Votre avis d’impôt mentionne des salaires que vous n’avez jamais perçus, votre déclaration préremplie affiche une adresse qui n’est pas la vôtre, le RIB enregistré dans votre espace impots.gouv.fr a été remplacé par celui d’un inconnu, ou un remboursement est parti vers un compte qui ne vous appartient pas. Le réflexe est alors de croire à une erreur de l’administration, puis vient la découverte brutale : quelqu’un s’est connecté à votre place, a modifié vos données et a détourné tout ou partie de votre situation fiscale. Compte piraté, déclaration rectifiée par un tiers, coordonnées bancaires substituées, avis frauduleux : la situation mêle une fraude fiscale subie, une usurpation d’identité et une atteinte à vos données personnelles. Les démarches se jouent sur trois tableaux à la fois, et c’est ce qui rend ce dossier redoutable : reprendre la main sur le compte et faire corriger l’impôt, faire sanctionner l’auteur au pénal, et obtenir la réparation de chaque préjudice devant le juge et devant la CNIL. Cet article expose, à partir des textes en vigueur vérifiés pour sa rédaction et de décisions rendues dans des affaires d’usurpation et de fausse déclaration fiscale, la méthode complète : sécuriser l’accès et figer les preuves, faire corriger la déclaration, le RIB et l’avis, déposer une plainte utilement qualifiée, exercer vos droits sur vos données et chiffrer chaque préjudice, y compris à Paris et en Île-de-France où les services fiscaux et les juridictions suivent les mêmes règles nationales avec leurs contraintes pratiques propres.
I. Reprendre la main sur le compte et neutraliser la fraude fiscale
A. Sécuriser l’accès et figer les preuves
Le premier réflexe consiste à couper l’accès du fraudeur avant de corriger quoi que ce soit, car toute correction effectuée pendant que le tiers conserve la main sur le compte peut être aussitôt défaite. Ne cliquez sur aucun lien reçu par SMS, par courriel ou par messagerie instantanée qui prétend venir des impôts : les messages qui annoncent un remboursement ou qui réclament un paiement urgent en cliquant sur un bouton sont la voie d’entrée classique de l’hameçonnage, et c’est souvent par ce canal que les identifiants ont été captés. Ouvrez vous-même votre navigateur, tapez l’adresse du site officiel et connectez-vous, ou passez par votre espace personnel sur le site officiel des impôts, en tapant vous-même l’adresse dans votre navigateur, ou via FranceConnect depuis ce même portail officiel. Une fois connecté, changez immédiatement le mot de passe, contrôlez l’adresse électronique et le numéro de téléphone enregistrés dans votre profil, et supprimez toute adresse ou tout numéro que vous ne reconnaissez pas : le fraudeur y fait renvoyer les codes de vérification et les avis.
Vérifiez ensuite méthodiquement ce qui a été modifié, écran par écran, sans rien corriger dans un premier temps : état civil, adresse déclarée, situation de famille, coordonnées bancaires, déclarations des années en cours et des années antérieures, avis mis à disposition, messages échangés depuis la messagerie du compte. Chaque anomalie doit être capturée et conservée telle quelle, car elle servira deux fois, pour la réclamation fiscale et pour la plainte. Enregistrez les avis au format PDF, photographiez ou imprimez les écrans montrant le RIB inconnu, les déclarations modifiées et les messages que vous n’avez pas écrits, et relevez les dates et heures de connexion si l’historique du compte les affiche. Demandez parallèlement à votre banque la liste complète des prélèvements et des virements liés à l’impôt sur la période, en identifiant chaque opération que vous n’avez pas autorisée : ces relevés établissent le détournement financier et permettront de signaler à la banque les opérations frauduleuses. Si des prélèvements mensuels ou des acomptes continuent de partir vers l’administration sur la base de la situation falsifiée, signalez-le sans attendre à votre banque et, depuis votre espace restauré, à l’administration, afin que les échéances suivantes ne s’exécutent plus sur des bases faussées.
