Accès illégitimes (= PIRATAGE) aux fichiers DGFIP de 678 000 personnes !

La DGFIP vient de confirmer que trois piratages massifs de son système d’information avaient eu lieu en juin, juillet et août 2026, après que le pirate avait revendiqué son « exploit » les 12 et13 août. Aucun compte fiscal personnel n’a été percé et aucun mot de passe n’a été récupéré, dit-elle.

Le 18 août 2026, la Direction générale des Finances publiques à Paris (située dans le bâtiment du ministère de l’Economie et des Finances baptisé  »Bercy » depuis son inaugration en 1989) a reconnu officiellement que son système d’information et ses fichiers avaient été piratés à trois reprises cet été : 678.000 comptes touchés fin juin, jusqu’à 1,8 million de comptes pour les données cadastrales fin juillet et récemment une faille plus limitée pour les successions vacantes. Dans les trois cas, la DGFiP assure qu’aucun compte fiscal personnel n’a été percé et qu’aucun mot de passe n’a été récupéré. Mais Me Martin Lacour, avocat-négociateur au barreau de Paris, explique ci-après pourquoi cette affaire est grave : contrairement à un mot de passe ou un numéro de carte bancaire, qui se changent en cas de compromission, l’essentiel des données volées (un nom, une date de naissance, un niveau de revenu fiscal) est immuable et ne peut être réinitialisé. Même prévenues, et parfois tardivement comme dans ces trois attaques, les victimes devront toujours se méfier car ces informations resteront exploitables indéfiniment pour construire des arnaques toujours plus crédibles.

1. Piratage DGFiP : ce qui s’est vraiment passé

Ce n’est pas le premier accroc de l’année pour Bercy. En février 2026 déjà, le fichier national des comptes bancaires FICOBA avait exposé 1,2 million de comptes après des identifiants d’agent détournés. L’épisode d’août commence différemment : fin juin 2026, un individu obtient un accès via le compte d’un agent puis d’un tiers habilité, et se met à extraire des données. Un contrôle interne coupe cet accès dès fin juin, mais rien n’alerte l’administration sur le moment — l’intrusion reste invisible jusqu’à ce que le pirate, qui se fait appeler ZeroBytes, revendique son butin sur un forum cybercriminel le 12 août. Bercy confirme l’accès illégitime dès le lendemain. Le 14 août, la directrice générale des finances publiques, Amélie Verdier, précise le mode opératoire : pas de requêtage massif par robots, pas d’atypie détectable dans les volumes consultés. Le 16 août, Matignon annonce que Sébastien Lecornu présidera, dès le lendemain, une cellule interministérielle de crise en visioconférence sécurisée pour préparer l’information des victimes.

La DGFiP qualifie elle-même cette attaque de plus sophistiquée que les précédentes : elle a précisément évité les requêtes massives, plus faciles à repérer. Après la découverte, l’administration a saisi la CNIL et renforcé la sécurité de plusieurs systèmes sensibles, et le parquet de Paris a ouvert une enquête confiée à l’Office anti-cybercriminalité (Ofac) pour extraction frauduleuse de données et association de malfaiteurs. Le plan de sécurisation numérique de l’État, lancé le 30 avril 2026, prévoit la création, avant le 1ᵉʳ janvier 2027, d’une nouvelle autorité baptisée Ariane et directement rattachée à Matignon, avec 200 millions d’euros mobilisés et un objectif de 5 % du budget numérique de chaque ministère consacré au cyber dès 2027. Un audit de la sécurisation des systèmes de la DGFiP, demandé par Sébastien Lecornu et suivi par le ministre chargé des Comptes publics, David Amiel, doit livrer ses préconisations opérationnelles en septembre.

Le 18 août, changement d’échelle : la DGFiP confirme que la compromission du Serveur Professionnel de Données Cadastrales (SPDC), revendiquée le 13 août par ZeroBytes pour une intrusion datée du 29 juillet, concerne en réalité jusqu’à 1,8 million de comptes — bien plus que les 678 000 du premier volet. Le même jour, l’administration reconnaît une troisième faille, cette fois sur le portail des successions vacantes, qui permettait d’accéder à certaines données sans authentification préalable ; la vulnérabilité a été corrigée et l’incident présenté comme sans commune mesure avec les deux précédents. David Amiel a présenté ses excuses aux personnes concernées, tandis qu’Amélie Verdier a précisé qu’aucun des trois incidents n’a permis d’entrer dans un compte fiscal ni de récupérer un mot de passe, et qu’un nombre significatif de doublons pourrait exister entre les listes de victimes. Plusieurs médias spécialisés en cybersécurité appellent, de leur côté, à une commission d’enquête parlementaire sur l’état de la sécurité informatique des administrations publiques ; l’entrepreneur Tariq Krim, cofondateur de Netvibes, est allé plus loin dans une tribune publiée le 19 août, estimant que l’exécutif avait donné la priorité à la gestion des feux de forêt de l’été sur celle de cette vague de piratages, et plaidant pour un plan structuré de cyberdéfense nationale plutôt qu’une réponse au coup par coup.

