Piratage de la DGFiP : êtes-vous parmi les 680 000 contribuables dont les données fiscales sont compromises ?
La Direction des finances publiques a confirmé avoir été victime d'une cyberattaque, qui a compromis les données fiscales de quelque 680 000 contribuables. Les victimes commencent à être informées.
L'hécatombe continue, encore et encore, pour les services publics français ! Comme l'a repéré le site spécialisé French Breaches, un cybercriminel a revendiqué être parvenu à pirater la Direction générale des finances publiques (DGFiP). Face à ces allégations, Bercy a fini par confirmer, le jeudi 13 août par le biais d'un communiqué, qu'un acteur malveillant avait bel et bien réussi à accéder à son système d'information et à extraire des données concernant des particuliers et des professionnels. Si le pirate affirme avoir dérobé les informations de près de 700 000 personnes, ce qui a été confirmé par l'administration fiscale. Pire : le cybercriminel revendique également une seconde fuite, cette fois concernant les données cadastrales de plus de 2 millions de personnes. Une cellule de crise a été ouverte, tandis que des sénateurs réclament une commission d'enquête.
Piratage DGFiP : des investigations qui sont toujours en cours
Tout a commencé le 12 août, lorsqu'un cybercriminel se faisant appeler ZeroBytes a revendiqué sur un forum spécialisé le piratage de la DGFiP. Selon ses affirmations, il aurait récupéré les données de 678 000 personnes, et plus particulièrement 392 867 comptes de particuliers et 285 570 comptes professionnels. Au début, Bercy se gardait de confirmer ce nombre, indiquant seulement que "des investigations approfondies se poursuivent afin de déterminer précisément les données et le nombre d'usagers concernés". Finalement, la DGFiP a fini par confirmer ses chiffres ainsi que l'essentiel des faits avancés par le pirate.
L'accès frauduleux au système d'information de la DGFiP a eu lieu à la fin du mois de juin 2026, à la suite d'une usurpation d'identité d'une personne disposant d'un accès "au système d'information". Autrement dit, le pirate n'a pas exploité une faille permettant d'entrer librement dans les systèmes informatiques du fisc, mais a utilisé l'identité d'une personne disposant déjà d'un accès au système d'information. L'accès a ensuite été coupé dans le cadre d'un contrôle réalisé par l'administration. La DGFiP reconnaît avoir mis du temps à réagir, car ses contrôles n'avaient pas repéré que l'intrusion s'était doublée d'un vol.
Les éléments dérobées par le pirate font état de données particulièrement sensibles : noms, dates de naissance, adresses, situation familiale, nombre de personnes à charge, mais aussi des informations liées au patrimoine immobilier, comme les identifiants fonciers, le taux de prélèvement à la source et des renseignements sur les biens détenus. Le revenu fiscal de référence et l'historique de certaines demandes adressées aux services fiscaux apparaissent également dans l'échantillon de données mis en avant.
Pire encore, toujours selon French Breaches, une seconde cyberattaque aurait visé le Serveur Professionnel de Données Cadastrales (SPDC) de la DGFiP. ZeroBytes affirme avoir obtenu un accès à ce système, via un contournement de l'authentification multifacteur, puis avoir extrait 252 149 lignes correspondant, selon lui, à 2 041 778 personnes. Cette fois, il s'agirait de données essentiellement cadastrales : noms et prénoms, dates et lieux de naissance, adresses, identifiants fonciers, références de parcelles et association entre les titulaires et les biens. La DGFiP n'a toutefois pas confirmé ces éléments à ce stade.
Dès la publication de la première revendication, la DGFiP a mis en place de nouvelles mesures de restriction, et elle collabore avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et le service du Haut fonctionnaire de défense et de sécurité (SHFDS) des ministères économiques et financiers afin de connaître l'étendue des dégâts. La Commission nationale de l'informatique et des libertés (CNIL) a également été notifiée et une plainte déposée, comme il est de coutume dans cette situation.
