Piratage d'un compte SCPI : ce que change la fuite de données de la DGFiP

Commençons par la bonne nouvelle, parce qu'elle est réelle. Des parts de SCPI ne se « piratent » pas comme un compte de courtage en ligne. Il n'existe pas d'interface où un mot de passe volé permettrait de revendre votre portefeuille en trois clics : les parts sont inscrites au nominatif dans un registre tenu par la société de gestion, et toute opération passe par un dossier documenté.

Le risque existe malgré tout, mais il est ailleurs. Il s'appelle usurpation d'identité, et il consiste à faire agir la société de gestion à votre place, avec des papiers qui ont l'air en règle. La fuite de données confirmée par la DGFiP le 13 août 2026 vient de le rendre nettement plus concret.

Peut-on vraiment se faire pirater son compte client SCPI ?

Pas au sens d'une intrusion informatique sur un espace personnel. Oui, au sens d'une usurpation qui pousse la société de gestion à exécuter une opération que vous n'avez jamais demandée.

Le scénario est le suivant. Un fraudeur réunit une pièce d'identité falsifiée, un justificatif de domicile détourné et un relevé d'identité bancaire à son nom. Il transmet à la société de gestion un ordre de vente de parts, ou plus discrètement une demande de changement de coordonnées bancaires. Le dossier est formellement complet. À première vue, il est conforme.

Attention à ne pas confondre ce risque avec l'escroquerie à la fausse SCPI, où l'on vous fait investir dans un fonds qui n'existe pas. Ici, la victime est déjà cliente d'une société de gestion bien réelle, et c'est son patrimoine existant qui est visé. Les réflexes de protection ne sont pas les mêmes, et c'est pour cette raison que les deux sujets méritent d'être traités séparément. Sur le versant « à qui faire confiance en ligne », nous avons publié une grille de lecture des avis SCPI lus sur les forums.

La fuite de données DGFiP d'août 2026 : ce qui est confirmé

Reprenons la chronologie, parce qu'elle circule sous des formes très approximatives.

Le 12 août 2026, un attaquant se présentant sous le pseudonyme ZeroBytes revendique sur un forum cybercriminel l'extraction de 678 438 lignes de données fiscales. Le 13 août, le ministère confirme un accès illégitime au système d'information de la DGFiP, avec une intrusion remontant à fin juin 2026. Environ 678 000 particuliers et professionnels sont concernés.

Les données exposées comprennent l'identité, la date de naissance, l'adresse, la situation familiale, les revenus déclarés et le taux de prélèvement à la source.

Le mode opératoire est instructif. L'attaquant n'a pas forcé une porte : il a obtenu des identifiants internes en usurpant l'identité d'un agent et d'un tiers autorisé, ce qui lui a permis de contourner l'authentification multifacteur, puis il a fractionné ses requêtes pour éviter les détections automatiques. Une usurpation d'identité, déjà, pour préparer les suivantes.

La CNIL a été notifiée, le parquet de Paris a ouvert une enquête, et la DGFiP a annoncé à la mi-août la notification individuelle des personnes concernées. Environ 200 000 comptes issus des fichiers cadastraux sont également concernés.

Un point à noter au passage : selon les communications officielles, les identifiants et mots de passe du site impots.gouv.fr ne seraient pas compromis. Ce qui a fuité, ce sont des données, pas des accès.

Pourquoi cette fuite concerne aussi les porteurs de parts de SCPI

Regardez la liste des données exposées, puis regardez la liste des pièces qu'une société de gestion demande pour traiter un ordre de vente ou un changement de RIB. Identité, adresse, situation familiale, revenus. Le recouvrement est presque total.

Ce n'est pas une première non plus. Fin janvier 2026, la DGFiP avait déjà détecté des accès illégitimes au FICOBA, le fichier national des comptes bancaires, via les identifiants usurpés d'un agent. 1,2 million de comptes avaient été concernés, soit moins de 1 % du fichier, avec exposition de RIB ou IBAN, de l'identité, de l'adresse et parfois de l'identifiant fiscal.

Mises bout à bout, ces deux fuites donnent à un fraudeur de quoi reconstituer un dossier crédible. C'est précisément la difficulté : un contrôle purement documentaire vérifie que les pièces sont cohérentes entre elles, et un dossier reconstitué à partir de données volées l'est parfaitement.

