Pas avec ce numéro seul.
Les treize chiffres du numéro fiscal servent à identifier un contribuable. Ils ne constituent pas son mot de passe. Pour accéder à un espace Finances publiques déjà créé avec les identifiants de la direction générale des finances publiques (DGFiP), il faut également connaître le mot de passe, ou utiliser une identité compatible avec FranceConnect.
Le danger commence surtout lorsque le numéro fiscal est associé à d'autres informations : date de naissance, adresse électronique, documents fiscaux, mot de passe ou accès à la messagerie.
Et même isolé, il peut servir à fabriquer une arnaque beaucoup plus crédible.
Un identifiant n'est pas un mot de passe
Chaque contribuable dispose de son propre numéro fiscal à treize chiffres.
Il figure sur les principaux documents fiscaux et doit être saisi pour se connecter directement à l'espace Finances publiques. La DGFiP le qualifie d'identifiant unique utilisé pour les démarches fiscales.
Mais connaître cet identifiant ne donne pas accès au compte.
Pour une connexion classique à un espace déjà créé, deux éléments sont demandés : le numéro fiscal, puis le mot de passe.
Un fraudeur qui ne possède que votre numéro fiscal ne peut donc pas, par ce seul moyen, consulter vos déclarations, vos avis, votre taux de prélèvement à la source ou vos coordonnées bancaires.
Ce numéro lui apporte néanmoins quelque chose d'utile : une information fiscale exacte sur une personne réelle.
Le danger le plus immédiat est souvent le faux message
Un escroc n'a pas nécessairement besoin de pénétrer lui-même dans votre espace fiscal.
Il peut essayer de vous convaincre de lui donner ce qui lui manque.
Le scénario est classique : un remboursement qui attend d'être validé, une anomalie détectée sur le dossier, un prélèvement à régulariser, une connexion suspecte à vérifier de toute urgence.
Ces messages annoncent presque toujours un montant précis, au centime près. Ce n'est pas un hasard : une somme ronde éveille la méfiance, un montant détaillé ressemble à un calcul réel.
Et si le message contient votre véritable nom et votre numéro fiscal, il devient beaucoup plus crédible encore.
Cybermalveillance.gouv.fr alerte régulièrement sur les campagnes de faux remboursements d'impôt. Les messages imitent les codes de l'administration et cherchent à obtenir des informations personnelles ou bancaires.
Connaître votre numéro fiscal ne prouve donc absolument pas que votre interlocuteur travaille pour la DGFiP.
Numéro fiscal et date de naissance : le risque augmente, sans donner accès au compte
La date de naissance intervient dans les procédures de récupération.
Pour réinitialiser un mot de passe oublié, impots.gouv.fr demande le numéro fiscal, la date de naissance et les caractères d'une image de contrôle. Lorsqu'un numéro de téléphone portable a été validé dans le compte, un code reçu par message est également demandé. Le lien de réinitialisation est ensuite envoyé à l'adresse électronique déjà enregistrée et n'est valable qu'une heure.
Le numéro fiscal et la date de naissance permettent donc d'amorcer la procédure.
Ils ne suffisent normalement pas à la terminer sans accès aux moyens de récupération du compte.
Pour retrouver un numéro fiscal oublié, la mécanique est différente : le contribuable renseigne notamment son adresse électronique et sa date de naissance, avec là encore un code par message lorsqu'un téléphone a été validé.
C'est pourquoi l'accès à la messagerie électronique est souvent beaucoup plus sensible que le numéro fiscal lui-même.
Si votre messagerie est compromise, sécurisez-la en premier
La messagerie reçoit le lien permettant de réinitialiser le mot de passe fiscal.
Quelqu'un qui la contrôle dispose donc d'une pièce supplémentaire du puzzle.
Si vous soupçonnez également votre messagerie d'avoir été piratée :
- changez son mot de passe ;
- déconnectez les sessions inconnues ;
- vérifiez les moyens de récupération ;
- recherchez d'éventuelles règles de transfert que vous n'avez pas créées ;
- activez la double authentification.
Ensuite, contrôlez votre espace Finances publiques.
La règle générale est simple : le compte permettant de réinitialiser les autres comptes doit être protégé en priorité.
Valider son téléphone protège plusieurs opérations sensibles
La DGFiP recommande d'enregistrer et de valider son numéro de téléphone portable dans la rubrique « Mon profil ».
Ce numéro sert à envoyer un code à usage unique lors de plusieurs opérations sensibles :
- récupération du numéro fiscal ;
- renouvellement du mot de passe ;
- modification des coordonnées bancaires concernant l'impôt sur le revenu.
Cette vérification mérite donc d'être faite même lorsqu'aucune fuite n'a été signalée.
Après une exposition de données fiscales, elle devient l'un des premiers points à contrôler.
Et le code reçu par message ne doit jamais être communiqué à quelqu'un qui vous téléphone en prétendant vouloir « sécuriser » ou « annuler » une opération.
Peut-on créer votre espace fiscal à votre place ?
Le numéro fiscal seul ne suffit pas.
Pour certains contribuables qui créent leur espace Finances publiques pour la première fois, trois éléments figurant sur les documents fiscaux sont demandés :
- le numéro fiscal ;
- le numéro d'accès en ligne ;
- le revenu fiscal de référence.
Une adresse électronique et un mot de passe sont ensuite choisis, puis l'ouverture doit être validée à partir du lien envoyé par courriel.
Le numéro d'accès en ligne change chaque année. Un numéro récupéré sur une ancienne déclaration peut donc être périmé.
Dans d'autres situations, la DGFiP impose d'abord une vérification de l'identité avant d'autoriser la création de l'espace.
