- Le 14 août 2026, la DGFiP a confirmé l’extraction de données concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN des entreprises, adresses et surfaces de biens immobiliers.
- Les identifiants et mots de passe n’ont pas été compromis, et les espaces personnels impots.gouv.fr non plus. Le risque n’est pas le vol de compte, c’est le démarchage sur mesure.
- Ces données disent qui a des revenus, une famille, un bien immobilier. C’est exactement le matériau d’un appel frauduleux crédible.
- Depuis le 11 août 2026, tout appel commercial vers un particulier sans accord préalable est interdit. Un appel non sollicité qui vous propose un placement est donc déjà hors la loi avant même d’être une arnaque.
- Quatre vérifications gratuites suffisent : ORIAS, REGAFI, listes noires de l’AMF, et rappel par un numéro que vous avez trouvé vous-même. Mon numéro ORIAS est le 26002242.
Sauriez-vous repérer un faux conseiller ?
1. Un inconnu vous appelle et vous propose un placement. Que dit la loi depuis le 11 août 2026 ?
2. Votre interlocuteur vous donne un numéro ORIAS et vous invite à le vérifier. Vous le trouvez sur le registre. Conclusion ?
3. Parmi ces données, laquelle n’a PAS fuité lors de l’incident DGFiP ?
4. Quel argument devrait vous faire raccrocher immédiatement ?
Sommaire
- Ce qui a fuité, et ce que cela vaut pour un escroc
- Comment j’ai construit cette méthode
- La règle qui a changé le 11 août 2026
- Vérifier un conseiller financier : les quatre étapes
- Un appel type, décortiqué
- Ce que la vérification ne dit pas
- Les signaux qui doivent faire raccrocher
- Pour aller plus loin
- Questions fréquentes
Ce qui a fuité, et ce que cela vaut pour un escroc
Le 14 août 2026, le ministère de l’Économie et des Finances a publié un communiqué détaillant les accès illégitimes au système d’information de la DGFiP. Les faits établis à cette date : deux intrusions, en juin et en juillet 2026, obtenues par usurpation des identifiants d’un agent puis d’un tiers habilité. Un total de 678 000 particuliers et professionnels concernés (chiffre communiqué le 14 août 2026, investigations toujours en cours).
Les données extraites sont précises : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et numéro SIREN pour les entreprises. S’y ajoutent des données cadastrales portant sur les adresses et les surfaces de biens immobiliers.
Deux points comptent autant que la liste elle-même. Les espaces personnels impots.gouv.fr n’ont pas été compromis. Les identifiants et les mots de passe non plus. La CNIL, saisie par le ministère, l’a confirmé dans sa communication du 18 août 2026 et indique qu’il n’est pas nécessaire de lui adresser une plainte individuelle.
Conclusion pratique : personne ne peut vider votre compte avec ces données. Mais quelqu’un peut désormais vous appeler en sachant que vous déclarez tel niveau de revenu, que vous avez deux parts et demie, et que vous possédez un bien de 68 mètres carrés à telle adresse. Ce n’est pas un fichier de mots de passe. C’est un fichier de ciblage patrimonial, et il vaut beaucoup plus cher pour qui veut vendre un faux placement.
Le risque immédiat est donc là, et pas ailleurs : un démarchage nettement plus crédible qu’avant, adressé en priorité à des gens qui ont quelque chose à placer.
Comment j’ai construit cette méthode
Je ne suis pas expert en cybersécurité, et je ne vais pas faire semblant de l’être. Ce que je connais, c’est le cadre réglementaire dans lequel j’exerce, parce que j’y suis moi-même soumis et contrôlable.
J’ai donc écarté d’emblée tout ce qui relève du conseil informatique et je me suis limité à une question que je maîtrise : comment un particulier vérifie, seul, en quelques minutes et gratuitement, qu’une personne qui lui propose un placement a le droit de le faire. Pour construire les quatre étapes qui suivent, je n’ai utilisé que des sources publiques officielles : les pages de vérification de l’AMF, les registres ORIAS et REGAFI, le communiqué de la DGFiP et la communication de la CNIL. Aucune source commerciale, aucun comparateur.
Je me suis imposé une contrainte supplémentaire, et je la trouve saine : ne publier aucun critère que je ne passerais pas moi-même. Mon numéro d’immatriculation figure en bas de cet article. Il est vérifiable en trente secondes, par n’importe qui, sans me demander mon accord. Si un professionnel de mon secteur, moi compris, réagit mal quand vous lui dites que vous allez vérifier son inscription, c’est déjà une réponse.