Face à cette accumulation, Bercy a détaillé sa réponse le 18 août : généralisation de l’authentification forte à l’ensemble des agents d’ici la fin de l’année, quotas d’accès aux données, capteurs de détection sur tous les systèmes qui en sont encore dépourvus, programme de bug bounty et renforcement des formations à la cybersécurité. À noter aussi, hors DGFiP mais revendiqué par le même ZeroBytes : une fuite visant le ministère de l’Éducation nationale, annoncée à hauteur de plusieurs centaines de millions de lignes. Le ministère confirme un incident et poursuit ses investigations, sans avoir validé à ce stade l’ampleur exacte avancée par l’attaquant.

2. Fuite des données impôts : quelles données fiscales ont été volées ?

Le premier volet (678 000 comptes, fin juin) est le mieux documenté : la DGFiP l’a détaillé dans son courriel officiel aux victimes. Pour les particuliers, sont concernés l’identifiant fiscal, l’état civil complet (nom de naissance, nom d’usage, prénoms, date et lieu de naissance), les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et l’historique des échanges avec la DGFiP par messagerie sécurisée. Pour les entreprises, la fuite se limite au numéro SIREN et à l’adresse de l’entreprise ou de son mandataire. Dans tous les cas, ni les espaces personnels impots.gouv.fr ni les mots de passe n’ont été compromis, et le pirate n’a pas eu accès aux comptes eux-mêmes.

Les deux compromissions révélées le 18 août portent sur des données différentes, qu’il ne faut pas confondre avec le premier volet. Le volet cadastral (jusqu’à 1,8 million de comptes) expose noms, prénoms, dates et lieux de naissance, adresses, identifiants fonciers et références de parcelles — de quoi savoir qui possède quoi, et où. Le volet successions vacantes, de portée encore inconnue à ce stade, concerne des identités, des adresses postales et électroniques, des dates et lieux de décès, des situations matrimoniales et des informations liées au patrimoine successoral. Pourquoi ces données précises inquiètent : le revenu fiscal de référence conditionne l’éligibilité au LEP et sert à vérifier votre situation pour l’épargne réglementée comme le Livret A, tandis que les données cadastrales et successorales permettent de cibler un message sur un bien précis ou un décès récent. Un repère à garder en tête, valable pour les trois incidents : la DGFiP ne demande jamais l’enregistrement ou la modification d’un IBAN par téléphone.

[Selon le communiqué de presse publié par la DGFIP le 14 août 2026, « les équipes de la DGFiP en charge des systèmes d’information sont mobilisées en lien avec les services des ministères économiques et financiers, notamment le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). La DGFiP prendra directement contact dès la semaine prochaine avec chacun des particuliers et professionnels concernés. Ils recevront une information individuelle par courriel ou courrier précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. » Voir en pièce jointe de l’article un spécimen des courriels que la DGFIP enverra aux victimes à partir du 17 août 2026.]

3. Cyberattaque impôts : pourquoi les 6 972 attaques déjouées par la DGFiP en 2025 n’ont pas suffi

Une attaque « low-and-slow » avance délibérément lentement, par petites requêtes espacées, pour rester sous les seuils qui déclenchent une alerte. C’est précisément le scénario retenu ici : la DGFiP dit avoir déjoué 6 972 attaques en 2025, mais sa surveillance reste calibrée pour repérer le volume, les pics, les requêtages massifs — pas la discrétion. En évitant tout ce qui aurait pu ressembler à une atypie, l’attaquant est passé sous le radar pendant plusieurs semaines.

Le maillon faible se situe du côté de l’accès : un compte de tiers habilité, ouvert via un VPN classique plutôt qu’un accès réseau plus cloisonné. Ce n’est pas une nouveauté pour les administrations — l’IRSN avait déjà dû couper ses VPN en janvier 2024 après un vol d’identifiants similaire. L’ANSSI recommande depuis un durcissement des systèmes critiques et une détection active via EDR et SIEM ; la doctrine actuelle va plus loin encore, en poussant à remplacer le VPN par une architecture ZTNA avec authentification multifacteur — ce que la directive européenne NIS2 est censée imposer aux entités essentielles, dont les administrations publiques. Reste que la France n’a toujours pas transposé ce texte en droit interne : la loi Résilience qui doit le faire est bloquée au Parlement depuis septembre 2025, et Bruxelles a saisi la CJUE contre la France le 8 juillet 2026 pour ce retard. Difficile d’affirmer qu’une transposition plus rapide aurait empêché le piratage de la DGFiP, mais l’affaire relance la pression pour que le texte soit enfin examiné, en principe à la rentrée de septembre. 2026.

