Cyberattaque à la DGFiP : 678 438 lignes de données fiscales revendiquées

La Direction générale des Finances publiques (DGFiP) a confirmé le 13 août 2026 avoir subi un accès illégitime à son système d'information. Dans un communiqué diffusé par le ministère de l'Économie et des Finances, l'administration indique que cet accès, intervenu fin juin 2026 après une usurpation d'identité, a permis « la consultation et l'extraction de données concernant des particuliers et des professionnels ».

La confirmation officielle est arrivée au lendemain d'une revendication publiée le 12 août sur un forum cybercriminel par un acteur se présentant sous le pseudonyme ZeroBytes, qui affirme détenir 678 438 lignes de données fiscales françaises. La DGFiP précise que l'accès avait été coupé dès la fin juin dans le cadre d'un contrôle opérationnel, et qu'elle a « immédiatement mis en œuvre de nouvelles mesures de restriction permettant d'y mettre fin et de prévenir de nouveaux accès illégitimes ».

Pour les épargnants, l'enjeu porte moins sur les comptes bancaires que sur la qualité des informations exposées. Le fichier revendiqué contiendrait le revenu fiscal de référence et le taux de prélèvement à la source, deux données qui décrivent précisément le niveau de vie d'un foyer et qui alimentent des tentatives de fraude bien plus crédibles que les campagnes génériques.

Le communiqué officiel confirme l'extraction sans la chiffrer

Le communiqué du ministère est volontairement sobre. Il établit trois éléments : l'existence de l'accès illégitime, sa date (fin juin 2026), et le fait que des données ont bien été consultées puis extraites. Au delà de la distinction entre particuliers et professionnels, il n'énumère aucune catégorie précise de données.

Le texte ne fournit pas non plus de volumétrie. La DGFiP indique que « des investigations approfondies se poursuivent afin de déterminer précisément les données et le nombre d'usagers concernés ». Aucune mention n'est faite des mots de passe, des identifiants de connexion ou des coordonnées bancaires, dans un sens comme dans l'autre. Le site Planet, qui a détaillé les recours ouverts aux victimes, relève que « la présence de RIB ou d'IBAN dans cette nouvelle extraction n'est pas établie ».

L'administration annonce quatre suites : une notification à la Commission nationale de l'informatique et des libertés (CNIL), le dépôt d'une plainte, un travail conjoint avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI), et une information individuelle des usagers identifiés, assortie de recommandations de vigilance.

Un fichier revendiqué de 678 438 lignes

L'administration n'a validé aucun décompte. Le chiffre de 678 438 lignes émane de la revendication publiée le 12 août, reprise après analyse d'un échantillon par la plateforme spécialisée FrenchBreaches, qui précise que « l'authenticité, l'origine exacte et l'exhaustivité de l'ensemble des données diffusées n'ont pas été confirmées indépendamment ».

Selon cette analyse, le fichier se répartirait entre 392 867 particuliers et 285 570 professionnels. La structure des revenus décrite est celle qui retient l'attention des spécialistes de la fraude : 26 805 particuliers afficheraient un revenu fiscal de référence égal ou supérieur à 100 000 €, 386 dépasseraient 1 million d'euros et 8 dépasseraient 10 millions d'euros.

Les champs recensés dans l'échantillon comprennent l'état civil complet, les dates et lieux de naissance, les adresses postales, les numéros de téléphone et adresses électroniques, le numéro fiscal, la situation familiale, le nombre de personnes à charge, ainsi que l'historique de certaines demandes adressées aux services fiscaux. Pour les professionnels, des numéros SIREN figureraient également au fichier.

Deuxième intrusion en six mois selon le même mode opératoire

L'épisode fait suite à une compromission antérieure. Entre la fin janvier et le vendredi 13 février 2026, un acteur malveillant a consulté une partie du fichier des comptes bancaires (Ficoba) après avoir usurpé les identifiants d'un fonctionnaire extérieur à la DGFiP, disposant d'un accès dans le cadre des échanges d'information entre ministères. La question parlementaire du député Hadrien Clouet, déposée le 3 mars 2026, évoque « au moins 1,2 million de comptes bancaires ». La réponse ministérielle publiée le 28 avril 2026 ne reprend pas ce chiffre.

Cette réponse contient une précision qui éclaire l'affaire actuelle. Le gouvernement y soutient que la violation « résulte ainsi de l'utilisation du compte d'un agent d'une administration tierce et non pas d'une exploitation de failles » du système. Les deux intrusions reposent sur le détournement d'une identité légitime plutôt que sur une vulnérabilité logicielle.