Dernier point de méthode : je donne des règles vérifiables, pas des impressions. « Un escroc a un discours trop commercial » n’est pas un critère utilisable. « Cette personne n’apparaît pas au registre » en est un.
La règle qui a changé le 11 août 2026
Trois jours avant l’annonce de la fuite, une règle est entrée en vigueur qui simplifie énormément votre travail de filtrage.
Depuis le 11 août 2026, en application de l’article 13 de la loi du 30 juin 2025 contre toutes les fraudes aux aides publiques, le démarchage téléphonique est interdit par principe, pour les entreprises de tous les secteurs. Le service Bloctel a disparu à cette date. La logique s’est inversée : ce n’est plus à vous de vous inscrire quelque part pour ne pas être appelé, c’est au professionnel d’avoir obtenu votre accord avant d’appeler.
Deux exceptions seulement. L’appel porte sur un contrat que vous avez déjà conclu. Ou vous avez donné votre accord préalable à être sollicité, un accord qui doit être libre, éclairé et exprimé par un acte positif clair (règle en vigueur depuis le 11 août 2026).
La règle pratique qui en découle. Si vous n’avez jamais eu de relation avec cette structure et que vous ne lui avez jamais donné votre accord, l’appel qui vous propose un placement est illégal avant même qu’on examine le placement. Vous n’avez pas à évaluer l’offre. Vous n’avez pas à être poli. Vous raccrochez, et vous n’avez rien à vous reprocher.
Cette règle ne couvre pas tout. Le courriel, le SMS et les messages sur les réseaux sociaux relèvent d’autres textes. Mais sur le canal téléphonique, qui reste le vecteur privilégié des arnaques aux placements, elle vous donne un critère binaire, immédiat, qui ne demande aucune expertise financière.
Vérifier un conseiller financier : les quatre étapes
Toute personne qui vous propose un placement financier en France doit être autorisée à le faire. Cette autorisation est publique et consultable gratuitement. Voici l’ordre dans lequel je procéderais.
Étape 1 : le registre ORIAS
Le registre unique tenu par l’ORIAS recense les intermédiaires habilités à exercer en France, en assurance, en opérations de banque et en conseil en investissement. Il s’agit d’une personne physique ou d’une société. Vous entrez le nom, vous lancez la recherche, et vous vérifiez que la mention « INSCRIT » apparaît bien. Vous pouvez aussi filtrer par ville, ce qui est utile pour lever une ambiguïté sur un homonyme.
Un professionnel soumis à cette obligation doit vous remettre spontanément un document mentionnant son statut et son numéro d’immatriculation. S’il ne le fait pas, demandez-le. Un refus, ou une réponse évasive, met fin à la discussion.
Étape 2 : le registre REGAFI
Le registre des agents financiers, tenu par la Banque de France, recense les entreprises autorisées à exercer une activité bancaire, financière ou de services de paiement. Un point technique décisif : cherchez la raison sociale, pas le nom commercial du site. La raison sociale se trouve dans les mentions légales ou la page contact. Beaucoup de vérifications échouent parce que la personne cherche une marque au lieu d’une société.
Étape 3 : les listes noires de l’AMF
L’AMF publie des listes noires d’acteurs non autorisés, mises à jour régulièrement et réparties par catégorie : crypto-actifs, forex et options binaires, biens divers, usurpations d’acteurs régulés. Le volume donne la mesure du phénomène : plus de 1 300 nouveaux noms de sites ou d’acteurs non autorisés ont été ajoutés aux listes de l’AMF et de l’ACPR sur la seule année 2025 (rapport annuel du Pôle commun AMF-ACPR, publié en juin 2026).
L’AMF le dit elle-même, et c’est important : ces listes ne peuvent pas être exhaustives, de nouveaux acteurs apparaissant en permanence. Une absence de la liste noire n’est pas un feu vert. C’est seulement l’absence d’un feu rouge.
Étape 4 : le rappel indépendant
C’est l’étape que presque personne ne fait, et c’est celle qui bloque le schéma de fraude le plus courant. L’AMF alerte explicitement sur ce point : des escrocs se font passer pour des acteurs autorisés, en reprenant le nom d’une société réellement inscrite, ou un nom qui n’en diffère que d’une lettre ou d’un caractère dans l’adresse du site. Et ils insistent pour que vous fassiez la vérification, parce qu’elle joue en leur faveur.
La parade est simple. Vous ne rappelez jamais le numéro qu’on vous a donné, ni celui qui figure dans le courriel reçu. Vous cherchez vous-même les coordonnées de la société, et vous demandez si la personne qui vous a contacté y travaille bien.
