« Fuite données DGFIP », « fuite données bancaires DGFIP », « fuite de données DGFIP FICOBA » : ces requêtes apparaissent dans les suggestions de recherche des internautes et elles traduisent une inquiétude très concrète. Avis d’imposition, revenus déclarés, identifiants du compte impots.gouv, relevés d’identité bancaire, liste des comptes détenus : les données fiscales et bancaires concentrent tout ce qu’un fraudeur peut exploiter, du faux remboursement d’impôt au crédit souscrit avec vos pièces. À la date de rédaction, aucune communication officielle ne confirme une compromission générale des systèmes de la direction générale des finances publiques, et une grande partie des messages reçus « au nom de la DGFIP » relève du hameçonnage pur et simple. Cet article se place donc du côté de la victime, particulier, dirigeant ou entreprise, et décrit les vérifications à mener ainsi que les recours possibles lorsque des données fiscales ou bancaires circulent sans votre accord. La première partie explique comment vérifier ce qui a vraiment circulé et comment sécuriser l’urgence. La seconde expose la réponse pénale, de la plainte à la réparation du préjudice.
I. Fuite de données DGFIP : comment vérifier ce qui circule et sécuriser vos comptes
A. Fuite données bancaires DGFIP : vérifier votre espace impots.gouv, vos comptes et le fichier FICOBA avant de croire un message
La première vérification porte sur la nature exacte des données concernées, car tout ne se traite pas de la même façon. Les données fiscales, ce sont vos déclarations, vos avis d’imposition, votre adresse et votre situation de famille connus du service. Les données bancaires, ce sont vos relevés d’identité bancaire, vos relevés d’opérations et, en arrière-plan, la liste de vos comptes : le fichier national des comptes bancaires et assimilés, appelé FICOBA, recense les comptes ouverts, modifiés et clôturés, et il est alimenté par les déclarations que les établissements adressent à l’administration, selon le mécanisme prévu notamment par l’article 1649 A du code général des impôts. Quand un inconnu semble connaître vos comptes ou votre situation fiscale, deux hypothèses seulement sont possibles : soit il vous a extorqué ces informations par un message piégé, soit il y a accédé sans votre accord. Distinguer ces deux cas commande toute la suite, car les preuves à réunir et les infractions à viser ne sont pas les mêmes.
Le réflexe qui protège consiste à ne jamais utiliser les liens ni les numéros figurant dans le message reçu. Un courriel ou un SMS qui annonce un remboursement d’impôt, un dossier FICOBA vous concernant ou une « fuite de données DGFIP » et qui réclame vos identifiants, vos codes ou vos coordonnées bancaires doit être traité comme suspect par principe : la vérification se fait en tapant soi-même l’adresse du site officiel dans le navigateur, en se connectant à son espace personnel et en contrôlant les avis mis à disposition, les coordonnées bancaires enregistrées pour les prélèvements et les messages adressés par le service. Si votre espace ne mentionne ni remboursement, ni anomalie, ni demande, le message reçu ne venait pas du service. Cette vérification par le canal officiel, et par lui seul, permet aussi de repérer une situation plus grave : des opérations que vous n’avez pas ordonnées, un relevé d’identité bancaire que vous n’avez pas enregistré, une adresse de contact modifiée à votre insu. Chacun de ces indices doit être noté avec sa date, car ils ouvriront le dossier et en rythmeront la suite.
Trois situations doivent ensuite être distinguées avec soin. Première situation : le simple hameçonnage sans conséquence financière, message non ouvert ou lien non cliqué, aucune donnée transmise. Il n’y a alors pas de préjudice patrimonial, mais la tentative reste punissable et le message conservé servira de preuve. Deuxième situation : vos données ont été utilisées, compte ouvert à votre nom, crédit souscrit avec vos pièces, faux relevé transmis à un tiers, prélèvements inconnus sur vos relevés. C’est le cas le plus lourd, celui qui impose l’alerte bancaire immédiate et la plainte détaillée ci-dessous. Troisième situation : la consultation indue par une personne qui disposait d’un accès, agent, prestataire, salarié d’un établissement ou proche travaillant avec des outils professionnels. La Cour de cassation vient de rappeler avec fermeté, à propos d’un fichier policier, que la consultation d’un fichier sensible exige une habilitation individuelle : « La cassation est par conséquent encourue de ce chef », et la Cour « CASSE et ANNULE l’arrêt susvisé de la chambre de l’instruction de la cour d’appel de Metz, en date du 6 juillet 2023, mais en ses seules dispositions relatives au moyen de nullité portant sur la consultation du fichier du traitement des antécédents judiciaires, toutes autres dispositions étant expressément maintenues » (chambre criminelle, 5 mars 2024, pourvoi n° 23-84.864, arrêt consulté sur le site de la Cour de cassation). La portée de cette décision concerne le fichier des antécédents judiciaires, mais elle illustre une règle de portée large : l’habilitation à travailler avec un outil ne vaut pas autorisation de consulter les données qui s’y trouvent à des fins étrangères à la mission.