Signalez l’incident sur les plateformes prévues à cet effet, dès le premier jour, sans attendre d’avoir tout reconstitué. La plateforme publique Cybermalveillance.gouv.fr, qui consacre une fiche réflexe à l’usurpation d’identité et articule son dispositif d’assistance en ligne 17Cyber, permet de qualifier l’attaque et d’être orienté vers les bons interlocuteurs : ce signalement ne remplace ni la réclamation fiscale ni la plainte, mais il horodate votre réaction et vous donne une feuille de route adaptée au piratage de compte. Conservez chaque récépissé, chaque numéro de dossier et chaque accusé de réception : le juge et l’administration raisonnent sur pièces datées, et une victime qui démontre une réaction immédiate et ordonnée est toujours plus crédible qu’un dossier reconstitué des mois plus tard. À Paris et en Île-de-France, où les files d’attente des services d’accueil sont denses et où les rendez-vous se prennent en ligne plusieurs jours à l’avance, cette discipline de conservation des preuves prend une importance particulière : privilégiez les démarches écrites depuis la messagerie sécurisée de votre espace, qui laissent une trace, plutôt que les seuls échanges au guichet, et notez systématiquement le jour, l’heure et le nom du service contacté.
Le même réflexe de sécurisation vaut pour les comptes satellites qui partagent vos identifiants ou vos justificatifs : adresse électronique de récupération, compte bancaire en ligne, espace Ameli, compte bancaire professionnel si vous êtes indépendant. Le fraudeur qui a eu accès à votre avis d’imposition détient votre état civil complet, votre adresse et vos références fiscales, soit tout ce qu’il faut pour tenter d’ouvrir d’autres accès à votre nom. Changez les mots de passe de ces comptes, activez chaque fois que possible la vérification en deux étapes, et surveillez vos relevés pendant plusieurs semaines. Les victimes d’un piratage de compte public retrouvent souvent le même mode opératoire sur plusieurs espaces : notre article consacré au compte Ameli piraté avec des remboursements détournés vers un autre RIB décrit des enchaînements comparables, RIB substitué et prestations détournées, et les mêmes réflexes de récupération et de contestation. Si vous constatez qu’une adresse électronique de récupération a été modifiée sur plusieurs services à la fois, mentionnez-le dans votre plainte : cette concordance établit une entreprise concertée et oriente l’enquête vers une usurpation d’ensemble plutôt que vers une simple erreur isolée.
B. Faire corriger la déclaration, le RIB et l’avis frauduleux
Une fois le compte repris en main, il faut faire corriger la situation fiscale, en distinguant soigneusement deux opérations que les victimes confondent : la remise en ordre de l’impôt, qui se traite avec l’administration, et la réparation du préjudice, qui se joue devant le juge. Pour la remise en ordre, écrivez depuis la messagerie sécurisée de votre espace impots.gouv.fr, en exposant les faits de façon chronologique et factuelle : date de découverte, anomalies constatées, RIB inconnu, déclarations ou acomptes modifiés, sommes détournées. Demandez la communication de l’ensemble des déclarations déposées, des avis émis et des opérations effectuées depuis la prise de contrôle du compte par le tiers, ainsi que la remise en état de vos véritables éléments déclaratifs. Ce droit d’accès à vos propres données est prévu par le règlement général sur la protection des données, dont le chapitre des droits de la personne concernée ouvre à chacun l’accès à ses données traitées et aux informations qui les accompagnent. L’administration fiscale, responsable du traitement de vos données déclaratives, ne peut pas vous opposer un refus de principe à la communication de votre propre dossier fiscal : si une pièce manque, réitérez la demande par écrit et conservez la réponse.
Demandez ensuite la rectification de chaque donnée inexacte, en joignant vos justificatifs : pièce d’identité, justificatifs de domicile, bulletins de salaire ou attestations de l’employeur, relevés bancaires montrant votre véritable RIB. Le même règlement donne à cette demande un fondement explicite : son article sur le droit de rectification ouvre à chacun l’obtention, dans les meilleurs délais, de la correction des données inexactes le concernant. Concrètement, cela signifie trois remises en ordre à exiger ensemble et non l’une sans l’autre : la déclaration elle-même, avec le rétablissement de vos revenus, charges et situation de famille réels ; les coordonnées bancaires, avec la suppression du RIB frauduleux et le rétablissement du vôtre ; et les conséquences financières, avec le remboursement des sommes indûment prélevées ou détournées et l’annulation des majorations assises sur une situation que vous n’avez pas déclarée. Déposez une déclaration rectificative pour l’année concernée dès que l’accès vous est rendu, et indiquez expressément dans votre message que les éléments précédemment transmis émanent d’un tiers non autorisé : cette mention évite que votre rectification soit lue comme un simple changement d’avis, et elle fait le lien avec la plainte pénale que vous déposez parallèlement.