C'est pourquoi une simple liste de numéros fiscaux est beaucoup moins sensible que plusieurs documents fiscaux complets volés ensemble.
Un avis d'impôt ou une déclaration contiennent davantage qu'un numéro
Un document fiscal peut révéler, selon sa nature :
- l'identité ;
- l'adresse ;
- le numéro fiscal ;
- le revenu fiscal de référence ;
- la composition du foyer ;
- certaines informations sur les revenus ;
- d'autres références administratives.
Une déclaration de revenus comporte également le numéro d'accès en ligne utilisé dans certains parcours de création d'espace.
Aucun de ces éléments n'est un mot de passe.
Mais plusieurs documents réunis donnent au fraudeur beaucoup plus d'informations pour imiter le contribuable ou répondre à certaines vérifications.
Le danger vient donc moins d'un pouvoir particulier du numéro fiscal que de la possibilité de croiser plusieurs données.
Le revenu fiscal de référence n'ouvre pas le compte
Le revenu fiscal de référence est souvent demandé dans les démarches administratives et figure sur l'avis d'impôt.
Il fait également partie, dans certains cas, des trois éléments nécessaires pour créer un espace Finances publiques pour la première fois.
Il ne constitue pas pour autant un mot de passe universel.
Le risque augmente lorsqu'il est associé au numéro fiscal et au numéro d'accès en ligne.
C'est pourquoi, après une fuite, la question utile n'est pas seulement de savoir si le numéro fiscal a été volé, mais quelles autres données se trouvaient avec lui.
Peut-on changer votre compte bancaire avec le numéro fiscal ?
Pas avec le numéro seul.
Modifier les coordonnées bancaires nécessite un accès à des services qui exigent une connexion. La DGFiP sécurise en outre la modification des coordonnées bancaires relatives à l'impôt sur le revenu par un code à usage unique envoyé par message, dès lors qu'un numéro de téléphone a été renseigné dans l'espace personnel.
Une prise de contrôle complète de l'espace fiscal serait évidemment beaucoup plus grave.
Si vous constatez :
- une modification inconnue ;
- une opération que vous n'avez pas effectuée ;
- une adresse ou un téléphone modifiés ;
- un changement de coordonnées bancaires ;
contactez rapidement votre service des finances publiques et sécurisez vos accès.
Faut-il changer son mot de passe si seul le numéro fiscal a fuité ?
Pas systématiquement.
Si l'organisme confirme que le mot de passe n'a pas été compromis, changer celui d'impots.gouv.fr ne fera pas disparaître le numéro fiscal déjà volé.
Il faut surtout vérifier :
- que le mot de passe fiscal n'est employé nulle part ailleurs ;
- que la messagerie associée est sécurisée ;
- que votre numéro de téléphone est bien validé ;
- qu'aucune modification inconnue n'apparaît dans votre espace.
En revanche, changez le mot de passe rapidement si :
- il figure parmi les données exposées ;
- vous l'avez réutilisé sur le service victime de la fuite ;
- votre messagerie a elle aussi été compromise ;
- vous observez une activité inconnue ;
- l'organisme n'est pas encore capable de dire si les données de connexion ont été touchées.
Une fuite du numéro fiscal ne conduit pas normalement à l'attribution d'un nouveau numéro : la priorité consiste à protéger les accès qui l'entourent.
Comment reconnaître une fausse demande des impôts
Le meilleur réflexe consiste à ne pas utiliser le lien d'un message inattendu.
Ouvrez vous-même impots.gouv.fr ou l'application officielle et consultez votre espace et sa messagerie sécurisée.
L'adresse de l'expéditeur peut fournir un indice, mais elle ne doit pas être utilisée comme seule preuve : un nom d'expéditeur peut être imité et des adresses ressemblantes peuvent être créées.
La DGFiP et Cybermalveillance.gouv.fr recommandent notamment de se méfier des messages réclamant :
- les identifiants de connexion ;
- un numéro de carte bancaire ;
- un code reçu par message ;
- un paiement pour débloquer un remboursement.
Si une demande paraît inhabituelle, rejoignez directement votre espace fiscal ou contactez le centre des finances publiques avec des coordonnées trouvées indépendamment du message.
Que faire selon les données exposées
| Données volées | Risque principal | Première réaction |
|---|---|---|
| Numéro fiscal seul | Faux messages personnalisés | Vigilance et contrôle des protections du compte |
| Numéro fiscal et date de naissance | Tentative de récupération | Vérifier le téléphone et la messagerie associés |
| Numéro fiscal et adresse électronique | Faux messages et récupération ciblée | Sécuriser particulièrement la messagerie |
| Mot de passe | Prise de contrôle possible | Le changer immédiatement |
| Déclaration et avis d'impôt | Identification beaucoup plus complète | Vigilance renforcée contre l'usurpation |
| Accès frauduleux constaté | Compte compromis | Contacter la DGFiP, sécuriser les accès, conserver les preuves |
Le numéro fiscal n'est donc ni anodin ni une clé universelle.
Il identifie précisément un contribuable et peut rendre une escroquerie beaucoup plus crédible. Mais il ne donne pas, isolément, accès à son espace Finances publiques.
Après une fuite, le risque ne se lit pas dans les treize chiffres eux-mêmes.
Il se lit dans ce qui a été volé avec eux.
Les six vérifications utiles
- Identifier les autres données compromises avec le numéro fiscal.
- Vérifier que le mot de passe fiscal n'est employé nulle part ailleurs.
- Sécuriser la messagerie associée au compte.
- Valider le téléphone dans « Mon profil ».
- Vérifier directement dans impots.gouv.fr toute demande inhabituelle.
- Contacter rapidement la DGFiP si une modification inconnue apparaît.