Quelle que soit la situation, les preuves doivent être figées sans attendre, car les messages frauduleux disparaissent et les relevés se renouvellent. Conservez le message d’origine avec son expéditeur exact, son horodatage, son objet et, pour un courriel, ses en-têtes complets ; photographiez ou exportez en format non modifiable les pages litigieuses ; relevez les identifiants bancaires destinataires de tout virement suspect ; éditez vos relevés de compte sur la période concernée et surlignez chaque opération inconnue ; demandez à votre banque, par écrit, la liste des opérations contestées et conservez sa réponse. N’effacez rien, ne « nettoyez » pas votre boîte de réception, ne réinitialisez pas votre téléphone avant d’avoir sauvegardé ces éléments. Notez dès maintenant le préjudice en chiffres : sommes détournées ou prélevées, frais bancaires facturés, coût des démarches, heures passées, conséquences concrètes comme un crédit refusé ou un découvert subi. Ce chiffrage précoce, pièces à l’appui, servira à la fois pour la banque, pour le service des impôts et pour le juge.
Alertez ensuite, toujours par écrit et par les canaux officiels, les deux interlocuteurs qui peuvent bloquer l’hémorragie. Côté banque, signalez toute opération inconnue, demandez quelles contestations sont possibles sur les prélèvements et virements litigieux, et faites préciser par écrit le sort réservé à chaque opération ; en cas de virement émis sous l’effet d’une tromperie, chaque heure compte pour tenter d’interrompre le circuit. Côté fiscal, utilisez la messagerie sécurisée de votre espace personnel ou déplacez-vous au service des impôts des particuliers pour signaler l’utilisation frauduleuse de votre identité fiscale, vérifier qu’aucune démarche n’a été accomplie en votre nom et demander que toute modification de vos coordonnées fasse l’objet d’un contrôle renforcé. Si c’est votre entreprise qui a exposé les données de ses clients ou de ses salariés, le raisonnement s’inverse et ce sont ses propres obligations qui s’appliquent, décrites dans le dossier consacré aux obligations de l’entreprise qui découvre une fuite de données personnelles. Dans tous les cas, ne versez aucune somme réclamée par message pour « débloquer » un remboursement ou « sécuriser » un compte, et ne transmettez ni pièce d’identité ni justificatif à un interlocuteur dont vous n’avez pas vérifié l’identité par un canal indépendant.
B. Données fiscales qui circulent : sécuriser votre compte, votre banque et votre dossier avant tout recours
Une fois la vérification faite et les alertes données, la sécurisation doit être méthodique, dans un ordre qui ne détruit aucune preuve. Commencez par votre espace fiscal : depuis le site officiel, modifiez le mot de passe avec une formule longue et unique, que vous n’utilisez nulle part ailleurs ; contrôlez l’adresse électronique et le numéro de téléphone associés au compte et corrigez toute coordonnée que vous ne reconnaissez pas ; vérifiez les relevés d’identité bancaire enregistrés pour les prélèvements et supprimez, via les fonctions prévues à cet effet, tout compte qui n’est pas le vôtre ; relisez les derniers avis et décomptes pour y repérer une déclaration, une réclamation ou une option que vous n’avez pas souscrite. Si une démarche a été accomplie en votre nom à votre insu, signalez-la immédiatement par la messagerie sécurisée en joignant vos constats datés, et conservez une copie de chaque envoi. Ces diligences ne sont pas de simples précautions techniques : elles établissent que vous avez agi en personne prudente dès la découverte des faits, ce qui compte lorsque la banque ou le juge appréciera votre comportement.
