Cyberattaque contre la DGFiP : ce que le vol de vos données fiscales et cadastrales change pour le bailleur

Le 14 août 2026, en plein cœur de l'été, la Direction générale des Finances publiques a publié un communiqué de quelques paragraphes. On pourrait penser qu'une fuite de données fiscales est une affaire de spécialistes de la sécurité informatique, sans conséquence pratique pour un propriétaire. Mais c'est faux : parmi les données extraites figurent les adresses et les surfaces de biens immobiliers. Autrement dit, pour 678 000 particuliers et professionnels, une personne extérieure sait aujourd'hui, éventuellement, quels biens vous possédez et ce que vous déclarez. Et l'avis de taxe foncière arrive le 27 août 2026.

Je suis avocat et investisseur immobilier, et ce sujet me concerne comme il vous concerne. Voici ce que dit exactement le communiqué, ce qu'il ne dit pas, et ce que je vous invite à vérifier systématiquement dans les semaines qui viennent.

Ce que la DGFiP a reconnu, et ce qu'elle a écarté

Le communiqué de presse n° 953 du 14 août 2026 fait état d'accès illégitimes au système d'information de la Direction générale des Finances publiques, survenus en juin et juillet 2026 et revendiqués par un acteur malveillant les 12 et 13 août 2026. Il évoque « un total de 678 000 particuliers et professionnels ».

Les données extraites y sont énumérées en trois catégories :

• des données fiscales : revenu fiscal de référence, quotient familial, taux de prélèvement à la source ;
• des données d'entreprise : raison sociale et numéro SIREN ;
• des données cadastrales : adresses et surfaces de biens immobiliers.

Le communiqué écarte expressément deux choses : « Les espaces Finances publiques des usagers particuliers et professionnels n'ont pas été compromis » et « Les identifiants et les mots de passe des particuliers et des professionnels n'ont pas été compromis ». La Direction générale des Finances publiques indique avoir saisi la Commission nationale de l'informatique et des libertés dès l'identification des vols, avoir mobilisé l'Agence nationale de la sécurité des systèmes d'information et le service du haut fonctionnaire de défense et de sécurité, et annonce qu'elle prendra directement contact avec chacune des personnes concernées, par courriel ou par courrier. Pas très rassurant tout ça...

Deux précisions qui ont leur importance. D'abord, la plainte est annoncée au futur dans le communiqué : au 14 août 2026, elle n'était pas déposée. Ensuite, l'auteur de la revendication a diffusé un échantillon dont des analystes tirent une liste de données plus large que celle du communiqué, incluant notamment le numéro fiscal et l'état civil complet. Ce périmètre n'est pas confirmé par l'administration à la date de publication de cet article : je le mentionne parce qu'il est repris ailleurs, pas parce qu'il est établi.

Attention : l'absence de compromission des mots de passe ne veut pas dire que le risque est faible. L'authentification à double facteur est déployée sur les espaces particuliers depuis le 25 juin 2025 (communiqué n° 671), ce qui rend la prise de contrôle d'un compte difficile. Le risque n'est donc pas l'intrusion dans votre espace fiscal : il est de recevoir un message dont l'auteur connaît votre situation, afin de vous escroquer.

Pourquoi un bailleur est plus exposé qu'un autre contribuable

C'est le point qui a besoin d'être bien compris par ceux qui détiennent plusieurs biens.

Un message d'hameçonnage échoue le plus souvent parce qu'il est générique. Ici, les catégories de données extraites permettent exactement l'inverse. Le revenu fiscal de référence et le quotient familial donnent votre niveau de revenu et votre composition familiale. Le taux de prélèvement à la source est un chiffre que vous seul et l'administration êtes censés connaître : le voir apparaître dans un courriel produit un effet de crédibilité considérable. Les données cadastrales indiquent l'adresse et la surface de vos biens. Et pour ceux qui détiennent en société, la raison sociale et le numéro SIREN permettent de viser la structure elle-même.

Un escroc qui dispose de cet ensemble peut écrire un message qui cite votre adresse, la surface de votre appartement locatif et le nom de votre société civile immobilière. Ce n'est plus un courriel douteux, c'est un courriel qui vous ressemble, hyper personnalisé.

Il faut prendre en compte le calendrier, et c'est ce qui me fait écrire cet article maintenant plutôt qu'en septembre :

• 27 août 2026 : mise en ligne de l'avis de taxe foncière pour les usagers non mensualisés ; 19 septembre 2026 pour les mensualisés. Les avis papier sont distribués du 24 août au 21 septembre 2026 pour les premiers.
• 15 septembre 2026 : date de paiement de l'impôt sur la fortune immobilière, avec adhésion possible au prélèvement à l'échéance jusqu'au 31 août 2026 et prélèvement le 25 septembre 2026.
• 15 octobre 2026 : date limite de paiement des taxes foncières, portée au 20 octobre 2026 pour un paiement par internet, smartphone ou tablette.

Autrement dit, dans les six prochaines semaines, vous attendez légitimement plusieurs messages de l'administration fiscale à propos de vos biens immobiliers. C'est précisément la période où un faux message a le plus de chances de passer.

