Piratage du fisc français : les MRE peuvent-ils être concernés ?
Le 13 août 2026, la DGFiP a reconnu une intrusion survenue fin juin et l'extraction de données de particuliers et de professionnels. Un pirate revendique 678 438 lignes, chiffre non confirmé. Ce qui compte pour un MRE n'est pas le pays de résidence, mais le lien avec l'administration fiscale française.
En résumé
Le 13 août 2026, le ministère français de l'Économie a reconnu qu'un accès illégitime au système d'information de la Direction générale des Finances publiques avait eu lieu fin juin 2026, après une usurpation d'identité. Cet accès a permis, selon le communiqué officiel, « la consultation et l'extraction de données concernant des particuliers et des professionnels ».
La veille, le 12 août, un pirate se présentant sous le pseudonyme ZeroBytes avait revendiqué 678 438 lignes sur un forum spécialisé. La DGFiP n'a confirmé ni ce chiffre, ni la liste exacte des données réellement sorties. Ses investigations se poursuivent avec l'ANSSI.
Pour un Marocain résidant à l'étranger, la bonne question n'est ni la nationalité ni le pays de résidence. C'est celle du lien avec l'administration fiscale française. Un appartement à Lyon, des revenus fonciers déclarés en France, un ancien dossier de résident : cela suffit à figurer dans les fichiers de la DGFiP.
Ce qui est confirmé, et ce qui ne l'est pas
C'est la distinction la plus importante de cette affaire, et celle que beaucoup de titres écrasent.
| Élément | Statut au 14 août 2026 |
|---|---|
| Un accès illégitime a eu lieu fin juin 2026 | Confirmé par le ministère de l'Économie |
| L'accès résulte d'une usurpation d'identité | Confirmé |
| Des données ont été consultées et extraites | Confirmé |
| Elles concernent des particuliers et des professionnels | Confirmé |
| L'accès a été interrompu fin juin | Confirmé |
| 678 438 lignes de données | Revendiqué par le pirate, non confirmé |
| Le détail des champs présents dans la base | Revendiqué, non confirmé |
| Le nombre définitif de personnes touchées | En cours d'établissement |
Le ministère indique que « des investigations approfondies se poursuivent afin de déterminer précisément les données et le nombre d'usagers concernés ».
Autrement dit : l'intrusion et l'extraction ne sont plus une hypothèse, elles sont reconnues. L'ampleur, elle, reste à établir.
Ce que contiendrait la base revendiquée
Le fichier mis en circulation le 12 août a été analysé par la plateforme FrenchBreaches. Selon cette analyse, chaque ligne comporterait notamment :
- •le nom de naissance, le nom d'usage et les prénoms
- •la date et le lieu de naissance
- •l'adresse d'imposition et l'adresse d'envoi
- •la situation familiale
- •un identifiant associé au conjoint
- •le nombre de personnes à charge et le nombre de parts fiscales
- •le revenu fiscal de référence
- •le taux de prélèvement à la source
- •le numéro de téléphone et l'adresse e-mail
- •l'historique des demandes adressées à l'administration fiscale
Aucun mot de passe ne figure dans les champs relevés.
Rappel utile : cette liste vient du pirate, pas de l'administration. Elle décrit ce qu'il prétend détenir. Mais elle explique pourquoi cette fuite inquiète les spécialistes plus qu'une simple fuite d'adresses e-mail. Un fraudeur qui connaît votre situation familiale, votre nombre de parts et l'historique de vos échanges avec le fisc n'a plus besoin d'être convaincant : il lui suffit d'être précis.
Un MRE vivant au Maroc peut-il être concerné ?
Potentiellement oui, et c'est le point que la plupart des articles français ne traitent pas.
Être résident fiscal marocain ne place pas automatiquement hors du périmètre de la DGFiP. Un dossier peut rester actif côté français dans plusieurs situations courantes chez les MRE :
- •vous possédez un logement en France, occupé, loué ou vide
- •vous percevez des revenus fonciers de source française
- •vous avez été résident fiscal français par le passé
- •vous exercez une activité ou détenez une société en France
- •vous avez une succession en cours sur un bien situé en France
- •vous avez déposé une réclamation ou une demande auprès du fisc français
- •vous avez conservé un espace particulier sur le portail des impôts
Dans ces cas, la phrase « je vis au Maroc, donc je ne suis pas concerné » ne tient pas.