Côté bancaire, la contestation doit être écrite, datée et précise, opération par opération. Pour chaque prélèvement inconnu, indiquez la date, le montant, le libellé et le créancier apparent, et demandez par écrit le sort de la contestation ; pour chaque virement émis sous l’effet d’une tromperie, transmettez sans attendre les références complètes du bénéficiaire et demandez quelles mesures de rappel sont envisageables. Exigez une réponse écrite à chaque demande et classez ces échanges avec vos relevés : en cas de litige ultérieur sur la prise en charge, ce sont ces écrits qui établiront ce que la banque savait et à quelle date. Si un crédit a été souscrit à votre insu, demandez à l’établissement prêteur la copie du dossier, contrat, pièces d’identité produites, adresse de correspondance utilisée, coordonnées de versement des fonds, car ces documents révéleront l’usurpation et identifieront souvent le circuit de fraude. Parallèlement, interrogez votre banque sur tout compte ou produit que vous ne reconnaissez pas : un compte ouvert avec vos pièces dans un autre établissement apparaîtra dans vos démarches ultérieures, et mieux vaut le découvrir vous-même, relevés et attestations à l’appui, que lors d’un refus de crédit.
Le cas du dirigeant et celui de l’entreprise méritent une attention propre, car les données fiscales et bancaires d’une société exposent à la fois la personne morale, son dirigeant et parfois ses associés. Un faux changement de relevé d’identité bancaire adressé à vos clients détourne vos encaissements ; une déclaration modifiée à votre insu fausse votre situation fiscale ; des pièces de la société utilisées pour ouvrir des lignes de crédit engagent des poursuites contre des dettes que vous n’avez pas contractées. Dans cette configuration, doublez les vérifications : espace professionnel du compte fiscal, comptes bancaires de la société, registre des opérations, habilitations internes. Retirez sans attendre les accès des personnes qui n’ont plus à en disposer, faites inventorier par écrit qui a consulté quoi et quand, et consignez les décisions prises. Si la fuite provient de votre propre système d’information et qu’elle expose des tiers, vos obligations changent de nature et relèvent du droit des données personnelles applicable au responsable de traitement, avec ses propres formalités et son propre calendrier, exposés dans le dossier consacré aux obligations de l’entreprise qui découvre une fuite de données personnelles. Ne mélangez jamais les deux démarches : victime d’une fraude d’un côté, responsable d’un fichier de l’autre, car les destinataires et les pièces ne sont pas les mêmes.. Sur le versant entreprise de ce type d’attaque, voir l’analyse des décisions à prendre quand des données fiscales professionnelles sont volées via impots.gouv.fr.
Organisez enfin un dossier unique, chronologique et chiffré, qui servira à chaque étape ultérieure. Une première chemise rassemble les faits : messages frauduleux avec expéditeurs et horodatages, captures de l’espace fiscal avant et après correction, relevés bancaires annotés, courriers et réponses de la banque et du service des impôts, récépissés de signalement. Une seconde chemise rassemble le préjudice : sommes détournées, frais facturés, intérêts supportés, coût des démarches, pertes d’exploitation pour une entreprise, avec chaque justificatif. Une troisième chemise rassemble les démarches : dates, interlocuteurs, références des courriers, numéros de dossier. Ce classement paraît scolaire, mais il conditionne l’issue : une plainte précise et chiffrée est traitée plus vite et plus sérieusement qu’un récit général, et une demande de réparation n’aboutit qu’avec des pièces. Tant que le dossier n’est pas complet, abstenez-vous de toute transaction proposée par message ou par un intermédiaire non vérifié, et ne signez aucun document dont vous ne conservez pas un exemplaire : la précipitation est l’alliée du fraudeur, y compris après la fraude initiale.
II. Fuite de données personnelles DGFIP : plainte pénale et réparation du préjudice
A. Fuite données personnelles que faire plainte : accès frauduleux, escroquerie et usurpation d’identité
L’accès à vos données fiscales ou bancaires sans votre accord entre dans le champ des atteintes aux systèmes de traitement automatisé de données. Le texte de référence dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). La jurisprudence donne à ce texte une portée très concrète. Dans une affaire où un dispositif espion avait été installé sur des ordinateurs professionnels pour capter les frappes au clavier, la chambre criminelle a approuvé la condamnation en retenant que « se rend coupable de l’infraction prévue à l’article 323-1 du code pénal la personne qui, sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données » (chambre criminelle, 16 janvier 2018, pourvoi n° 16-87.168, arrêt consulté sur le site de la Cour de cassation). Dans une affaire plus récente, où un salarié avait pris connaissance de courriels stockés sur le réseau de son employeur, la même chambre a jugé que « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (chambre criminelle, 2 septembre 2025, pourvoi n° 24-83.605, arrêt consulté sur le site de la Cour de cassation). Celui qui capte vos identifiants impots.gouv avec un logiciel espion, celui qui fouille votre messagerie pour y récupérer vos avis d’imposition, celui qui explore vos comptes depuis un accès professionnel détourné de sa mission : tous s’exposent à cette qualification, que la plainte doit viser en décrivant précisément le mode d’accès, à l’insu de la victime et sans autorisation.