Vérifiez-moi avant de me parler.
Mon numéro ORIAS est le 26002242. Passez-le au registre maintenant, avant même de m’écrire. Si vous préférez commencer par un chiffrage sans transmettre la moindre donnée personnelle, mon simulateur d’épargne ne demande ni numéro fiscal, ni RIB, ni pièce d’identité.
Un appel type, décortiqué
Voici la forme que prend aujourd’hui un démarchage exploitant des données fiscales. Le scénario est reconstitué à partir des schémas décrits par l’AMF et l’ACPR, il ne correspond à aucun appel réel identifié.
| Ce qu’on vous dit | Pourquoi ça marche | Ce que vous faites |
|---|---|---|
| « Vous déclarez environ 62 000 euros de revenu fiscal de référence et vous possédez un bien locatif à Castanet. » | L’information est exacte, donc l’interlocuteur paraît légitime. C’est précisément l’effet recherché par l’exploitation d’un fichier volé. | Vous notez que l’exactitude n’est pas une preuve d’habilitation. Depuis août 2026, ces informations circulent. |
| « Nous proposons une solution immobilière qui sert 9 % net, sans risque de perte en capital. » | Le taux est calibré juste au-dessus du marché réel, assez pour attirer, pas assez pour paraître absurde. | Rendement élevé et absence de risque ne coexistent pas. Signal d’alerte listé par l’AMF. |
| « La collecte ferme vendredi, il reste deux places. » | L’urgence empêche la vérification. C’est sa seule fonction. | Aucune décision patrimoniale sérieuse ne se prend en 48 heures. L’urgence est en soi le motif de refus. |
| « Vérifiez-nous, nous sommes au registre, voici notre numéro. » | La vérification à moitié faite rassure plus qu’elle ne protège. | Vous vérifiez, puis vous rappelez la société par un numéro trouvé indépendamment. |
| « Le virement se fait sur ce compte, l’IBAN est au nom de notre partenaire. » | C’est le point de non-retour. | Un IBAN dont le titulaire diffère de la société signataire met fin à l’échange, sans exception. |
Signaux d’alerte issus des pages de vérification de l’AMF, consultées le 21 août 2026.
Ce que la vérification ne dit pas
Je préfère être clair sur les limites de la méthode que je viens de décrire, parce qu’une confiance mal placée dans une case cochée est plus dangereuse que pas de vérification du tout.
Une inscription au registre atteste que la personne est habilitée à exercer une activité déterminée. Elle ne dit rien de la qualité de ce qui vous sera proposé, ni de la pertinence d’un placement au regard de votre situation. Un professionnel parfaitement en règle peut vous orienter vers une solution qui ne vous convient pas.
Deuxième limite : le registre est un document administratif, pas un jugement. Il ne renseigne ni sur l’expérience réelle, ni sur les domaines effectivement pratiqués, ni sur la manière de travailler. Pour cette partie, il n’existe pas de raccourci en ligne. Il faut poser des questions, demander des explications écrites, et observer si l’on vous répond ou si l’on esquive.
Troisième limite, la plus inconfortable : cette méthode filtre les fraudes grossières et les usurpations, pas les malentendus. Un placement peut être légal, distribué par un professionnel enregistré, et rester inadapté à votre horizon ou à votre tolérance au risque. C’est vrai des SCPI comme des produits structurés, deux familles régulièrement imitées par des offres frauduleuses parce qu’elles sont réelles, connues et associées à un rendement.
Enfin, la vérification ne remplace pas la compréhension du statut de votre interlocuteur. Les métiers de l’intermédiation financière ne se recouvrent pas : j’ai détaillé ailleurs les différences entre les statuts et, plus spécifiquement, ce qui distingue une activité de conseil d’une activité de courtage. Savoir à quel type d’interlocuteur vous parlez change ce que vous devez attendre de lui.
Les signaux qui doivent faire raccrocher
Liste courte, à garder en tête. Chacun de ces éléments suffit à interrompre l’échange, sans qu’il soit nécessaire d’en réunir plusieurs.
- Vous n’avez pas sollicité le contact et vous n’avez jamais donné votre accord à être appelé.
- On vous annonce un rendement élevé présenté comme sans risque de perte.
- On vous demande de décider vite, avant une date de clôture.
- On vous demande un virement, en particulier vers un titulaire de compte qui n’est pas la société signataire.
- On vous demande vos identifiants de connexion, à quelque service que ce soit. Aucune administration, aucune banque, aucun professionnel enregistré ne les demande.