À éviter : payer une taxe foncière ou un impôt sur la fortune immobilière depuis un lien reçu par courriel ou par message, même si le montant annoncé correspond à ce que vous attendiez.

Ce que l'administration ne fait jamais

La Direction générale des Finances publiques rappelle sur son site qu'elle ne demande jamais par courriel ni par téléphone vos coordonnées bancaires, vos données personnelles ou vos identifiants de connexion. Ses messages proviennent du seul domaine dgfip.finances.gouv.fr, et ses sites relèvent du domaine .gouv.fr, comme impots.gouv.fr. Face à un message suspect, la consigne officielle est de ne pas répondre, de ne cliquer sur aucun lien et de le supprimer.

Il y a ici un paradoxe qu'il faut avoir en tête : l'administration a annoncé qu'elle écrirait elle-même aux personnes concernées, par courriel ou par courrier. Vous attendez donc un courriel de la DGFiP vous annonçant que vos données ont été volées, ce qui est exactement le message que les escrocs vont imiter en premier.

Voici ce que je vous invite à vérifier systématiquement :

1. Ne cliquez sur aucun lien contenu dans un message relatif à vos impôts. Ouvrez vous-même impots.gouv.fr et connectez-vous à votre espace : si une information vous concerne, elle s'y trouve.
2. Vérifiez le domaine de l'expéditeur, et non le nom affiché, qui se falsifie sans difficulté.
3. Assurez-vous que votre numéro de téléphone et votre adresse électronique sont à jour dans votre profil fiscal, l'authentification à double facteur reposant dessus.
4. Changez votre mot de passe si vous l'utilisez ailleurs, et n'employez jamais le même sur votre banque, votre messagerie et votre espace fiscal.
5. Signalez ce que vous recevez : internet-signalement.gouv.fr pour les escroqueries, le numéro vert 0 805 805 817 de la DGFiP, le 33700 pour les messages frauduleux reçus par SMS, Signal Spam et Phishing Initiative pour les courriels et les sites. Le service 17cyber.gouv.fr assiste les victimes.
6. Prévenez les personnes qui gèrent vos biens avec vous, associé de société civile immobilière ou proche âgé compris. Le risque est toujours plus élevé pour celui qui n'a pas été prévenu.

En tout état de cause, quand votre avis de taxe foncière sera disponible le 27 août 2026, ouvrez-le depuis votre espace et lisez-le ligne par ligne : c'est le meilleur moyen de distinguer le vrai du faux, et l'occasion de vérifier ce qui vous est réclamé. J'ai consacré un article aux vérifications utiles sur cet avis et aux marges de contestation qui restent ouvertes au bailleur : Taxe foncière 2026 : votre avis arrive le 27 août, ce que le bailleur peut encore faire baisser. Le taux voté par votre commune étant un des deux paramètres du calcul, la carte de la réglementation ville par ville du Droit d'Investir permet d'obtenir ces renseignements désormais indispensables en tapant simplement le nom de votre commune.

Vos droits face à l'administration : ce que dit le RGPD

Le règlement général sur la protection des données (RGPD) s'applique à l'administration fiscale comme à une entreprise privée.

Son article 33 impose au responsable du traitement de notifier la violation à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Son article 34 ajoute que, « lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais ». La saisine de la Commission nationale de l'informatique et des libertés et l'information annoncée des personnes concernées correspondent à ces deux obligations.

Reste la question que se posent, sur les réseaux notamment, de nombreux contribuables : peut-on obtenir réparation ?

L'article 82 du règlement pose que « toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». La Cour de justice de l'Union européenne en a précisé les contours, et la réponse est plus nuancée qu'on ne le lit parfois :

• La seule violation du règlement ne suffit pas. Dans son arrêt du 4 mai 2023 (affaire C-300/21), la Cour juge que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ». Il faut une violation, un dommage et un lien entre les deux.
• Mais aucun seuil de gravité ne peut vous être opposé : la Cour l'a jugé le 14 décembre 2023 dans l'affaire C-456/22.
• Et surtout, dans son arrêt du 14 décembre 2023 (affaire C-340/21), la Cour juge que « la crainte d'un potentiel usage abusif de ses données à caractère personnel par des tiers qu'une personne concernée éprouve à la suite d'une violation de ce règlement est susceptible, à elle seule, de constituer un "dommage moral" ». Ce même arrêt retient que le responsable du traitement ne peut pas s'exonérer du seul fait que le dommage résulte de l'action d'un tiers : il lui appartient de prouver que le fait qui a provoqué le dommage ne lui est « nullement imputable ».
• La contrepartie est que ce dommage doit être effectivement démontré, et non présumé. La Cour l'a rappelé le 25 janvier 2024 (affaire C-687/21) puis le 19 mars 2026 (affaire C-526/24), cette dernière décision admettant que la perte de contrôle sur ses données ou l'incertitude quant à leur traitement puisse constituer ce dommage.

