Une fuite qui ne vole pas votre argent, mais votre crédibilité

Des personnes malveillantes peuvent désormais s’appuyer sur des informations qui “sonnent juste”. Quand un inconnu connaît votre revenu fiscal de référence ou votre taux de prélèvement à la source, votre cerveau baisse la garde. Ce n’est pas le vol de données qui fait le plus mal, c’est l’usage qu’il autorise.

La cyberattaque expose des données de 678 000 particuliers et professionnels — notre point pratique pour vérifier si vous êtes concerné détaille ce que l’on sait à ce stade. Le risque principal n’est pas un prélèvement immédiat sur votre compte. Le vrai danger, c’est la fabrication d’un contexte crédible pour vous faire agir vite, sans réfléchir.

Ce que les pirates possèdent réellement (et ce qui manque à l’appel)

L’intrusion remonte à la fin juin et serait passée par l’usurpation d’identifiants liés à des accès habilités. Dans ce type d’affaire, un point compte plus que le reste : la granularité. Plus les informations sont précises, plus l’arnaque devient personnalisée.

Dans les données exposées, on retrouve des éléments d’identité et de contact : état civil, adresse, informations de naissance, identifiants fiscaux, situation familiale. S’y ajoutent des coordonnées comme numéros de téléphone et adresses e-mail, ainsi que des données fiscales (revenu fiscal de référence, taux de prélèvement à la source, personnes à charge).

Ce qui change tout : des informations patrimoniales peuvent apparaître, comme des données cadastrales sur des biens immobiliers et leurs surfaces. En revanche, vos accès à l’espace personnel ne sont pas l’objet de cette fuite : pas de mot de passe exposé, pas d’identifiant de connexion publié. Et aucune coordonnée bancaire n’est censée figurer dans le lot, ce qui limite le “vol direct” mais pas la manipulation.

Pourquoi l’arnaque devient soudain convaincante

Une escroquerie se repère souvent à ses maladresses. Ici, l’escroc peut vous appeler sur votre vrai numéro, vous nommer sans hésiter, citer un montant cohérent, mentionner votre foyer. Vous ne faites plus face à un inconnu : vous avez l’impression de parler à quelqu’un “qui sait”.

C’est précisément le piège : la précision sert de preuve d’autorité. Trois détails exacts suffisent à installer un climat d’urgence et de légitimité. Ensuite, tout va très vite : “il faut valider”, “il faut confirmer”, “sinon vous perdez votre remboursement”.

Camille R., 34 ans, à Montpellier, a reçu un appel d’un faux agent qui a cité son taux de prélèvement et le nombre de personnes à charge, puis a tenté de la faire “sécuriser” un virement de 1 800 €. Elle a raccroché au dernier moment, la gorge nouée, en comprenant que la mise en scène était construite pour la faire obéir.

« Il connaissait des détails que je n’avais jamais donnés à personne au téléphone, j’ai eu l’impression d’être suivie. »

Les scénarios les plus probables : fisc, banque, “sécurisation”

Le premier scénario mise sur la peur : un faux agent du fisc annonce un redressement, une anomalie, ou une vérification urgente. Le second mise sur le soulagement : un remboursement “en attente” que vous devez débloquer. Dans les deux cas, la demande finale ressemble à une formalité.

Le troisième scénario, très efficace, imite les codes de votre banque. Un faux conseiller vous explique qu’une opération suspecte est en cours et qu’il faut la “bloquer”. La réalité est brutale : quand vous validez dans l’application, vous autorisez l’opération.

Un dernier piège se répand après ce type d’actualité : les faux sites qui proposent de vérifier si vous êtes concerné. Il n’existe pas d’outil public fiable pour “tester” votre présence dans une fuite fiscale. Si un site vous demande vos informations pour confirmer, il cherche souvent à les récupérer.

Les réflexes qui stoppent net la manipulation

La règle la plus simple est celle qui sauve le plus souvent : ne prenez aucune décision dans le fil d’un appel entrant ou d’un message reçu. Même si l’interlocuteur est poli, pressant, ou étrangement informé. L’urgence est un décor.

Reprenez toujours la main sur le canal de contact. Un numéro affiché peut être falsifié, une adresse e-mail peut imiter une administration, un SMS peut ressembler à une notification officielle. Vous devez décider du moment et du moyen.

Retenez ceci : une validation n’est jamais une annulation. Si l’on vous demande de “confirmer pour sécuriser”, vous êtes probablement en train d’autoriser un paiement — ce signal typique d’un faux conseiller bancaire doit vous faire raccrocher. Et si l’on vous réclame des informations sensibles, c’est presque toujours un signal de danger.

Situation Réaction sûre à adopter
Appel d’un “agent du fisc” qui cite vos données et exige une action immédiate Raccrocher, puis recontacter l’administration via les canaux officiels et vos espaces habituels
“Conseiller bancaire” demandant de valider une opération pour la bloquer Refuser toute validation, rappeler vous-même votre banque via le numéro de votre carte ou relevé
Site ou formulaire promettant de vérifier si vous êtes dans la fuite Fermer la page, ne rien saisir, attendre une information officielle individualisée
E-mail très personnalisé réclamant IBAN, codes, ou mot de passe Ne rien transmettre, signaler comme phishing, changer vos mots de passe si vous avez cliqué
  • Raccrochez et rappelez vous-même via un numéro que vous trouvez sur un document officiel, pas dans le message reçu
  • Ne validez aucune opération pendant un appel, même présentée comme une “protection”
  • Ne transmettez jamais IBAN, codes de confirmation, identifiants ou mots de passe par téléphone ou e-mail
  • Conservez les preuves : SMS, e-mails, horaires d’appel, captures, pour faciliter un signalement

faq

Comment savoir si je fais partie des personnes touchées par la fuite ?
Il n’existe pas de test public fiable. Méfiez-vous des sites qui promettent une vérification. L’information, lorsqu’elle est transmise, passe par un contact individualisé via des canaux officiels.

Si mes données fiscales ont fuité, peut-on vider mon compte directement ?
Non, l’absence de coordonnées bancaires dans les données exposées limite le prélèvement direct. Le risque majeur vient des escroqueries qui vous poussent à donner vos informations ou à valider vous-même une opération.

Que faire si j’ai validé un paiement ou un virement après un appel suspect ?
Contactez immédiatement votre banque, signalez l’opération et demandez la marche à suivre. Conservez toutes les preuves et déposez un signalement. Selon le cas, les règles diffèrent entre opération non autorisée et virement effectué volontairement sous manipulation.

Sources

  1. CNIL.FR — Piratage du système d’information des impôts : les vérifications sont en cours | CNIL
  2. IMPOTS.GOUV.FR — Accès illégitimes au système d’information de la DGFiP | impots.gouv.fr