Le faux site ou le faux message « DGFIP » qui moissonne les identifiants appelle une deuxième qualification, celle de la collecte déloyale. La loi punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite » (article 226-18 du code pénal). Un formulaire qui imite le site officiel pour aspirer numéros fiscaux, mots de passe et coordonnées bancaires entre exactement dans cette définition, car le moyen, l’imitation frauduleuse d’un service public, vicie toute la collecte. Conservez l’adresse exacte de la page, sa capture et le message qui y conduisait : ce sont ces pièces qui établiront le caractère frauduleux du moyen. Lorsque les données ainsi collectées servent ensuite à obtenir de l’argent, un crédit ou un bien, l’escroquerie s’ajoute : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale » (article 313-1 du code pénal). Se prévaloir de la qualité d’agent du fisc, adresser un faux avis de remboursement, présenter un faux relevé à une banque pour faire débloquer des fonds : chacune de ces manœuvres, dès lors qu’elle trompe sa destinataire pour obtenir remise de fonds, fourniture d’un service ou consentement à un acte, relève de ce texte. Décrivez dans la plainte chaque manœuvre, chaque qualité usurpée et chaque remise obtenue, car l’escroquerie se prouve manœuvre par manœuvre.
Quand vos données servent à agir en votre nom, l’usurpation d’identité fournit la troisième qualification utile : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui » est puni par la loi (article 226-4-1 du code pénal). Compte ouvert avec votre carte d’identité, ligne de crédit souscrite avec votre avis d’imposition comme justificatif de revenus, démarche accomplie auprès d’un service avec vos identifiants : l’usage de données permettant de vous identifier, dès lors qu’il trouble votre tranquillité ou porte atteinte à vos intérêts, entre dans ce texte. Joignez à la plainte tout document signé ou souscrit en votre nom que vous n’avez ni signé ni autorisé, et soulignez les différences avec vos documents authentiques, signature, adresse, orthographe du nom, canal utilisé. Enfin, deux textes complètent l’arsenal selon la configuration. Celui qui constitue un fichier pirate avec les données volées, listing de contribuables avec revenus et coordonnées bancaires proposé à la revente, s’expose au texte qui punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » (article 226-16 du code pénal). Et si la révélation vient d’une personne qui détenait l’information par état, profession, fonction ou mission temporaire, la violation du secret professionnel est punie d’un an d’emprisonnement et de 15 000 euros d’amende, car « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende » (article 226-13 du code pénal). Cette dernière qualification ne se présume jamais : elle suppose d’établir la qualité de dépositaire et le caractère secret de l’information révélée, ce qui se discute pièces en main et au conditionnel tant que l’enquête n’a pas établi les faits.
La plainte elle-même ne doit attendre ni l’issue des démarches bancaires ni une certitude totale sur l’auteur, que l’enquête aura précisément pour mission d’identifier. Les officiers et agents de police judiciaire ont l’obligation de recevoir les victimes : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents » (article 15-3 du code de procédure pénale). Déposez donc plainte dans le service de votre choix avec le dossier organisé comme indiqué plus haut, faits datés, pièces classées, préjudice chiffré, qualifications envisagées sans les affirmer comme établies. Demandez et conservez le récépissé de dépôt, notez le numéro de procédure et l’identité du service saisi, et transmettez ensuite tout élément nouveau, message ultérieur, opération découverte après coup, réponse de la banque, par courrier de complément versé au même dossier. Une plainte documentée dès l’origine, qui vise les bons textes et qui distingue les faits établis des hypothèses, donne à l’enquête les moyens d’aboutir et préserve l’ensemble de vos droits pour la phase de réparation.
