Pas avec ce numéro seul. Les treize chiffres du numéro fiscal servent à identifier un contribuable. Ils ne constituent pas son mot de passe. Pour accéder à un espace Finances publiques déjà créé avec les identifiants de la direction générale des finances publiques (DGFiP), il faut également connaître le mot de passe, puis saisir un code de sécurité envoyé par courriel, ou bien utiliser une identité compatible avec FranceConnect.
Le danger commence surtout lorsque le numéro fiscal est associé à d'autres informations : date de naissance, adresse électronique, documents fiscaux, mot de passe ou accès à la messagerie. Et même isolé, il peut servir à fabriquer une arnaque beaucoup plus crédible.
Le 14 août 2026, le ministère de l'Économie a annoncé que des accès illégitimes au système d'information de la DGFiP, en juin et juillet, avaient permis d'extraire des données concernant 678 000 particuliers et professionnels. La foire aux questions publiée par la DGFiP le 17 août parle d'« un peu plus de 350 000 particuliers et 250 000 professionnels », soit un total plus bas, sans que les deux documents expliquent l'écart. L'identifiant fiscal figure parmi les données consultées, avec l'état civil, les coordonnées et la situation fiscale. Le ministère assure toutefois que « les identifiants et les mots de passe des particuliers et des professionnels n'ont pas été compromis », pas plus que leurs espaces Finances publiques.
Un identifiant n'est pas un mot de passe
Chaque contribuable dispose de son propre numéro fiscal à treize chiffres. Il figure sur les principaux documents fiscaux et doit être saisi pour se connecter directement à l'espace Finances publiques. La DGFiP le qualifie d'identifiant unique utilisé pour les démarches fiscales. Mais connaître cet identifiant ne donne pas accès au compte.
Pour une connexion classique à un espace déjà créé, trois éléments sont demandés : le numéro fiscal, le mot de passe, puis un code de sécurité à six chiffres envoyé par courriel depuis l'adresse otp@authentification.impots.gouv.fr. Ce code est exigé depuis le 25 juin 2025, selon le ministère de l'Économie. Une fois saisi, il n'est plus redemandé pendant six mois sur le même navigateur, indique impots.gouv.fr.
Un fraudeur qui ne possède que votre numéro fiscal ne peut donc pas, par ce seul moyen, consulter vos déclarations, vos avis, votre taux de prélèvement à la source ou vos coordonnées bancaires. Ce numéro lui apporte néanmoins quelque chose d'utile : une information fiscale exacte sur une personne réelle.
Le danger le plus immédiat est souvent le faux message
Un escroc n'a pas nécessairement besoin de pénétrer lui-même dans votre espace fiscal. Il peut essayer de vous convaincre de lui donner ce qui lui manque. Le scénario est classique : un remboursement qui attend d'être validé, une anomalie détectée sur le dossier, un prélèvement à régulariser, une connexion suspecte à vérifier de toute urgence.
Et si le message contient votre véritable nom et votre numéro fiscal, il devient beaucoup plus crédible encore. Cybermalveillance.gouv.fr alerte régulièrement sur les campagnes de faux remboursements d'impôt. Les messages imitent les codes de l'administration et cherchent à obtenir des informations personnelles ou bancaires. Connaître votre numéro fiscal ne prouve donc absolument pas que votre interlocuteur travaille pour la DGFiP.
Numéro fiscal et date de naissance : le risque augmente, sans ouvrir un compte déjà créé
La date de naissance intervient dans les procédures de récupération. Pour réinitialiser un mot de passe oublié, impots.gouv.fr demande le numéro fiscal, la date de naissance et les caractères d'une image de contrôle. Lorsqu'un numéro de téléphone portable a été validé dans le compte, un code reçu par message est également demandé. Le lien de réinitialisation est ensuite envoyé à l'adresse électronique déjà enregistrée et n'est valable qu'une heure.
Le numéro fiscal et la date de naissance permettent donc d'amorcer la procédure. Ils ne suffisent normalement pas à la terminer sans accès aux moyens de récupération du compte. Pour retrouver un numéro fiscal oublié, la mécanique est différente : le contribuable renseigne notamment son adresse électronique et sa date de naissance, avec là encore un code par message lorsqu'un téléphone a été validé.