L'inverse n'est pas vrai non plus. Rien ne permet aujourd'hui d'affirmer que tous les MRE ayant un lien avec la France figurent dans les données sorties. La DGFiP indique que les usagers concernés « recevront une information individuelle précisant les données susceptibles d'avoir été consultées ou extraites ». C'est cette notification qui fera foi.
Ce n'est pas le premier incident de l'année
Il faut le savoir pour répondre honnêtement à la question du compte bancaire, et il faut éviter de confondre les deux affaires.
Le 18 février 2026, le même ministère avait déjà publié un communiqué sur des accès illégitimes au FICOBA, le fichier national des comptes bancaires. Un individu avait usurpé les identifiants d'un fonctionnaire disposant d'accès dans le cadre de l'échange d'information entre ministères, à partir de fin janvier 2026.
| FICOBA, février 2026 | DGFiP, août 2026 | |
|---|---|---|
| Comptes ou lignes | Environ 1,2 million de comptes bancaires | 678 438 lignes revendiquées, non confirmées |
| Données citées | Coordonnées bancaires RIB et IBAN, identité du titulaire, adresse | Données de particuliers et de professionnels, détail non publié |
| Identifiant fiscal | Non consulté, selon le communiqué | Revendiqué par le pirate |
| Statut | Confirmé et chiffré officiellement | Confirmé dans son principe, ampleur en cours |
Deux affaires distinctes, deux communiqués distincts. Les mélanger fabrique des rumeurs.
Ce que cela change concrètement pour un MRE qui a gardé un compte en France : sur FICOBA, des coordonnées bancaires ont bien été exposées en février. Cela ne signifie pas qu'un compte peut être vidé avec un IBAN seul, mais cela justifie de surveiller ses opérations plutôt que de considérer le sujet comme théorique.
Le vrai risque n'est pas celui qu'on imagine
La première réaction, en apprenant une fuite fiscale, est souvent de penser au compte bancaire. Ce n'est pourtant pas le scénario le plus probable.
Le risque immédiat, c'est le message frauduleux calibré. Pas le spam grossier truffé de fautes, mais un message qui reprend votre vrai nom, votre vraie adresse, votre situation familiale et une référence à une démarche que vous avez réellement effectuée.
La chaîne ressemble à ceci : les données servent à construire un profil, le profil sert à écrire un message crédible, le message conduit vers un faux site, le faux site récupère un mot de passe ou un code de validation, et le compte réel bascule.
La CNIL rappelle qu'une fuite de données facilite précisément l'hameçonnage et l'usurpation d'identité, et recommande de ne pas cliquer sur les liens contenus dans des messages dont la provenance n'est pas certaine.
Un point mérite d'être posé clairement, parce qu'il sauve des gens : le fait qu'un interlocuteur connaisse vos informations personnelles ne prouve rien. Ni votre numéro fiscal, ni votre adresse, ni le montant de votre dernier avis. Après une fuite, ces éléments circulent. Ils ne sont plus une preuve d'identité, ils sont devenus un argument de vente pour l'escroc.
Ce que la DGFiP dit ne jamais demander
C'est écrit noir sur blanc sur impots.gouv.fr, et cela vaut mieux que n'importe quelle liste de bons conseils :
« Le numéro de carte bancaire ne vous est jamais demandé pour le paiement d'un impôt ou le remboursement d'un crédit d'impôt. »
L'administration recommande également de « ne jamais communiquer par courrier électronique ou par téléphone de données personnelles et surtout pas votre numéro de carte bancaire », et de « ne pas cliquer sur les liens à l'intérieur du message », qui peuvent rediriger vers un faux site.
Concrètement, ne transmettez jamais, par mail, par SMS ou au téléphone : un mot de passe, un code reçu par SMS, un code de validation bancaire, vos identifiants du portail des impôts, votre numéro de carte, ou une copie de pièce d'identité à un interlocuteur que vous n'avez pas vérifié.
