Fuite de données du fisc : les réflexes pour un contrat luxembourgeois

La DGFiP a confirmé l’extraction de données fiscales de 678 000 particuliers et professionnels. Pour les hauts patrimoines détenteurs d’un contrat luxembourgeois, le risque immédiat est l’hameçonnage ciblé.

Ce que la DGFiP a confirmé

Dans un communiqué publié à la mi-août, la Direction générale des Finances publiques a reconnu des « accès illégitimes » à son système d’information, survenus en juin et juillet 2026 après l’usurpation des identifiants d’un agent et d’un tiers habilité. Les investigations établissent que 678 000 particuliers et professionnels sont concernés. Les données consultées ou extraites comprennent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers.

La DGFiP précise que les espaces Finances publiques des usagers, ainsi que leurs identifiants et mots de passe, n’ont pas été compromis. Une enquête a été ouverte par le parquet de Paris. Les personnes concernées doivent recevoir une information individuelle par courriel ou courrier. Le détail figure dans le communiqué officiel de la DGFiP.

Pourquoi les hauts patrimoines sont exposés

Le danger n’est pas tant la donnée elle-même que son exploitation. Croisées, ces informations révèlent le niveau de vie et le patrimoine déclaré d’une personne, matière première idéale pour un hameçonnage sur mesure. Un message reprenant votre situation fiscale réelle paraît crédible et peut viser à obtenir des codes, un virement ou un changement de coordonnées bancaires. Le ticket d’entrée d’un contrat luxembourgeois, de l’ordre de 250 000 euros, fait en outre de son détenteur une cible de choix pour ce type d’attaque ciblée.

Pour un détenteur de contrat luxembourgeois, l’enjeu se déplace vers les opérations sensibles : demande de rachat, d’avance, d’arbitrage ou modification de RIB. Le triangle de sécurité et la banque dépositaire visent à protéger vos actifs en cas de défaillance de l’assureur, dans les conditions prévues par le régime luxembourgeois, mais pas contre une manipulation qui vous conduirait vous-même à valider une instruction frauduleuse.

Les vérifications côté contrat luxembourgeois

• Ne jamais communiquer identifiants, codes ou coordonnées bancaires par e-mail, SMS ou téléphone : ni la DGFiP, ni votre assureur luxembourgeois ne les demandent par ces canaux.
• Vérifier toute sollicitation en rappelant l’organisme via son canal officiel connu (numéro de votre conseiller, espace client sécurisé), jamais via les coordonnées fournies dans le message reçu.
• Se rappeler qu’un rachat, un arbitrage ou un changement de RIB sur un contrat de droit luxembourgeois suivent des procédures écrites et des délais propres : toute demande présentée comme « urgente » ou hors de ce circuit habituel doit être tenue pour suspecte.
• Traiter avec méfiance toute demande non sollicitée portant sur un rachat, une avance ou un changement de RIB, et activer la double authentification là où elle est disponible.

Ce que ça change pour vous

Aucune donnée propre à votre contrat luxembourgeois n’est visée par cette fuite selon la DGFiP, mais votre profil patrimonial est potentiellement exposé. Redoublez de vigilance sur les messages se réclamant du fisc, de votre banque ou de votre assureur dans les prochaines semaines, et vérifiez toute instruction financière par un second canal. Si un doute persiste, un point avec votre conseiller s’impose, notamment autour de votre déclaration de contrat étranger (formulaire 3916-bis).

Source : communiqué de la DGFiP (impots.gouv.fr) · Rubrique Actualités · mercredi 19 août 2026