C'est pourquoi l'accès à la messagerie électronique est souvent beaucoup plus sensible que le numéro fiscal lui-même.
Si votre messagerie est compromise, sécurisez-la en premier
La messagerie reçoit le lien permettant de réinitialiser le mot de passe fiscal. Quelqu'un qui la contrôle dispose donc d'une pièce supplémentaire du puzzle.
Si vous soupçonnez également votre messagerie d'avoir été piratée :
- changez son mot de passe ;
- déconnectez les sessions inconnues ;
- vérifiez les moyens de récupération ;
- recherchez d'éventuelles règles de transfert que vous n'avez pas créées ;
- activez la double authentification.
Ensuite, contrôlez votre espace Finances publiques. La règle générale est simple : le compte permettant de réinitialiser les autres comptes doit être protégé en priorité.
Valider son téléphone protège plusieurs opérations sensibles
La DGFiP recommande d'enregistrer et de valider son numéro de téléphone portable dans la rubrique « Mon profil ».
Ce numéro sert à envoyer un code à usage unique lors de plusieurs opérations sensibles :
- récupération du numéro fiscal ;
- renouvellement du mot de passe ;
- modification des coordonnées bancaires concernant l'impôt sur le revenu.
Cette vérification mérite donc d'être faite même lorsqu'aucune fuite n'a été signalée. Après une exposition de données fiscales, elle devient l'un des premiers points à contrôler. Et le code reçu par message ne doit jamais être communiqué à quelqu'un qui vous téléphone en prétendant vouloir « sécuriser » ou « annuler » une opération.
Peut-on créer votre espace fiscal à votre place ?
Le numéro fiscal seul ne suffit pas.
Pour certains contribuables qui créent leur espace Finances publiques pour la première fois, trois éléments figurant sur les documents fiscaux sont demandés :
- le numéro fiscal ;
- le numéro d'accès en ligne ;
- le revenu fiscal de référence.
Une adresse électronique et un mot de passe sont ensuite choisis, puis l'ouverture doit être validée à partir du lien envoyé par courriel. Le numéro d'accès en ligne change chaque année. Un numéro récupéré sur une ancienne déclaration peut donc être périmé. Dans d'autres situations, le site demande seulement la date de naissance après le numéro fiscal. Pour une personne qui n'a pas encore d'espace, ce couple d'informations peut donc suffire à engager la création ; la fiche officielle ne précise pas dans quels cas ce parcours s'applique. Ailleurs encore, la DGFiP impose d'abord une vérification de l'identité avant d'autoriser la création de l'espace.
C'est pourquoi une simple liste de numéros fiscaux est beaucoup moins sensible que plusieurs documents fiscaux complets volés ensemble.
Un avis d'impôt ou une déclaration contiennent davantage qu'un numéro
Un document fiscal peut révéler, selon sa nature :
- l'identité ;
- l'adresse ;
- le numéro fiscal ;
- le revenu fiscal de référence ;
- la composition du foyer ;
- certaines informations sur les revenus ;
- d'autres références administratives.
Une déclaration de revenus comporte également le numéro d'accès en ligne utilisé dans certains parcours de création d'espace. Aucun de ces éléments n'est un mot de passe. Mais plusieurs documents réunis donnent au fraudeur beaucoup plus d'informations pour imiter le contribuable ou répondre à certaines vérifications.
Le danger vient donc moins d'un pouvoir particulier du numéro fiscal que de la possibilité de croiser plusieurs données.
Le revenu fiscal de référence n'ouvre pas le compte
Le revenu fiscal de référence est souvent demandé dans les démarches administratives et figure sur l'avis d'impôt. Il fait également partie, dans certains cas, des trois éléments nécessaires pour créer un espace Finances publiques pour la première fois. Il ne constitue pas pour autant un mot de passe universel.
Le risque augmente lorsqu'il est associé au numéro fiscal et au numéro d'accès en ligne. C'est pourquoi, après une fuite, la question utile n'est pas seulement de savoir si le numéro fiscal a été volé, mais quelles autres données se trouvaient avec lui.
Peut-on changer votre compte bancaire avec le numéro fiscal ?