Joignez à chaque envoi la copie du récépissé de votre plainte ou, à défaut, son numéro d’enregistrement, ainsi que l’inventaire des pièces qui établissent la fraude : captures du RIB inconnu, avis incohérents, relevés bancaires, messages d’hameçonnage conservés. L’administration traite chaque année des milliers de réclamations, et un dossier qui arrive avec une plainte, des dates et des pièces se distingue immédiatement d’une contestation vague. Vérifiez après chaque réponse de l’administration que la correction demandée a bien été exécutée sur l’ensemble des documents : déclaration, avis rectifié, échéancier de prélèvement, RIB actif. Il n’est pas rare qu’une correction partielle laisse subsister un résidu, par exemple un acompte calculé sur les faux revenus ou un RIB qui réapparaît à l’échéance suivante, et ce résidu peut à son tour générer des relances puis des majorations. Contrôlez donc chaque nouvel avis et chaque prélèvement pendant au moins un cycle complet d’imposition, et écrivez à nouveau au moindre écart : la persistance écrite de vos demandes constitue, en cas de contentieux ultérieur, la preuve que vous n’avez jamais acquiescé à la situation frauduleuse.
En Île-de-France, organisez le suivi avec méthode : prenez rendez-vous auprès du service des impôts des particuliers dont vous dépendez pour faire constater la fraude sur présentation de vos pièces, et doublez systématiquement chaque entretien d’un message écrit récapitulatif déposé dans la messagerie sécurisée. Les services parisiens et franciliens traitent un volume considérable de dossiers, et un dossier qui se perd se retrouve en fin de file : numérotez vos envois, rappelez dans chacun la référence du précédent, et demandez à chaque étape le nom du service et l’état d’avancement. Si vous êtes prélevé mensuellement, vérifiez que le contrat de mensualisation porte toujours sur vos véritables montants et que les acomptes contemporains tiennent compte de votre situation réelle ; en cas de prélèvement à la source, contrôlez le taux transmis à votre employeur ou à votre caisse, car un taux calculé sur des revenus fictifs gonflés peut durablement amputer votre salaire net. Chaque correction obtenue doit être confirmée par un document : un avis rectifié, un échéancier actualisé, un accusé de remboursement. Tant qu’un point reste oral, il reste fragile.
II. Faire sanctionner l’usurpation et obtenir réparation
A. La réponse pénale : des qualifications cumulées et une plainte à déposer sans attendre
Le piratage d’un compte impots.gouv.fr avec modification de la déclaration et substitution du RIB ne constitue pas un litige administratif comme un autre : il réunit, dans un seul enchaînement, plusieurs infractions pénales que la plainte doit viser avec précision pour orienter l’enquête. La première est l’usurpation d’identité, définie par le code pénal en ces termes : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le texte ajoute que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne, ce qui couvre exactement l’usage frauduleux d’un espace personnel sur internet. Se connecter à votre espace fiscal avec vos identifiants, s’y présenter comme vous et y agir en votre nom caractérise cette usurpation, dès lors que les données utilisées permettent de vous identifier et que leur usage trouble votre situation, ce qui est manifeste quand il en résulte un avis falsifié et de l’argent détourné.
La deuxième qualification est l’escroquerie, chaque fois que le fraudeur a trompé l’administration ou un tiers pour obtenir des fonds, et notamment le remboursement d’impôt versé sur son propre compte. Le code pénal décrit le mécanisme visé : « soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses », et il sanctionne l’escroquerie ainsi définie : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Se faire passer pour le contribuable auprès de l’administration pour obtenir un versement sur un faux RIB entre dans ce schéma, de même que l’utilisation de vos références fiscales pour tromper votre banque ou un organisme. La troisième qualification est le faux et l’usage de faux, dès lors que la déclaration modifiée ou les documents produits à l’appui constituent une altération de la vérité destinée à établir un droit ou un fait juridique. Le code pénal pose le principe : « Constitue un faux toute altération frauduleuse de la vérité, de nature à causer un préjudice et accomplie par quelque moyen que ce soit, dans un écrit ou tout autre support d’expression de la pensée qui a pour objet ou qui peut avoir pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques. » Une déclaration de revenus falsifiée, qui détermine l’impôt dû et les droits sociaux calculés sur le revenu fiscal de référence, répond à cette définition. S’y ajoute, sur le terrain des données, la collecte frauduleuse : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » L’hameçonnage qui a permis de capter vos identifiants entre dans ce champ, et il doit figurer dans la plainte au même titre que l’usage qui en a été fait.