Une précision qui a son importance : aucune société de gestion de SCPI n'est en cause dans ces incidents. La fuite est celle d'une administration. Ce qui change pour le marché, c'est le niveau de sophistication des dossiers frauduleux qui peuvent lui être présentés.

Le rôle du conseiller dans la détection d'une usurpation

C'est là que la relation avec un intermédiaire change quelque chose de très concret.

Certaines sociétés de gestion sollicitent systématiquement le CIF lorsqu'un ordre de vente ou un changement de coordonnées bancaires est reçu pour un client entré en relation par son intermédiaire, avant toute exécution. Le conseiller est alors contacté pour confirmer la demande directement auprès du client, par un canal qu'il connaît.

Ce contrôle ne repose pas sur une obligation réglementaire uniforme applicable à tout le marché. Il dépend des procédures internes de chaque société de gestion et de la relation contractuelle avec l'intermédiaire. Il faut donc le présenter pour ce qu'il est : une bonne pratique, pas une garantie généralisée. Elle s'inscrit toutefois dans le prolongement naturel du devoir de conseil qui s'impose au CIF, lequel ne s'arrête pas à la souscription.

Son intérêt, en revanche, est réel et facile à comprendre. Face à un dossier formellement complet, un contrôle documentaire ne peut rien détecter, puisque les pièces sont cohérentes. Un professionnel qui connaît le client, lui, sait qu'un épargnant qui parlait de transmission il y a trois mois ne liquide pas brutalement son portefeuille un mardi matin, et que ce numéro de téléphone n'est pas le sien. C'est un contrôle humain, sur un risque que la conformité formelle ne voit pas. C'est aussi l'un des apports du suivi après souscription, dont on parle rarement.

Que faire si vous détenez des parts de SCPI et que vous êtes concerné

Quatre gestes, dans l'ordre. Aucun ne prend plus de dix minutes.

• Surveillez vos comptes bancaires et l'ouverture éventuelle de comptes ou de crédits à votre nom. C'est la recommandation première de la CNIL, et elle vaut sur plusieurs mois, pas quelques jours.
• Méfiez-vous de tout message se présentant comme émanant de la DGFiP et vous invitant à cliquer en urgence. Une fuite de ce type est immédiatement suivie de vagues d'hameçonnage qui s'en servent comme prétexte, avec des messages d'autant plus crédibles qu'ils reprennent vos vraies données.
• Changez le mot de passe de votre espace impots.gouv.fr. Les identifiants ne seraient pas concernés, mais le geste coûte deux minutes.
• Signalez la situation à votre consultant si vous êtes passé par un intermédiaire. Il peut alerter la société de gestion en amont d'une demande suspecte, plutôt qu'après coup. C'est la seule action de la liste qui joue en prévention.

Ce dernier point est celui que les épargnants oublient le plus souvent, parce qu'ils ne font pas le lien entre une fuite fiscale et leur portefeuille de parts. Il rejoint d'ailleurs les questions techniques à poser avant de souscrire : savoir qui traite vos ordres, et par quel canal, fait partie du dossier.

Que faire en cas de suspicion d'usurpation sur vos parts

Si une opération que vous n'avez pas initiée apparaît, ou si vous recevez une confirmation pour une demande qui n'est pas la vôtre, la rapidité compte plus que tout.

• Contactez immédiatement la société de gestion, par un canal que vous connaissez déjà. Jamais par un numéro reçu dans un message suspect, jamais par un lien. Reprenez le numéro figurant sur un bulletin trimestriel ou sur votre dernier relevé.
• Alertez votre consultant en parallèle. Il peut faire remonter l'alerte directement, souvent plus vite que le canal client.
• Déposez plainte pour usurpation d'identité. C'est une démarche qui conditionne la plupart des recours ultérieurs, y compris auprès des établissements financiers. Ne la remettez pas à plus tard.

La plateforme publique cybermalveillance.gouv.fr détaille les démarches à suivre en cas de fraude documentaire ou de détournement de virement, avec des modèles de courrier.

Une dernière remarque, plus générale. Nous entrons dans une période où les données personnelles des épargnants circulent largement après ce type de fuites. La conformité apparente d'un dossier ne suffit donc plus, à elle seule, à établir qu'il est légitime. Cela ne rend pas les SCPI plus risquées ; cela rend la relation avec un interlocuteur qui vous connaît un peu plus utile qu'avant. Si vous souhaitez faire le point sur vos parts et sur les coordonnées enregistrées auprès des sociétés de gestion, nos consultants sont joignables, et l'échange est gratuit.

FAQ