Concrètement, conservez les messages d'hameçonnage reçus, le courriel ou le courrier d'information de la DGFiP, la date de vos démarches, et toute conséquence chiffrable si elle survient (il faut toujours tout documenter). Vous pouvez également adresser une réclamation à la Commission nationale de l'informatique et des libertés, étant précisé que celle-ci demande d'exercer d'abord ses droits auprès de l'organisme et d'attendre sa réponse, sous un mois au maximum.

Un dernier élément, et il pèse selon moi plus lourd que le reste. Ce n'est pas le premier incident de cette nature dans le même système d'information : le communiqué n° 401 du 18 février 2026 avait déjà reconnu des accès illégitimes au fichier national des comptes bancaires, obtenus par usurpation des identifiants d'un fonctionnaire, portant sur environ 1,2 million de comptes, avec les coordonnées bancaires, l'identité du titulaire et son adresse. Deux incidents en six mois, sur le même mode opératoire, chez le responsable de traitement qui détient les données les plus sensibles de tous les contribuables. L'article 32 du règlement impose des mesures de sécurité appropriées : cette réitération me paraît difficilement compatible avec l'idée que rien n'était imputable à l'administration. C'est mon appréciation, et elle vaut ce que vaut une appréciation tant qu'aucune juridiction ne s'est prononcée.

Vos questions fréquentes

Comment savoir si je fais partie des 678 000 usagers concernés par la fuite de données de la DGFiP ?

La Direction générale des Finances publiques a annoncé le 14 août 2026 qu'elle prendrait directement contact avec chacune des personnes concernées, par courriel ou par courrier, à partir de la semaine du 17 août 2026. La Commission nationale de l'informatique et des libertés indique de son côté qu'elle ne peut pas confirmer votre présence dans un fichier volé et déconseille les sites tiers qui prétendent le vérifier.

J'ai reçu un courriel de la DGFiP m'annonçant le vol de mes données : comment vérifier qu'il est authentique ?

L'administration fiscale n'écrit qu'à partir du domaine dgfip.finances.gouv.fr et ne demande jamais par courriel vos coordonnées bancaires, vos identifiants ou votre mot de passe. Le réflexe est simple : ne cliquez sur aucun lien, ouvrez vous-même impots.gouv.fr dans votre navigateur et connectez-vous à votre espace. Un message suspect se signale sur internet-signalement.gouv.fr ou au numéro vert 0 805 805 817.

Puis-je demander une indemnisation à l'administration après cette fuite de données ?

L'article 82 du règlement général sur la protection des données ouvre un droit à réparation du dommage matériel ou moral. La Cour de justice de l'Union européenne juge que la seule violation du règlement ne suffit pas, mais que la crainte d'un usage abusif de ses données peut à elle seule constituer un dommage moral, à condition d'être démontrée. Conservez donc toute trace utile (voir plus haut). Concrètement, pas de préjudice chiffrable, pas d'indemnisation à espérer du « simple » fait du vol de vos données...

Dois-je changer mon mot de passe impots.gouv.fr alors que la DGFiP indique qu'il n'a pas été compromis ?

Le communiqué du 14 août 2026 précise que les identifiants et les mots de passe n'ont pas été compromis et que les espaces Finances publiques n'ont pas été touchés. Le changer reste une précaution sans inconvénient, surtout si vous employez le même mot de passe ailleurs. Vérifiez surtout que votre numéro de téléphone et votre adresse électronique sont à jour dans votre profil, l'authentification à double facteur reposant dessus.

Cette cyberattaque retarde-t-elle mon avis de taxe foncière ou l'échéance de paiement ?

Non. Le calendrier fiscal reste inchangé à la date de publication de cet article : avis en ligne le 27 août 2026 pour les non mensualisés et le 19 septembre 2026 pour les mensualisés, date limite de paiement le 15 octobre 2026, portée au 20 octobre 2026 pour un paiement en ligne. Un message qui vous annoncerait un report ou un nouveau délai est à considérer comme frauduleux.

En résumé

• La Direction générale des Finances publiques a reconnu le 14 août 2026 l'extraction de données concernant 678 000 particuliers et professionnels, dont les adresses et les surfaces de biens immobiliers, le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source et, pour les professionnels, la raison sociale et le numéro SIREN. Les espaces personnels, les identifiants et les mots de passe ne sont pas compromis.
• Le risque immédiat n'est pas l'intrusion dans votre compte, mais l'hameçonnage ciblé (risque élevé), à une période où vous attendez réellement des messages de l'administration : avis de taxe foncière le 27 août 2026, paiement de l'impôt sur la fortune immobilière le 15 septembre 2026, paiement de la taxe foncière le 15 octobre 2026. N'ouvrez jamais votre dossier fiscal autrement qu'en tapant vous-même impots.gouv.fr.
• Le règlement général sur la protection des données ouvre un droit à réparation, y compris pour la seule crainte d'un usage abusif, mais ce dommage doit être démontré : documentez tout dès maintenant.

Ces informations s'entendent au jour de la publication de cet article. L'actualité fiscale et réglementaire du bailleur évolue chaque semaine : restez à jour avec Le Droit d'Investir.