Pas avec le numéro seul. Modifier les coordonnées bancaires nécessite un accès à des services qui exigent une connexion. La DGFiP sécurise en outre la modification des coordonnées bancaires relatives à l'impôt sur le revenu par un code à usage unique envoyé par message, dès lors qu'un numéro de téléphone a été renseigné et validé dans l'espace personnel. Une prise de contrôle complète de l'espace fiscal serait évidemment beaucoup plus grave.
Si vous constatez :
- une modification inconnue ;
- une opération que vous n'avez pas effectuée ;
- une adresse ou un téléphone modifiés ;
- un changement de coordonnées bancaires ;
contactez rapidement votre service des finances publiques et sécurisez vos accès.
Faut-il changer son mot de passe si seul le numéro fiscal a fuité ?
Pas systématiquement. Si l'organisme confirme que le mot de passe n'a pas été compromis, changer celui d'impots.gouv.fr ne fera pas disparaître le numéro fiscal déjà volé. Après le vol de l'été 2026, la DGFiP a d'ailleurs écrit qu'il « n'est donc pas nécessaire de modifier votre mot de passe à la suite de cet incident ».
Il faut surtout vérifier :
- que le mot de passe fiscal n'est employé nulle part ailleurs ;
- que la messagerie associée est sécurisée ;
- que votre numéro de téléphone est bien validé ;
- qu'aucune modification inconnue n'apparaît dans votre espace.
En revanche, changez le mot de passe rapidement si :
- il figure parmi les données exposées ;
- vous l'avez réutilisé sur le service victime de la fuite ;
- votre messagerie a elle aussi été compromise ;
- vous observez une activité inconnue ;
- l'organisme n'est pas encore capable de dire si les données de connexion ont été touchées.
Une fuite du numéro fiscal ne conduit pas normalement à l'attribution d'un nouveau numéro : la priorité consiste à protéger les accès qui l'entourent.
Comment reconnaître une fausse demande des impôts
Le meilleur réflexe consiste à ne pas utiliser le lien d'un message inattendu. Ouvrez vous-même impots.gouv.fr ou l'application officielle et consultez votre espace et sa messagerie sécurisée.
Le ministère de l'Économie rappelle que les courriels de la DGFiP se terminent toujours par « @dgfip.finances.gouv.fr » ou « @authentification.impots.gouv.fr », l'adresse d'où part le code de connexion. Cet indice ne doit pas être utilisé comme seule preuve : un nom d'expéditeur peut être imité et des adresses ressemblantes peuvent être créées.
La DGFiP et Cybermalveillance.gouv.fr recommandent notamment de se méfier des messages réclamant :
- les identifiants de connexion ;
- un numéro de carte bancaire ;
- un code reçu par message.
Si une demande paraît inhabituelle, rejoignez directement votre espace fiscal ou contactez le centre des finances publiques avec des coordonnées trouvées indépendamment du message.
Que faire selon les données exposées
| Données volées | Risque principal | Première réaction |
|---|---|---|
| Numéro fiscal seul | Faux messages personnalisés | Vigilance et contrôle des protections du compte |
| Numéro fiscal et date de naissance | Tentative de récupération | Vérifier le téléphone et la messagerie associés |
| Numéro fiscal et adresse électronique | Faux messages et récupération ciblée | Sécuriser particulièrement la messagerie |
| Mot de passe | Prise de contrôle possible | Le changer immédiatement |
| Déclaration et avis d'impôt | Identification beaucoup plus complète | Vigilance renforcée contre l'usurpation |
| Accès frauduleux constaté | Compte compromis | Contacter la DGFiP, sécuriser les accès, conserver les preuves |
Le numéro fiscal n'est donc ni anodin ni une clé universelle. Il identifie précisément un contribuable et peut rendre une escroquerie beaucoup plus crédible. Mais il ne donne pas, isolément, accès à son espace Finances publiques. Après une fuite, le risque ne se lit pas dans les treize chiffres eux-mêmes.
Il se lit dans ce qui a été volé avec eux.
Les six vérifications utiles
- Identifier les autres données compromises avec le numéro fiscal.
- Vérifier que le mot de passe fiscal n'est employé nulle part ailleurs.
- Sécuriser la messagerie associée au compte.
- Valider le téléphone dans « Mon profil ».
- Vérifier directement dans impots.gouv.fr toute demande inhabituelle.
- Contacter rapidement la DGFiP si une modification inconnue apparaît.
