En bref : en 2026, quatre fuites de données publiques touchent un grand nombre de particuliers : le portail de l'ANTS (11,7 millions de comptes « seraient concernés » selon la page officielle du 24 avril), le système d'information des impôts, le fichier des comptes bancaires FICOBA et Bloctel. Pour l'ANTS, les impôts et FICOBA, l'administration a annoncé prévenir directement les personnes concernées, par courriel ou par courrier. Pour Bloctel, seuls les inscrits concernés ont été prévenus. Aucun de ces communiqués ne fait état de mots de passe exposés. Les données qui ont fuité, en revanche, permettent à des escrocs de rédiger des messages crédibles, qui citent votre nom, votre date de naissance ou votre IBAN.
Les quatre incidents, communiqué par communiqué
ANTS, le portail des titres sécurisés
Le gouvernement a publié le 22 avril 2026 une page intitulée France Titres : le point sur l'incident de sécurité, mise à jour le 24 avril.
- Volume : « 11,7 millions de comptes seraient concernés ».
- Données concernées, selon la page et sous réserve des conclusions des investigations techniques, toujours en cours à cette date : pour tous ces comptes, l'identifiant de connexion, la civilité, le nom, les prénoms, l'adresse email, la date de naissance et l'identifiant du compte ; pour une partie des comptes seulement, l'adresse postale, le lieu de naissance et le numéro de téléphone.
- Sous la même réserve, ces données ne permettraient pas d'accéder au compte, et ne comprendraient ni les pièces jointes ni les données biométriques.
- Information des personnes : un courriel a été envoyé aux titulaires de comptes professionnels, et l'envoi aux particuliers concernés était en cours. La CNIL a été notifiée et la procureure de la République de Paris saisie. La page précise que les usagers n'ont aucune démarche particulière à faire, mais recommande de changer le mot de passe du compte à la prochaine connexion et de se méfier des messages suspects qui sembleraient venir de France Titres.
Des quatre incidents présentés ici, c'est celui qui concerne le plus de comptes. Une adresse email associée à un nom et à une date de naissance suffit à rendre un faux message très convaincant.
Le système d'information des impôts (DGFiP)
Dans son communiqué du 14 août 2026, le ministère de l'Économie indique que des accès illégitimes ont eu lieu en juin et juillet 2026 (la page d'actualité de la DGFiP, mise à jour le 14 septembre, mentionne juin, juillet et août), grâce aux identifiants usurpés d'un agent de la DGFiP et d'un tiers habilité.
- Données exposées : des données fiscales, notamment le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Pour les entreprises, la raison sociale ou le numéro SIREN. Des données cadastrales ont aussi été consultées : adresses et surfaces de biens immobiliers.
- Volume : « un total de 678 000 particuliers et professionnels ». Le même communiqué précise que les investigations se poursuivent pour déterminer le nombre d'usagers concernés.
- Ce que le ministère dit ne pas avoir été touché : les espaces Finances publiques, ainsi que les identifiants et mots de passe des usagers. Le communiqué ne mentionne pas de coordonnées bancaires pour cet incident.
- Information des personnes : le ministère a annoncé que chaque personne ou entreprise concernée recevrait une information individuelle, par courriel ou par courrier.
La page d'actualité de la DGFiP, mise à jour le 14 septembre, signale aussi une vulnérabilité découverte le 17 août sur le portail des successions vacantes, qui ne contient selon elle que des données publiques, et à partir duquel une extraction a pu être constatée.
La CNIL suit le dossier. Elle indique qu'il n'est pas nécessaire de lui adresser une plainte individuelle, sauf si vous disposez d'éléments utiles aux investigations.
FICOBA, le fichier national des comptes bancaires
FICOBA recense les comptes bancaires ouverts dans des établissements français. Selon le ministère de l'Économie, une personne a consulté une partie de ce fichier à partir de fin janvier 2026, avec les identifiants usurpés d'un fonctionnaire.
- Données exposées : coordonnées bancaires (RIB et IBAN), identité et adresse du titulaire du compte.
- Volume : la fuite « concernerait 1,2 million de comptes », soit moins de 1 % du fichier.
- Information des personnes : les titulaires concernés ont reçu, ou devaient recevoir, un message d'information. Le ministère précise que sans courriel ni courrier de la DGFiP à ce sujet, vous n'êtes pas concerné.
Bloctel
Le communiqué de la DGCCRF du 12 août 2026 fait état d'un accès frauduleux à un compte professionnel du service.
- Données exposées : 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel. Seuls des numéros ont été exposés, sans nom ni adresse, et la base Bloctel elle-même n'a pas été compromise.
- Information des personnes : les inscrits concernés en ont été informés par Bloctel, par mail.
- Contexte : le service Bloctel a pris fin le 11 août 2026, conformément à la loi du 30 juin 2025. Un appel commercial suppose désormais votre consentement préalable, et la DGCCRF invite à signaler tout appel reçu sans votre accord sur SignalConso.