Déposez plainte sans attendre la fin des démarches fiscales, car l’enquête pénale et la régularisation administrative avancent en parallèle et se renforcent mutuellement. Le site officiel Service-Public décrit trois voies équivalentes : le dépôt sur place, en gendarmerie ou au commissariat de votre choix avec vos justificatifs, le dépôt en ligne pour les atteintes aux biens dont l’auteur est inconnu, et l’envoi d’un courrier au procureur de la République exposant les faits avec les pièces jointes. Pour un piratage de compte fiscal dont l’auteur est inconnu, le dépôt en ligne ou le commissariat sont les voies les plus directes ; si vous connaissez l’auteur ou le soupçonnez, le courrier au procureur ou le dépôt sur place avec constitution ultérieure de partie civile structure mieux le dossier. Dans tous les cas, apportez un dossier ordonné : chronologie des faits, identifiants du compte, captures du RIB frauduleux et des déclarations modifiées, avis incohérents, relevés bancaires avec les opérations contestées surlignées, messages d’hameçonnage avec leurs en-têtes, récépissés de signalement, échanges avec l’administration. Décrivez avec précision ce que le fraudeur a fait dans le compte, opération par opération, plutôt que de vous limiter à une formule générale : l’enquêteur doit pouvoir demander à l’administration les journaux de connexion et les traces de chaque modification, et votre inventaire lui donne la liste des vérifications à effectuer. Conservez le récépissé de dépôt et demandez la copie du procès-verbal : ce sont ces documents que vous transmettrez à l’administration fiscale et à la CNIL pour appuyer vos autres démarches.
À Paris et en Île-de-France, déposez plainte dans le commissariat ou la gendarmerie de votre choix, sans vous laisser renvoyer vers un autre guichet au motif du lieu des faits : un piratage en ligne peut être signalé depuis votre domicile, et les services franciliens ont l’habitude de ces dépôts. Prévoyez un dossier papier en double exemplaire en plus de vos fichiers numériques, car la prise de plainte est plus rapide quand l’agent peut viser des pièces classées dans l’ordre chronologique. Si le préjudice financier est important ou si les faits s’inscrivent dans une série, par exemple le même RIB frauduleux utilisé pour plusieurs victimes ou le même courriel d’hameçonnage massif, demandez que ces éléments soient consignés au procès-verbal : ils permettent un rapprochement avec d’autres plaintes et augmentent les chances d’identification de l’auteur. Enfin, ne négligez pas le volet bancaire de la plainte : l’usage de votre identité auprès de votre banque et le transit des fonds détournés par des comptes identifiables fournissent à l’enquête des traces que le seul piratage informatique ne donne pas toujours.
B. La réparation civile et la protection de vos données : juge, CNIL et indemnisation
La correction fiscale ne répare rien par elle-même : l’impôt rétabli, il reste les sommes temporairement perdues, les majorations subies avant régularisation, les démarches accomplies, l’atteinte à votre identité fiscale et le trouble subi pendant des mois. Ce préjudice relève de la responsabilité civile de l’auteur, sur le fondement de l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Les juridictions appliquent ce texte avec constance aux affaires d’usurpation d’identité et de fausse déclaration fiscale, en condamnant l’auteur à indemniser la totalité du dommage démontré. Dans une affaire où une femme avait utilisé l’identité d’un tiers, imité sa signature et souscrit un bail à son nom, provoquant des condamnations judiciaires puis une saisie-attribution de plus de vingt-deux mille euros sur ses comptes, le tribunal judiciaire de Pontoise a retenu que l’usage de l’identité et l’imitation de la signature suffisaient à démontrer la faute civile et le préjudice, avant de condamner l’auteure à payer la somme de 22 546,56 euros au titre du préjudice financier, outre 1 200 euros au titre des frais de procès (TJ Pontoise, 15 janvier 2026, n° 25/04081). La leçon vaut pour le compte fiscal piraté : chaque euro détourné, chaque majoration payée, chaque heure de démarche établit un poste de préjudice dès lors que la faute d’usurpation est prouvée par vos pièces.
