifs : journaux de connexion que vous demanderez, adresse IP inhabituelle, changement d’adresse électronique ou de coordonnées bancaires que vous n’avez pas ordonné, incohérence des revenus avec vos bulletins de paie et attestations d’employeur, attestations de l’employeur déclaré à tort, relevés qui montrent que vous n’avez pas perçu les sommes. Ne vous contentez pas d’affirmer que vous n’êtes pas l’auteur : montrez par pièces concordantes qui vous êtes, où vous résidez, ce que vous percevez, et en quoi l’acte contesté s’en écarte. Si l’administration envisage une rectification à partir d’éléments que vous contestez, elle doit vous adresser une proposition motivée : « L’administration adresse au contribuable une proposition de rectification qui doit être motivée de manière à lui permettre de formuler ses observations ou de faire connaître son acceptation » (Legifrance : livre des procédures fiscales, article L57 en vigueur au 8 octobre 2026). Si l’administration maintient l’imposition, le recours juridictionnel devant le juge de l’impôt reste ouvert dans les délais notifiés avec la décision de rejet. Pour une problématique voisine de compte piraté et de démarches de récupération documentées dans un autre contexte de compte en ligne, une analyse des réflexes de reprise et de preuve reste utile à titre méthodologique (Kohen Avocats : compte Ameli piraté, récupérer l’accès et obtenir réparation).
La réparation du préjudice lié aux données obéit à un régime propre, distinct de la décharge fiscale. Le règlement européen pose : le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte un droit à réparation contre le responsable ou le sous-traitant (CNIL : comprendre le RGPD). Ce texte fonde l’action contre le responsable ou le sous-traitant dont la violation du règlement a causé le dommage, avec une exonération seulement si le défendeur établit que le fait dommageable ne lui est nullement imputable, selon les règles de responsabilité du même texte. Concrètement, le préjudice réparable peut comprendre les frais engagés pour sécuriser les comptes, les pertes financières liées à des opérations frauduleuses adossées aux données exposées, le temps contraint consacré aux démarches lorsqu’il est documenté, et le préjudice moral lié à l’exposition de données bancaires et d’identité. La preuve du lien entre la violation et chaque poste réclamé reste déterminante : conservez factures, relevés avant et après, attestations bancaires, échanges avec l’administration et la CNIL, procès-verbal de plainte et certificats médicaux le cas échéant. L’action en réparation n’aboutit que si la violation du règlement est établie et si le dommage en découle ; l’existence d’un incident général reconnu par l’administration ne dispense pas de démontrer votre exposition individuelle et vos pertes propres.
Quelques réflexes ferment le dispositif. Ne payez jamais depuis un lien reçu, même lorsqu’il affiche votre nom et votre numéro fiscal. Vérifiez chaque remboursement sur votre espace saisi manuellement et auprès de votre banque avant de disposer des fonds. Surveillez pendant plusieurs mois vos avis, votre messagerie sécurisée et vos relevés : une usurpation fiscale sert souvent de marchepied à d’autres ouvertures de droits ou de crédits. Activez les alertes de votre banque, refusez de communiquer un code à usage unique par téléphone, et consignez chaque appel suspect avec date, numéro affiché, nom invoqué et demande formulée. Si un faux conseiller invoque l’incident FICOBA pour obtenir vos codes, raccrochez et rappelez le service par le canal officiel. Ces gestes simples réduisent le risque résiduel après la reprise du compte et renforcent, pièces à l’appui, la contestation fiscale et l’action en réparation.