- Vous ne trouvez la structure sur aucun registre public, ou seulement sous un nom légèrement différent.
- On vous propose, contre paiement, de récupérer des fonds perdus dans une arnaque précédente. C’est une seconde arnaque construite sur la première.
Un dernier repère, valable localement : je reçois mes interlocuteurs à Ramonville-Saint-Agne, dans un bureau qui a une adresse. Une structure frauduleuse ne vous propose jamais un rendez-vous physique, parce que c’est le seul filtre qu’elle ne peut pas franchir. Demander à venir sur place reste, en 2026, une vérification étonnamment efficace.
Pour aller plus loin
Sur ce site :
- Comprendre les différences entre les statuts d’intermédiaires en investissement
- Conseil et courtage : ce qui n’est pas la même chose
- Le glossaire des notions patrimoniales
- Le simulateur d’épargne, sans transmission de données personnelles
À paraître sur ce site :
- Reconnaître une fausse offre de SCPI
- Que faire dans les 48 heures après un virement frauduleux
- Les documents qu’un professionnel doit vous remettre avant toute souscription
Questions fréquentes
Comment savoir si je fais partie des 678 000 personnes concernées ?
La DGFiP a annoncé prendre contact individuellement, par courriel ou par courrier, avec chaque particulier et professionnel concerné, en précisant les données susceptibles d’avoir été consultées. Il n’existe aucun outil public permettant de le vérifier soi-même. Tout site qui prétend offrir ce service en échange de vos données doit être considéré comme une tentative d’hameçonnage exploitant l’incident.
Dois-je changer mon mot de passe impots.gouv.fr ?
Selon le communiqué du ministère de l’Économie du 14 août 2026, les espaces personnels des usagers n’ont pas été compromis et les identifiants et mots de passe n’ont pas été touchés. Changer votre mot de passe reste une bonne hygiène générale, mais cela ne répond pas au risque créé par cet incident, qui porte sur du démarchage ciblé et non sur un accès à votre compte.
Un professionnel inscrit à l’ORIAS peut-il quand même être frauduleux ?
Le cas le plus fréquent n’est pas celui d’un inscrit devenu frauduleux, mais celui d’un escroc qui emprunte le nom d’un inscrit. L’AMF alerte explicitement sur cette pratique : les usurpateurs poussent d’ailleurs leurs victimes à faire la vérification sur les registres, parce qu’elle joue en leur faveur. C’est pourquoi la quatrième étape, le rappel par un numéro trouvé de façon indépendante, n’est pas facultative.
Puis-je encore recevoir légalement un appel commercial pour un placement ?
Oui, dans deux cas seulement depuis le 11 août 2026 : si l’appel porte sur un contrat que vous avez déjà conclu, ou si vous avez donné au préalable votre accord à être sollicité par cette entreprise. Cet accord doit être libre, éclairé et exprimé par un acte positif clair. En dehors de ces deux situations, l’appel est interdit, quelle que soit l’heure et quel que soit le secteur.
J’ai déjà transmis des informations à un interlocuteur douteux, que faire ?
Cessez tout versement et conservez l’ensemble des échanges, courriels, relevés et captures d’écran. Contactez votre banque pour faire opposition aux prélèvements en cours. Déposez plainte. Signalez l’acteur à l’AMF via le service Épargne Info Service. Point de vigilance essentiel : ne payez jamais qui que ce soit pour récupérer des fonds perdus, cette proposition est une seconde escroquerie qui vise systématiquement les victimes de la première.
Faut-il porter plainte auprès de la CNIL pour la fuite DGFiP ?
La CNIL a indiqué le 18 août 2026 avoir été saisie des violations par le ministère et qu’il n’était pas nécessaire de lui adresser une plainte individuelle à ce sujet, sauf si vous disposez d’éléments spécifiques utiles aux investigations en cours.
Thomas Gomez, Conseiller Indépendant en Investissements à Ramonville-Saint-Agne, accompagne des particuliers, des professions libérales et des chefs d’entreprise de l’agglomération toulousaine dans la structuration et la transmission de leur patrimoine.
Vous avez reçu une sollicitation dont vous n’êtes pas certain, ou vous voulez faire le point sur votre situation avec un interlocuteur que vous pouvez vérifier avant de le rencontrer ?
Immatriculé à l’ORIAS sous le numéro 26002242, vérifiable sur orias.fr. Ramonville-Saint-Agne, Sicoval, Toulouse sud. Cet article a une vocation informative et ne constitue pas un conseil personnalisé.