La jurisprudence indemnise avec la même logique le préjudice causé par une fausse déclaration auprès des services fiscaux. Dans une affaire où un homme avait effectué une déclaration inexacte et mensongère d’adresse auprès des services fiscaux, se disant domicilié chez son ancienne compagne, la cour d’appel de Rouen a jugé que cette déclaration mensongère aux services fiscaux constituait une faute à l’origine du préjudice financier de la victime, condamnée à rembourser un indu, et engageait la responsabilité délictuelle de son auteur (CA Rouen, 5 février 2025, n° 24/00127). La cour a condamné l’auteur à payer à la victime la somme de 5 949,87 euros, correspondant à l’indu qu’elle avait dû rembourser, en écartant seulement les sommes dont le lien avec la fausse déclaration n’était pas démontré. Transposée à votre dossier, la méthode est la suivante : chiffrez poste par poste, avec une pièce pour chaque euro réclamé. Premier poste, les sommes détournées ou indûment prélevées : remboursements versés sur le faux RIB, prélèvements assis sur la fausse déclaration, majorations et intérêts payés avant régularisation. Deuxième poste, les frais exposés : recommandés, déplacements, impressions, assistance pour reconstituer le dossier. Troisième poste, le préjudice moral et le trouble de jouissance de vos droits : mois passés avec un avis falsifié, relances reçues, crainte d’un redressement, temps consacré aux démarches. Présentez ces postes dans un tableau daté, pièce par pièce : le juge indemnise ce qui est prouvé, et écarte ce qui est allégué sans preuve, comme le montre l’arrêt de Rouen qui a limité la condamnation aux sommes effectivement réglées et démontrées.
Le troisième levier est celui des données personnelles, car le piratage de votre espace fiscal est aussi une violation de vos droits sur vos données. Outre l’accès et la rectification déjà exercés auprès de l’administration, vous pouvez exiger l’effacement des traces que le fraudeur a laissées : le règlement européen ouvre le droit d’obtenir dans les meilleurs délais l’effacement de vos données lorsque l’un des motifs prévus s’applique, notamment en cas de traitement illicite. Demandez ainsi la suppression des coordonnées bancaires frauduleuses, des adresses et numéros ajoutés par le tiers, et de tout document déposé par lui, tout en conservant pour vous-même les copies nécessaires à la plainte et au procès. Si l’organisme concerné ne répond pas ou refuse sans motif valable, la voie de la réclamation s’ouvre devant la CNIL : le règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment celle de son lieu de résidence, lorsqu’elle estime que le traitement de ses données viole le texte. La plainte se dépose auprès de la CNIL, dont la page dédiée décrit la démarche d’envoi d’une plainte en ligne, après avoir préalablement exercé vos droits auprès de l’organisme : joignez vos demandes restées sans réponse, le récépissé de plainte pénale et l’inventaire des manquements constatés. La CNIL peut alors instruire, mettre en demeure et sanctionner, et sa décision nourrit votre demande indemnitaire.
L’indemnisation du préjudice subi du fait de la violation de vos données dispose d’un fondement propre, cumulable avec la responsabilité civile de droit commun. Le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant, ainsi qu’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés du fait d’un traitement non conforme. Concrètement, vous pouvez demander au juge la réparation du dommage matériel et moral résultant de l’atteinte à vos données fiscales : détournement d’informations d’une sensibilité particulière, exposition de votre situation financière, perte de maîtrise de votre identité administrative. Chiffrez ce préjudice de façon autonome, en le distinguant du préjudice fiscal pur : relevés montrant l’usage de vos données, attestations de vos démarches, certificats décrivant le retentissement personnel. Pour les victimes domiciliées à Paris et en Île-de-France, ce volet se plaide devant le tribunal judiciaire de Paris pour la réparation civile, tandis que la réclamation CNIL se fait en ligne quel que soit le domicile : constituez un dossier unique, avec un intercalaire pénal, un intercalaire fiscal et un intercalaire données personnelles, et utilisez les mêmes pièces numérotées dans les trois procédures, en veillant à ce que les montants réclamés devant le juge correspondent exactement aux justificatifs du dossier fiscal.
Conclusion
Un compte impots.gouv.fr piraté ne se résume ni à un incident technique ni à une erreur d’avis : c’est une usurpation d’identité commise en ligne, une déclaration falsifiée qui produit des effets fiscaux, et une violation de vos données les plus sensibles. La sortie de crise tient à l’ordre des opérations : couper l’accès du fraudeur et figer les preuves avant de corriger, faire rectifier la déclaration, le RIB et l’avis par écrit avec des pièces, déposer une plainte qui vise chaque qualification au lieu d’une formule vague, puis chiffrer poste par poste le préjudice fiscal, les frais et l’atteinte aux données pour en demander réparation au juge et à la CNIL. Les décisions rendues dans des affaires voisines montrent que les tribunaux indemnisent intégralement le dommage démontré, mais seulement lui : chaque euro réclamé doit s’appuyer sur une pièce. Constituez dès aujourd’hui ce dossier en trois volets, pénal, fiscal et données personnelles, contrôlez chaque nouvel avis et chaque prélèvement pendant un cycle complet, et ne laissez subsister aucune donnée du fraudeur dans vos espaces.