Les autres incidents de l'année
D'autres organismes publics ont signalé des incidents plus limités. L'Agence pour l'enseignement français à l'étranger a par exemple annoncé le 14 août un accès non autorisé à une partie des données personnelles de ses agents (nom, prénom, fonction, email professionnel, établissement, photo de profil), sans mot de passe concerné.
Savoir si vous êtes concerné
Pour l'ANTS, les impôts et FICOBA, l'administration a annoncé contacter elle-même les personnes concernées. Pour Bloctel, les inscrits concernés ont été prévenus par mail ; le communiqué ne mentionne pas d'information des autres numéros exposés. Le règlement européen sur la protection des données (RGPD) impose en effet d'informer directement les personnes lorsqu'une violation présente un risque élevé pour leurs droits.
Deux précautions :
- Un faux « avis de fuite » est un prétexte idéal. Un message qui vous invite à cliquer pour « vérifier si vous êtes concerné » doit être ignoré. Une notification de fuite n'a aucune raison de vous demander de payer ou de vous connecter via un lien.
- Vérifiez par vos propres moyens. Pour les impôts, connectez-vous à votre espace particulier en tapant vous-même impots.gouv.fr dans votre navigateur. Pour l'ANTS, passez par le site officiel, jamais par un lien reçu.
Vos données ont aussi pu fuiter chez un commerçant ou un prestataire sans que vous en soyez informé. Pour vérifier votre adresse email dans les fuites connues, et pour la marche à suivre générale après une fuite, voir notre guide Mes données ont-elles fuité ?.
Ce que ces données permettent aux escrocs
Aucune administration n'a, à notre connaissance, rattaché une arnaque précise à l'une de ces fuites. Le tableau ci-dessous décrit donc des risques, déduits de la nature des données exposées, et non des cas constatés.
| Fuite |
Données utiles à un escroc |
Scénario à surveiller |
| ANTS |
Nom, email, date de naissance |
Faux mail de l'ANTS ou d'une autre administration, qui cite votre date de naissance pour paraître authentique |
| Impôts (DGFiP) |
Revenu fiscal, quotient familial, adresse d'un bien |
Faux remboursement ou fausse régularisation fiscale qui cite votre situation réelle |
| FICOBA |
IBAN, identité, adresse |
Appel d'un faux conseiller qui connaît votre IBAN, tentative de prélèvement |
| Bloctel |
Numéro de téléphone |
SMS piégés, appels de démarchage ou de faux conseillers |
Un interlocuteur qui connaît votre IBAN ou votre date de naissance les a peut-être lus dans un fichier volé. Ce mécanisme est détaillé dans notre guide sur le faux conseiller bancaire.
Les réflexes propres à chaque fuite
Si votre IBAN figure dans la fuite FICOBA
- Prévenez votre banque et surveillez vos relevés pendant plusieurs mois.
- Activez la liste blanche des créanciers si votre banque la propose : seuls les organismes autorisés pourront vous prélever.
- Contestez sans tarder tout prélèvement non autorisé. L'article L133-24 du Code monétaire et financier fixe un délai maximal de 13 mois après la date de débit.
- Le ministère relativise aussi le risque : selon lui, l'accès à un IBAN n'expose pas nécessairement à une fraude, un prélèvement supposant notamment un mandat et un créancier enregistré.
- Il indique qu'en cas de prélèvement ou d'achat non autorisé, vous pouvez demander l'accès au fichier FICOBA et déposer plainte. Sans mouvement suspect, cette demande d'accès n'est pas nécessaire. La procédure est décrite sur la page du ministère.
Si vos données fiscales ou celles de l'ANTS sont concernées
- Pour l'incident des impôts, la CNIL recommande de se méfier de toute demande « urgente » par courriel ou par téléphone, et de signaler toute anomalie. Pour l'ANTS, la page officielle conseille de changer son mot de passe à la prochaine connexion.
- À propos de l'aide carburant, impots.gouv.fr rappelle sur sa page Les dernières arnaques que la DGFiP n'adresse aucun message pour réclamer des informations personnelles. Par prudence, faites toute démarche fiscale depuis votre espace, ouvert par vous-même.
- Une adresse email exposée par l'ANTS recevra probablement davantage d'hameçonnage. Notre guide sur le phishing détaille comment repérer ces messages.
Si votre numéro de téléphone est concerné
La DGCCRF donne quatre consignes : ne pas répondre aux SMS ou appels inconnus, ne jamais divulguer d'informations personnelles, modifier ses mots de passe si son numéro sert d'identifiant, et rester vigilant face aux sollicitations inhabituelles. Les SMS piégés les plus courants sont décrits dans notre guide sur le smishing.
Si un escroc a déjà utilisé vos données
- Appelez votre banque au numéro figurant au dos de votre carte ou dans votre application, et faites opposition si nécessaire.
- Changez les mots de passe des comptes concernés, depuis un appareil sûr.
- Déposez plainte au commissariat ou à la gendarmerie. Les autres recours en ligne et les numéros d'assistance sont regroupés dans notre guide Mes données ont-elles fuité ?.
Copies de papiers d'identité obtenues, crédit ouvert à votre nom : on parle alors d'usurpation d'identité, et les démarches changent. Voir notre guide sur l'usurpation d'identité en ligne.