La Direction générale des Finances publiques (DGFiP) a reconnu, le 13 août 2026, un « accès illégitime » à son système d’information, obtenu fin juin après une usurpation d’identité. L’incident n’a exploité aucune faille logicielle : il a suffi de se faire passer pour un utilisateur autorisé. Au-delà des données fiscales exposées, l’affaire pose une question de fond sur la protection des grands fichiers de l’État.
En bref
- La DGFiP confirme un accès illégitime à son SI, survenu fin juin 2026, par usurpation d’identité — sans exploitation de vulnérabilité ni rançongiciel.
- L’accès a été coupé dès fin juin, mais des données de particuliers et de professionnels avaient déjà été consultées et extraites.
- Le pirate (pseudo ZeroBytes) a revendiqué le 12 août la détention de 678 438 lignes ; une analyse indépendante (FrenchBreaches) y compte 678 437 personnes. La DGFiP n’a pas encore publié son propre décompte.
- Le site impots.gouv.fr et les espaces personnels des usagers n’ont pas été compromis, selon l’administration.
- Suites : excuses de la direction, information individuelle des personnes concernées, saisine de la CNIL, dépôt de plainte et enquête du parquet de Paris.
Un accès obtenu sans faille technique
Le communiqué publié le 13 août 2026 par le ministère de l’Action et des Comptes publics nomme le vecteur en peu de mots : « une usurpation d’identité ». Aucune vulnérabilité corrigée, aucun maliciel, aucun chiffrement de données. Selon l’administration, l’attaquant a obtenu un droit d’entrée qui a été traité comme légitime, en s’appuyant sur les identifiants d’un agent et/ou d’un tiers habilité. C’est le contrôle des accès professionnels qui a cédé, pas le code applicatif.
Pour une direction qui exploite des centaines de produits numériques en production et dont les systèmes concernent, pour la seule fiscalité des particuliers, des dizaines de millions d’usagers, la leçon est structurelle : la surface de risque tient moins à l’inventaire des correctifs qu’à la capacité à distinguer un accès régulier d’un accès frauduleux. L’identité devient la véritable couche de contrôle.
Ce qui a été exposé
D’après l’échantillon analysé par la plateforme de suivi FrenchBreaches, les données du premier ensemble ne se limitent pas à un carnet d’adresses. Pour les particuliers figureraient l’identité, la date et le lieu de naissance, l’adresse d’imposition, la situation familiale et le nombre de parts, ainsi que deux données particulièrement sensibles : le revenu fiscal de référence (RFR) et le taux de prélèvement à la source. Pour les professionnels, les informations (raison sociale, identifiant SIREN, adresse) sont jugées moins sensibles car souvent déjà publiques.
La même analyse évalue à 678 437 le nombre de personnes présentes dans les fichiers, dont 392 867 particuliers et 285 570 professionnels ; 26 805 particuliers y déclareraient un RFR d’au moins 100 000 €, 386 dépasseraient le million et huit les dix millions. Ces chiffres proviennent des fichiers diffusés par l’attaquant, non d’un décompte officiel : la DGFiP, seule en mesure de l’établir, indique que ses investigations se poursuivent.
Une seconde revendication, non confirmée
Le 14 août, le même pseudonyme a revendiqué un accès au serveur professionnel de données cadastrales. FrenchBreaches y relève environ 252 000 enregistrements, correspondant à plus de deux millions de titulaires de droits, quand des décomptes initiaux évoquent de l’ordre de 200 000 comptes. L’attaquant décrit un contournement de l’authentification multifacteur. Ni la méthode, ni le volume, ni le lien avec l’accès reconnu par Bercy ne sont à ce stade confirmés.
La réponse de l’administration
Après la revendication du 12 août, la DGFiP dit avoir immédiatement mis en place de nouvelles mesures de restriction. Ses équipes travaillent avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS) et l’Agence nationale de la sécurité des systèmes d’information (ANSSI). L’administration a présenté ses excuses, annonce l’information individuelle de chaque personne concernée — par courriel ou courrier, en précisant les données susceptibles d’avoir été consultées et les mesures de vigilance à adopter —, la notification à la CNIL et le dépôt d’une plainte. Le parquet de Paris a ouvert une enquête confiée à sa section spécialisée dans la cybercriminalité.
Le vrai risque pour les usagers : l’hameçonnage
La combinaison d’une identité, d’une adresse et d’informations fiscales rend possibles des messages frauduleux bien plus crédibles qu’un courriel générique. Un escroc capable de citer un RFR ou une démarche réellement engagée auprès d’un centre des finances publiques construit un piège convaincant. Par prudence, il faut considérer que tout message « impôts » réclamant un paiement, un remboursement ou la saisie d’identifiants est suspect. L’administration ne demande jamais de coordonnées bancaires par courriel ou SMS ; en cas de doute, on se connecte directement à impots.gouv.fr sans cliquer sur un lien reçu.
FAQ
Mes données ont-elles fuité ?
Seule la DGFiP peut le dire précisément. Elle s’est engagée à contacter individuellement les personnes concernées à partir de la semaine du 18 août 2026. Tant que ce contact n’a pas eu lieu, on ne peut pas conclure à titre individuel à partir des seuls chiffres revendiqués.
Que risque-t-on concrètement ?
Le principal risque est l’hameçonnage ciblé et l’usurpation d’identité : des escrocs pourraient utiliser les données exposées (identité, adresse, éléments fiscaux) pour rendre leurs arnaques crédibles. Il n’y a pas de compromission signalée des comptes bancaires via cet incident.
Que faire pour se protéger ?
Se méfier de tout message « impôts » non sollicité, ne jamais cliquer sur un lien ni communiquer de coordonnées bancaires, se connecter uniquement en tapant l’adresse officielle, activer l’authentification renforcée quand elle est proposée et surveiller ses comptes. Conserver le courrier d’information de la DGFiP s’il arrive.
Le site impots.gouv.fr est-il touché ?
Selon l’administration, non : le site impots.gouv.fr et les espaces personnels des usagers n’ont pas été compromis. L’accès frauduleux a visé un outil interne via une usurpation d’identité côté accès professionnels.
Par Patrick Lancier