B. Fuite de données personnelles France : chiffrer le préjudice et demander réparation sans se tromper de débiteur
Obtenir la condamnation de l’auteur ne suffit pas : encore faut-il être indemnisé, et l’indemnisation suppose un préjudice prouvé, chiffré et rattaché à l’infraction. Le principe est posé par le code de procédure pénale : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction » (article 2 du code de procédure pénale). Trois adjectifs commandent donc votre dossier de réparation : personnel, chacun ne réclame que son propre dommage, le dirigeant et sa société ne confondent pas leurs préjudices ; direct, chaque poste réclamé doit découler de l’infraction et non d’une circonstance éloignée ; prouvé, chaque euro réclamé s’appuie sur une pièce. Les postes habituels se laissent classer sans difficulté : sommes détournées ou prélevées sans autorisation, frais bancaires et intérêts supportés, coût des démarches et des courriers, temps passé valorisé avec mesure, perte d’exploitation pour l’entreprise dont les encaissements ont été détournés, préjudice moral lié à l’atteinte à la vie privée et aux démarches subies. Constituez pour chaque poste une liasse autonome, facture ou relevé, calcul, lien avec les faits : un tableau récapitulatif d’une page, renvoyant à des pièces numérotées, permet au juge comme à l’interlocuteur bancaire de vérifier chaque ligne sans effort.
La réparation se joue souvent sur plusieurs tableaux à la fois, et il faut veiller à ne pas se tromper de débiteur pour chaque poste. Face à l’auteur des faits, la voie pénale permet de demander réparation dans le cadre du procès, dès lors que le préjudice découle directement de l’infraction poursuivie ; face à la banque, la contestation écrite des opérations non autorisées suit son propre circuit et se prouve par les écrits échangés, demandes datées et réponses conservées ; face au service fiscal, la correction d’une situation créée à votre insu, déclaration modifiée, coordonnées altérées, option souscrite sans votre accord, passe par la réclamation écrite avec copie de vos constats. Ne signez, dans aucun de ces circuits, un document dont la portée vous échappe : une mainlevée, une reconnaissance ou une transaction rédigée en termes généraux peut éteindre des droits que vous vouliez préserver. Relisez chaque proposition, exigez les explications par écrit, et ne renvoyez un document signé qu’après avoir vérifié qu’il correspond exactement à ce qui a été convenu. Cette discipline vaut aussi pour les offres de « régularisation » reçues par message ou par téléphone d’un interlocuteur non vérifié : aucun accord sérieux ne se conclut sous la pression d’un appel impromptu.
La vigilance doit enfin se prolonger bien après la plainte, car les données fiscales et bancaires ne périment pas. Un avis d’imposition volé reste exploitable des années pour justifier de revenus fictifs ; un relevé d’identité bancaire ressurgit dans des tentatives de prélèvement longtemps après la fuite initiale ; une pièce d’identité numérisée alimente des ouvertures de compte en série. Maintenez donc une surveillance durable : relevés bancaires relus ligne par ligne pendant plusieurs mois, espace fiscal consulté régulièrement pour y détecter toute démarche inconnue, interrogation de votre banque à chaque anomalie, renouvellement des mots de passe et codes chaque fois qu’un doute renaît. Si une nouvelle utilisation frauduleuse apparaît, elle fera l’objet d’un complément à la plainte initiale plutôt que d’un nouveau départ : versez les nouvelles pièces au dossier existant en rappelant son numéro, afin que l’enquête embrasse l’ensemble du circuit. Pour l’entreprise, cette surveillance prend une forme collective : journal des accès aux outils fiscaux et bancaires, revue périodique des habilitations, traçabilité des changements de coordonnées de paiement, sensibilisation des équipes aux messages imitant l’administration. C’est cette hygiène durable, plus qu’une réaction ponctuelle, qui finit par tarir l’exploitation d’une fuite.
Conclusion
Face à une fuite réelle ou supposée de données DGFIP, la méthode tient en cinq gestes : vérifier par les canaux officiels sans utiliser les liens du message, figer les preuves et chiffrer le préjudice, alerter par écrit la banque et le service des impôts, déposer une plainte documentée visant l’accès frauduleux, l’escroquerie et l’usurpation d’identité, puis demander réparation sur des postes prouvés et rattachés aux faits. À la date de rédaction, aucune source officielle ne confirme une compromission générale des systèmes fiscaux, et beaucoup d’alertes reçues relèvent du hameçonnage : restez donc factuel, distinguez ce qui est établi de ce qui reste une hypothèse, et ne prêtez à personne une responsabilité que seul le juge peut constater. Avec un dossier complet et des qualifications précisément visées, la victime d’une exploitation de ses données fiscales et bancaires dispose des outils pour bloquer la fraude, identifier son auteur et obtenir réparation.