4. Vos droits après le piratage DGFiP : RGPD, CNIL, tribunal administratif

Premier réflexe utile : ne comptez pas sur la CNIL pour vous dire, individuellement, si vous êtes concerné — elle n’a pas cette information. C’est à la DGFiP qu’il faut s’adresser, via la messagerie sécurisée de votre espace, en invoquant le droit d’accès de l’article 15 du Règlement général sur la protection des données (RGPD). Vous pouvez également déposer une réclamation sur cnil.fr, mais gardez à l’esprit que la CNIL ne vous indemnisera pas : pour obtenir réparation, il faut saisir les tribunaux. Point à noter au passage : plusieurs spécialistes du RGPD relèvent que le communiqué du 13 août évoque une notification à la CNIL au futur (« notifiera »), alors que l’article 33 impose en principe d’agir dans les 72 heures suivant la prise de connaissance d’une violation — une question de conformité qui concerne la DGFiP elle-même, indépendamment de vos propres démarches.

C’est l’article 82 du RGPD qui ouvre ce droit à réparation, pour toute personne ayant subi un dommage matériel ou moral. La Cour de justice de l’Union européenne a précisé sa portée à plusieurs reprises : dans l’affaire C-300/21, elle a jugé qu’aucun seuil de gravité minimal n’est exigé ; dans l’affaire C-456/22, qu’une perte de contrôle sur ses données, même brève, peut à elle seule constituer un dommage réparable ; l’affaire C-741/21 s’appuie sur le même raisonnement, le considérant 85 du RGPD citant explicitement la perte de contrôle parmi les préjudices possibles. En pratique, les tribunaux administratifs français accordent le plus souvent entre 500 et 1 500 euros par dirigeant pour une simple perte de contrôle, et jusqu’à 3 000 euros lorsqu’un hameçonnage ciblé est prouvé. Vous disposez de quatre ans pour agir devant le tribunal administratif, soit jusqu’au 31 décembre 2030. Pour la plainte pénale, en revanche, pas de démarche en ligne possible : il faut vous déplacer au commissariat ou à la gendarmerie.

Délai critique : en cas de fraude avérée exploitant ces données, déposez plainte dans un délai de 72 heures maximum après en avoir eu connaissance, pour conserver le bénéfice de votre assurance cyber — obligation issue de l’article L12-10-1 du code des assurances, créé par la LOPMI du 24 janvier 2023. Passé ce délai, l’indemnisation peut vous être refusée.

5. Ce qu’un pirate peut concrètement faire de ces données

Au-delà du hameçonnage classique, les données volées ouvrent plusieurs scénarios de fraude déjà bien identifiés par les spécialistes du secteur.

Souscription de prêts frauduleux. En usurpant votre identité et en s’appuyant sur vos revenus déclarés, un escroc peut tenter d’ouvrir un crédit à votre nom. Cela suppose généralement de disposer aussi d’un IBAN — une donnée qui, elle, avait fuité via FICOBA dès février. La combinaison des deux fuites augmente le risque pour les personnes concernées par les deux incidents.

Arnaques ciblées, par courriel, texto ou téléphone. C’est le scénario le plus fréquent : la fraude au fournisseur, présente dans 39 % des tentatives, et la fraude au président, dans 28 % des cas, prennent presque toujours la forme d’une demande de changement de RIB. Avec le revenu fiscal de référence, le taux de prélèvement à la source et le nom d’un agent réel de la DGFiP, un message frauduleux devient redoutablement crédible : « suite à un contrôle de votre RFR, une régularisation d’impôt est due, merci de mettre à jour votre RIB pour percevoir le remboursement sur votre Livret A ». Le coût moyen d’une fraude au président réussie avoisine 140 000 euros pour une PME, avec un taux de recouvrement qui ne dépasse pas 12 %.

Ouverture de comptes bancaires à votre nom. État civil complet, adresse et coordonnées suffisent souvent à monter un dossier d’ouverture de compte convaincant auprès d’un établissement peu regardant sur les justificatifs.

Risques physiques pour les foyers les plus aisés. Le revenu fiscal de référence (RFR) permet, par recoupement, d’identifier des foyers à hauts revenus : selon une analyse indépendante de l’échantillon revendiqué, environ 27.000 particuliers concernés déclareraient un RFR supérieur à 100 000 euros, une poignée dépassant le million. Croisée avec une adresse, cette information nourrit un risque de ciblage — cambriolage notamment — que plusieurs spécialistes en sécurité appellent à prendre au sérieux, même si aucun cas concret n’a, à ce stade, été rapporté publiquement. […]

Auteur : Me Martin LACOUR.

Choix de l’article et des illustrations : Jocelyne Chassard

Source : https://www.lacour-avocat.fr/piratage-dgfip-2026/

Communiqué de presse DGFIP : https://presse.economie.gouv.fr/acces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques/

impots.gouv.fr : https://www.impots.gouv.fr/actualite/acces-illegitimes-au-systeme-dinformation-de-la-dgfip