Vos interlocuteurs réels quand vous êtes non-résident
C'est l'information la plus utile de cet article, et la plus simple à vérifier. Un MRE qui sait quel service gère réellement son dossier repère immédiatement un faux message qui prétend venir d'ailleurs.
| Votre situation | Service compétent | Coordonnées |
|---|---|---|
| Impôt sur le revenu en tant que non-résident | Service des impôts des particuliers non-résidents (SIPNR) | 10 rue du Centre, TSA 10010, 93465 Noisy-le-Grand Cedex. Téléphone (+33)1 72 95 20 42, de 9h à 16h |
| Taxe foncière, taxe d'habitation | Service des impôts des particuliers du lieu où se trouve le bien, pas le SIPNR | Coordonnées figurant sur votre avis d'imposition |
Cette dernière ligne mérite attention. La direction des impôts des non-résidents ne traite pas les impôts locaux. Un message qui se présente comme émanant du SIPNR au sujet de votre taxe foncière ne correspond donc pas au fonctionnement réel de l'administration.
En cas de doute sur un message, la démarche recommandée est toujours la même : ne pas utiliser le lien ni le numéro fournis dans le message, mais passer par le portail officiel que vous tapez vous-même, ou par les coordonnées figurant sur un avis d'imposition en votre possession.
Ce que recommande la CNIL
Les recommandations qui suivent sont celles de la Commission nationale de l'informatique et des libertés, et non les nôtres.
En cas de fuite ou de vol de données, la CNIL invite à ne pas cliquer sur les liens des messages suspects, à changer les mots de passe réutilisés sur plusieurs services et à activer l'authentification à deux facteurs lorsqu'elle est disponible.
En cas d'usurpation d'identité, elle recommande de conserver les preuves, de déposer plainte rapidement, de prévenir les organismes concernés dont les banques, et de suivre les démarches permettant de limiter les conséquences.
Un point souvent négligé mérite d'être souligné pour les MRE : l'adresse e-mail utilisée pour les démarches administratives est la clé de voûte. Qui contrôle cette boîte peut souvent réinitialiser les mots de passe des autres comptes. Il vaut donc la peine d'y vérifier les appareils connectés, les règles de transfert automatique et les moyens de récupération.
Où signaler un message frauduleux
Les canaux ci-dessous sont ceux indiqués par cybermalveillance.gouv.fr, le dispositif public français d'assistance aux victimes.
| Type de message | Où le signaler |
|---|---|
| SMS frauduleux | Le 33 700, gratuit |
| Courriel d'hameçonnage | Signal Spam, signal-spam.fr |
| Site frauduleux | Phishing Initiative, phishing-initiative.fr |
Si vous avez déjà communiqué des informations, cybermalveillance.gouv.fr recommande de contacter immédiatement votre banque pour faire opposition, de changer sans délai les mots de passe concernés et ceux réutilisés ailleurs, de vérifier vos comptes, et de conserver les preuves, notamment le message reçu.
Le dispositif France Victimes accompagne gratuitement les victimes au 116 006, sept jours sur sept de 9h à 19h.
Une mise en garde sur les faux vérificateurs
Depuis le 13 août, la médiatisation de l'affaire devient elle-même un outil d'arnaque. Des messages du type « vérifiez si vos données fiscales ont été piratées » circulent.
Ne saisissez jamais votre nom, votre numéro fiscal ou votre date de naissance sur un site qui promet de vous dire si vous figurez dans la base. Le seul canal annoncé par l'administration est l'information individuelle qu'elle enverra aux usagers concernés une fois ses investigations terminées.
Foire aux questions
Un MRE vivant au Maroc peut-il être concerné par la fuite de la DGFiP ?
Potentiellement oui. Le pays de résidence ne suffit pas à trancher. Ce qui compte est l'existence d'un dossier actif auprès de l'administration fiscale française : bien immobilier, revenus fonciers, ancienne résidence fiscale, activité professionnelle ou demande en cours. La DGFiP n'a pas encore identifié les personnes concernées.
La fuite concerne-t-elle bien 700 000 personnes ?