Piratage DGFiP : commission d'enquête et cellule interministérielle de crise
Le samedi 15 août, le parquet de Paris a annoncé avoir ouvert une enquête des chefs d'"extraction frauduleuse de données" et d'"association de malfaiteurs" pour déterminer l'origine de cette cyberattaque. De leur côté, les sénateurs socialistes ont demandé la création d'une commission d'enquête dédiée au piratage de masse, dont l'objectif serait de déterminer si ces piratages résultent de failles partagées entre les différents services de l'État. Dans un courrier adressé au président du Sénat Gérard Larcher, ils estiment que cela pourrait permettre de "formuler les propositions législatives, réglementaires, organisationnelles et budgétaires nécessaires pour prévenir la répétition de tels incidents", comme le rapporte BFMTV.
"Les événements intervenus depuis le début de l'année 2026 font apparaître une succession d'incidents qui justifie désormais, me semble-t-il, que le Parlement puisse disposer d'une vision d'ensemble", explique Patrick Kanner, chef de file du groupe socialiste. D'après FrenchBreach, pas moins de 910 sites ont été piraté depuis début 2026, et la France est le deuxième pays au monde à être le plus touché par les cyberattaques. Le but serait de "déterminer si ces événements relèvent de circonstances indépendantes les unes des autres ou s'ils révèlent des vulnérabilités communes".
Cette nouvelle attaque (et potentiellement la deuxième) est d'autant plus préoccupante que ce n'est pas la première fois que la DGFiP est piratée. En effet, en février dernier, un cybercriminel était déjà parvenu à accéder au fichier national des comptes bancaires (FICOBA), qui recense les comptes ouverts en France. Il avait ainsi pu s'emparer des IBAN et des RIB de 1,2 million de personnes, les exposant à des arnaques en tous genres, mais aussi à des prélèvements bancaires frauduleux et à des usurpations d'identité (voir notre article). Notons que le pirate qui a revendiqué les deux attaques de cet été, ZeroBytes, serait également lié aux cyberattaques ayant touché Intermarché, Eva GG et la Fédération française de handball (FFHandball).
Pour répondre à ces questionnements légitimes et gérer au mieux la situation, le Premier ministre doit présider, ce lundi 17 août, une cellule interministérielle de crise (CIC), qui se tiendra en visioconférence sécurisée, à l'issue du déplacement du chef du gouvernement en Gironde. Elle doit aborder les sujet d'"une nouvelle gouvernance numérique de l'État", "des moyens renforcés, avec 200 millions d'euros débloqués pour la cybersécurité interministérielle, l'IA et la sécurisation des ministères", ainsi qu'"une doctrine de protection renforcée".
Piratage DGFiP : comment savoir si vous êtes concernés ?
Reste que la combinaison d'informations dérobées peut se révéler extrêmement dangereuse. Si elles ne permettent pas en soi d'accéder aux comptes impots.gouv.fr, elles peuvent être utilisées par des cybercriminels pour mettre au point des tentatives d'escroquerie particulièrement crédibles. Un fraudeur disposant de renseignements précis sur la situation d'un contribuable pourrait par exemple se faire passer plus facilement pour un organisme public, une banque ou un autre interlocuteur de confiance.
De même, des informations patrimoniales détaillées pourraient également permettre à des escrocs de cibler certaines personnes en fonction de leur situation financière ou de leur patrimoine, voire d'organiser des cambriolages ciblés. En effet, selon l'échantillon présenté par le pirate, certains revenus fiscaux atteignent plusieurs centaines de milliers d'euros. 386 d'entre eux dépasseraient même les 1 million d'euros et 8 les10 millions d'euros…
Les personnes concernées par l'intrusion vont recevoir en début de semaine "une information individuelle précisant les données susceptibles d'avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter". Il n'y a aucune démarche à suivre pour savoir si ses données ont été dérobées lors de la cyberattaque, si ce n'est consulter régulièrement ses mails.
Justement, il faut bien garder en tête qu'aucun outil de vérification en ligne n'existe. Il faut donc se méfier de tout site ou message qui proposerait d'entrer son numéro fiscal pour tester une exposition. L'administration rappelle qu'elle ne demande jamais, par courriel ou SMS, de communiquer un mot de passe, des identifiants de connexion ou un numéro de carte bancaire. Et qu'elle ne donne jamais de lien dans ses messages. D'ailleurs, la seule adresse mail susceptible de contacter les usagers se termine par @dgfip.finances.gouv.fr. Enfin, en cas de doute sur un message reçu, mieux vaut se rendre directement sur impots.gouv.fr plutôt que de cliquer sur un lien.