Le syndicat Solidaires Finances Publiques conteste la portée défensive de cet argument. Dans une prise de position publiée après la révélation d'août, il estime que « la sécurité des systèmes d'information ne peut pas reposer uniquement sur la vigilance des agentes et des agents », et met en cause des « choix politiques qui ont privilégié les nouveaux projets informatiques, au détriment de la sécurisation d'applications historiques », en citant précisément Ficoba. L'organisation ajoute que chaque nouvelle interconnexion entre fichiers crée un risque supplémentaire lorsqu'elle n'est pas accompagnée des garanties correspondantes.

Pourquoi le revenu fiscal de référence intéresse les fraudeurs

Un fichier associant l'identité, la situation familiale, le revenu fiscal de référence et l'historique des échanges avec l'administration permet de construire des messages qui reproduisent fidèlement une procédure fiscale réelle. Le destinataire reconnaît son propre dossier, ce qui désarme les réflexes de méfiance habituels face à un courriel suspect.

Deux scénarios ressortent des analyses publiées depuis le 12 août. Le premier est l'hameçonnage de précision, où le fraudeur se présente comme un agent des impôts et annonce un remboursement ou une régularisation calibrée sur le revenu réel du foyer. Le second est l'usurpation d'identité à des fins d'ouverture de comptes, de souscription de crédits ou de démarches administratives au nom de la victime.

Le segment des hauts revenus est le plus exposé. Les 26 805 foyers déclarant 100 000 € ou davantage constituent une cible identifiée avec son niveau de patrimoine présumé, ce qui alimente les approches de faux conseiller en placement et les tentatives d'extorsion ciblées.

Le précédent France Travail et la sanction encourue

Le cadre de sanction est connu. Le 22 janvier 2026, la CNIL a prononcé une amende de 5 millions d'euros contre France Travail sur le fondement de l'article 32 du règlement général sur la protection des données (RGPD), qui porte sur la sécurité des traitements. La violation sanctionnée, révélée en mars 2024, concernait les données de personnes inscrites ou ayant été inscrites au cours des vingt dernières années, soit jusqu'à 43 millions d'individus.

Les motifs retenus par la CNIL résonnent avec le dossier de la DGFiP. L'autorité a relevé que les procédures d'authentification permettant aux conseillers de Cap emploi d'accéder au système d'information « n'étaient pas suffisamment robustes », que les mesures de journalisation étaient insuffisantes pour détecter des comportements anormaux, et que les habilitations d'accès avaient été définies de façon trop large. Elle a également observé que la plupart des mesures de sécurité appropriées avaient été identifiées par l'organisme sans avoir été effectivement mises en œuvre.

Que faire si vous êtes concerné

La DGFiP s'est engagée à informer individuellement chaque usager identifié, en précisant les données susceptibles d'avoir été consultées ou extraites. Cette notification constitue le point de départ pratique pour les personnes touchées.

• Vérifiez par vous même. Connectez vous directement à impots.gouv.fr et consultez votre messagerie sécurisée plutôt que de suivre un lien reçu par courriel.
• Traitez toute annonce de remboursement comme suspecte. L'administration fiscale ne réclame ni coordonnées bancaires ni identifiants par message.
• Surveillez vos comptes. Un contrôle régulier des opérations permet de repérer rapidement une utilisation frauduleuse.
• Conservez les preuves. Courriels, captures d'écran et numéros d'appel servent en cas de dépôt de plainte, y compris via la plateforme THESEE dédiée aux escroqueries en ligne.
• Distinguez exposition et fraude. En l'absence d'utilisation frauduleuse constatée, une plainte préventive n'est pas requise.

Les investigations de la DGFiP détermineront le périmètre définitif. Tant que ce chiffrage officiel n'est pas publié, la volumétrie revendiquée par l'attaquant reste une allégation non vérifiée, et la vigilance face aux sollicitations se réclamant du fisc constitue la mesure la plus directement utile aux contribuables.

Sources

• Ministère de l'Économie et des Finances, communiqué n° 950 : accès illégitime au système d'information de la DGFiP (13 août 2026)
• Assemblée nationale, question n° 13264 sur le piratage du Ficoba et réponse ministérielle (28 avril 2026)
• CNIL, sanction de 5 millions d'euros contre France Travail (22 janvier 2026)
• Reuters, French taxpayers' data stolen in cyber attack, French Finance Ministry says
• FrenchBreaches, analyse de la revendication visant la DGFiP
• Clubic, piratage DGFiP : plus de 670 000 Français concernés
• Solidaires Finances Publiques, fuite de données à la DGFiP : la sécurité n'est pas une option
• Actu17, cyberattaque visant la DGFiP : les données récupérées
• Planet, fuite à la DGFiP : comment savoir si vous êtes concerné et quels sont vos recours
• Anadolu Agency, cyberattack targets France's public finance system
• Économie Matin, piratage des impôts : 678 000 Français exposés
• KultureGeek, les données fiscales de 678 000 Français exposées
• Univers Simu, cyberattaque des impôts : la DGFiP confirme un vol de données