Pas officiellement. Le chiffre de 678 438 lignes vient du pirate, pas de l'administration. Le ministère indique que le nombre d'usagers concernés est encore en cours d'établissement. Une revendication de pirate n'est pas une donnée confirmée.
Mon revenu fiscal de référence a-t-il été volé ?
Il figure dans la liste des champs revendiqués par le pirate, mais la DGFiP n'a pas publié la liste définitive des données effectivement extraites. La prudence consiste à considérer l'information comme possiblement exposée sans l'affirmer.
Un pirate peut-il vider mon compte bancaire avec ces données ?
Les données décrites ne contiennent pas de mot de passe bancaire. Le risque principal est indirect : l'utilisation des informations pour vous convaincre de livrer vous-même un code ou un identifiant. À noter que c'est une autre affaire, celle du fichier FICOBA en février 2026, qui a exposé des coordonnées bancaires.
Comment saurai-je si je suis concerné ?
La DGFiP indique que les usagers concernés recevront une information individuelle précisant les données susceptibles d'avoir été consultées ou extraites. C'est cette notification qu'il faut attendre, et non un site tiers de vérification.
Dois-je changer mon mot de passe du portail des impôts ?
Aucun mot de passe ne figure dans les champs revendiqués. La CNIL recommande néanmoins, après toute fuite, de changer les mots de passe réutilisés sur plusieurs services et d'activer l'authentification à deux facteurs.
J'ai reçu un SMS des impôts, que faire ?
Ne pas cliquer sur le lien. La DGFiP rappelle que le numéro de carte bancaire n'est jamais demandé pour un paiement d'impôt ou un remboursement. Le SMS peut être signalé au 33 700.
Qui contacte-t-on quand on est non-résident ?
Le Service des impôts des particuliers non-résidents, au (+33)1 72 95 20 42 de 9h à 16h, ou par courrier à Noisy-le-Grand. Les impôts locaux comme la taxe foncière relèvent en revanche du service des impôts du lieu où se trouve le bien.
Ce qu'il faut retenir
Ni « tous les MRE sont touchés », ni « je vis au Maroc donc je ne risque rien ». Les deux formules sont fausses.
La lecture juste tient en une phrase : si vous avez un lien fiscal, immobilier ou professionnel avec la France, considérez que vos données peuvent circuler, traitez tout message fiscal non sollicité comme suspect quelle que soit sa précision, et attendez la notification officielle de la DGFiP pour savoir si votre dossier est concerné.
Cet article sera mis à jour à mesure que l'administration précisera l'étendue de la fuite.
Sources
- •Ministère de l'Économie, communiqué du 13 août 2026, accès illégitime au système d'information de la DGFiP : https://presse.economie.gouv.fr/?p=182374
- •Ministère de l'Économie, communiqué du 18 février 2026, accès illégitimes au fichier FICOBA : https://presse.economie.gouv.fr/?p=171314
- •impots.gouv.fr, courriels et SMS frauduleux : https://www.impots.gouv.fr/courriels-et-sms-frauduleux-hameconnage-ou-phishing
- •impots.gouv.fr, à qui s'adresser si je suis non-résident : https://www.impots.gouv.fr/particulier/questions/qui-sadresser-si-je-suis-non-resident
- •CNIL, que faire en cas de fuite ou vol de données : https://www.cnil.fr/fr/conseils-fuite-vol-donnees
- •CNIL, comment réagir face à une usurpation d'identité : https://www.cnil.fr/fr/comment-reagir-face-une-usurpation-didentite
- •CNIL, fuite de données et vol d'IBAN : https://www.cnil.fr/fr/fuite-de-donnees-sur-internet-et-vol-de-votre-iban-comment-vous-proteger-si-vous-etes-concerne
- •cybermalveillance.gouv.fr, hameçonnage : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing
Articles similaires
Guides pratiques associes
Vous êtes MRE ?
Rejoignez la plateforme et accédez aux professionnels vérifiés au Maroc. Gratuit.
Vous avez un projet au Maroc ?
Trouvez un expert vérifié par LesMRE pour vous accompagner dans vos démarches.
Trouver un expert →