Piratage des impôts : aucun mot de passe n'a fuité, et c'est bien le problème

Sept semaines avant que le fisc découvre le vol

L'intrusion remonte à fin juin 2026. À ce moment-là, la Direction générale des Finances publiques la repère et coupe les accès concernés. Mais elle ne voit pas que des données sont déjà parties. Il faudra attendre le 12 août pour que l'administration comprenne qu'il y a eu exfiltration, le jour où un pirate se présentant sous le pseudonyme ZeroBytes met un fichier en vente sur un forum du dark web.

La suite s'enchaîne vite. Bercy confirme l'accès illégitime le 13 août. Le communiqué officiel du 14 août chiffre l'affaire à 678 000 particuliers et professionnels. Le 17 août, une cellule interministérielle de crise se réunit et les premiers courriels partent vers les victimes. Entre l'intrusion et le moment où les personnes concernées ont été prévenues, il s'est écoulé près de sept semaines.

Un identifiant d'agent a suffi, puis le multifacteur a été contourné

Il n'y a pas eu de prouesse technique. Le communiqué officiel parle d'usurpations d'identifiants d'un agent de la DGFiP et d'un tiers habilité. En clair, l'attaquant s'est connecté à un accès VPN réservé aux agents, puis a utilisé un outil interne permettant de faire des recherches sur les contribuables. Il consultait des dossiers exactement comme l'aurait fait un employé, ce qui explique aussi pourquoi rien n'a sonné l'alarme.

Une seconde intrusion, le 29 juillet, a visé le serveur professionnel de données cadastrales. Là, une authentification à plusieurs facteurs existait bien, mais elle a été contournée. Une troisième fuite, de moindre ampleur, sur le portail des successions vacantes, a été découverte le 17 août et corrigée dans la foulée : elle donnait accès à certaines données sans même avoir à s'authentifier.

Ce qui a fuité ne se change pas, contrairement à un mot de passe

Pour les particuliers, le communiqué cite le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Les échantillons diffusés par l'attaquant y ajoutent l'état civil, l'adresse, la situation familiale et le nombre de parts. Pour les entreprises, la raison sociale et le SIREN. Le volet cadastral, lui, expose des adresses de biens immobiliers et leurs surfaces.

En revanche, aucun mot de passe, aucun identifiant de connexion, aucune coordonnée bancaire. Les espaces personnels et professionnels d'impots.gouv.fr n'ont pas été compromis, l'administration est catégorique sur ce point. C'est rassurant d'un côté, gênant de l'autre. Un mot de passe se remplace en trente secondes. Une date de naissance, une adresse, un revenu déclaré, non. Ces informations resteront exactes pendant des années.

Le vrai courriel des impôts ne contient aucun lien

Le risque concret, c'est l'hameçonnage sur mesure. Un escroc qui connaît votre revenu fiscal de référence, votre nombre de parts et votre adresse rédige un message autrement plus crédible qu'un spam générique. Le problème est même plus profond : ces informations servaient justement, jusqu'ici, à prouver qu'on avait bien affaire au fisc. Elles ne prouvent plus rien.

D'où un repère simple. Le courriel officiel, dont l'objet est « Consultation illégitime de vos informations fiscales », part de l'adresse no-reply@dgfip.finances.gouv.fr, ne contient aucun lien cliquable et ne réclame aucune information. La directrice générale des Finances publiques l'a résumé ainsi lors d'un point presse : « Il n'y a rien à faire, il n'y a rien à cliquer. » Des imitations de ce message circulent déjà, elles renvoient vers de faux sites qui collectent des coordonnées bancaires.

678 438 lignes, environ 600 000 personnes : ce que disent vraiment les chiffres

Les décomptes qui circulent semblent se contredire, ils ne font que compter deux choses différentes. Le fichier revendiqué par le pirate contient 678 438 lignes, dont 392 867 pour des particuliers et 285 570 pour des professionnels. La DGFiP, elle, retient environ 350 000 particuliers et 250 000 professionnels, soit à peu près 600 000 personnes. L'explication a été donnée le 18 août : le fichier brut comporte des doublons, et une même personne peut figurer sur les deux listes. Des lignes ne sont pas des individus.

Le volet cadastral, lui, a été revu à la hausse. Estimée d'abord à 200 000 comptes, la compromission du serveur professionnel de données cadastrales a été réévaluée le 18 août à 1,8 million de comptes, un ordre de grandeur qui se rapproche des 2 041 778 titulaires que ZeroBytes revendique à partir de 252 149 lignes. C'est donc la seconde intrusion, longtemps présentée comme secondaire, qui touche le plus de monde.

Côté syndical, la colère vise moins l'attaque que le délai de détection. Solidaires Finances publiques dénonce « l'ancienneté de certaines briques » du système d'information et affirme avoir alerté la direction générale dès le mois de juin, par un courrier au directeur général faisant suite à des incidents sur la messagerie Tchap et sur France Services. « Pourquoi les cybercriminels arrivent-ils à avoir le temps d'extraire autant de données sans être rapidement découverts ? », interroge le syndicat. Le ministre David Amiel a présenté les excuses de l'État et reconnu que « nos systèmes d'information ont des faiblesses ». Le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs, confiée à l'office anti-cybercriminalité.

Ce que nous ne pouvons pas vérifier

La façon exacte dont les identifiants de l'agent et du tiers habilité ont été obtenus n'est pas publique, pas plus que la méthode de contournement de l'authentification à plusieurs facteurs sur le serveur cadastral. Le lien de cause à effet entre l'alerte syndicale de juin et l'intrusion de fin juin n'est pas démontré, il est affirmé par le syndicat.

Une précision utile, enfin, pour éviter une confusion très répandue : une autre fuite à la DGFiP, sans rapport avec celle-ci, avait touché le fichier des comptes bancaires Ficoba en février 2026. Plusieurs pages qui remontent aujourd'hui dans les moteurs de recherche mélangent les deux affaires.

Sources : Communiqué de presse officiel du m… ↗ · impots.gouv.fr ↗ · Silicon.fr ↗ · Clubic ↗ · Acteurs Publics ↗ · MoneyVox ↗ · ToutSurMesFinances ↗ · Journal du Geek ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.