Un exemple chiffré fixe les idées pour une société à l’impôt sur les sociétés dont l’exercice coïncide avec l’année civile. L’impôt dû au titre de 2022 pouvait être repris jusqu’au 31 décembre 2025 : depuis le 1er janvier 2026, cet exercice est prescrit, et toute proposition de rectification notifiée en 2026 qui y porterait serait tardive, sauf à démontrer une activité occulte, une flagrance ou une révélation judiciaire couvrant précisément les sommes visées. L’impôt dû au titre de 2023 reste reprises jusqu’au 31 décembre 2026 : une proposition de rectification présentée le 15 décembre 2026 interrompt encore utilement la prescription pour cet exercice, tandis qu’une présentation le 5 janvier 2027 arriverait trop tard. Pour la TVA, le même raisonnement s’applique période par période : les opérations devenues exigibles en 2022 sont prescrites depuis le 31 décembre 2025, celles de 2023 restent ouvertes jusqu’au 31 décembre 2026. Pour la CFE, l’avis d’imposition émis au titre de 2023 demeure rectifiable jusqu’au 31 décembre 2026, ce qui explique que les contrôles engagés à l’automne 2026 portent fréquemment sur les trois années 2023, 2024 et 2025. Cette mécanique calendaire commande un réflexe simple : dès réception d’un avis de vérification, dressez le tableau des années encore ouvertes et celui des années en principe prescrites, puis surveillez si l’administration prétend rattacher les années prescrites à l’une des extensions à dix ans.
Le cas des comptes détenus hors de France mérite un développement propre, car il concerne de nombreux dirigeants aux parcours internationaux. Lorsque les obligations déclaratives relatives aux comptes étrangers, aux contrats d’assurance-vie souscrits à l’étranger, aux trusts ou aux dispositifs transfrontaliers n’ont pas été respectées, le droit de reprise s’exerce jusqu’à la fin de la dixième année, mais uniquement pour les revenus et bénéfices afférents aux obligations méconnues. Le dirigeant qui a omis de déclarer un compte tout en déclarant l’intégralité de ses revenus professionnels ne s’expose aux dix ans que sur les revenus du compte, pas sur l’ensemble de son activité. Et lorsque le total des soldes créditeurs des comptes étrangers n’a excédé 50 000 euros à aucun moment de l’année, l’extension liée à cette omission ne s’applique pas, à charge pour le contribuable d’en apporter la preuve par des relevés complets. Cette démonstration, relevés bancaires à l’appui et calculs de soldes au jour le jour, fait partie des pièces à réunir dès les observations en réponse, car l’administration applique volontiers le délai de dix ans de façon globale avant tout examen du seuil.
En pratique à Paris et en Île-de-France :
À Paris et en Île-de-France, l’éloignement ne doit pas retarder les démarches : la messagerie sécurisée de l’espace fiscal et le dépôt de plainte en ligne permettent de figer le dossier le jour même, avant tout déplacement. Le service des impôts indiqué sur l’avis reste compétent pour la réclamation, quel que soit votre arrondissement ou votre département de résidence, et la juridiction compétente pour le contentieux fiscal se détermine à partir de cette décision, non de votre lieu de travail. Pour la plainte, conservez le récépissé électronique et complétez ensuite par l’apport des pièces originales au service enquêteur désigné. Les usagers franciliens exposés à des tentatives répétées d’hameçonnage après l’incident FICOBA ont intérêt à centraliser dans un dossier unique les messages suspects, les relevés et les échanges avec la banque : cette tenue chronologique facilite à la fois la réclamation fiscale, la plainte et la demande à la CNIL, sans multiplier les interlocuteurs.
Conclusion
Un espace impots.gouv pris en main et une exposition de données fiscales ou bancaires dans un fichier central ne se traitent pas de la même façon, mais exigent la même rigueur : figer les faits, reprendre les accès depuis un appareil sain, signaler par la messagerie sécurisée, déposer plainte avec pièces datées, exercer les droits d’accès et de rectification, puis contester l’avis usurpé par réclamation dans les délais. L’actualité FICOBA du premier semestre 2026 montre qu’une consultation illégitime massive peut être reconnue, notifiée à la CNIL et suivie d’une information individuelle, sans régler pour autant chaque situation personnelle. Votre dossier se gagne sur les preuves individuelles : traces de connexion, actes que vous n’avez pas passés, courriers reçus, échanges conservés. La décharge de l’impôt usurpé relève du contentieux fiscal, la protection des données relève de la CNIL, la sanction des intrusions relève du juge pénal, et la réparation du dommage lié à la violation relève du juge civil sur le fondement du règlement européen. Avancer sur ces quatre voies en parallèle, avec des pièces cohérentes et datées, donne à chaque autorité ce qu’elle peut décider et évite qu’une démarche isolée ne fige l’ensemble.