Cyberattaque DGFiP : 678 000 usagers touchés

Rubrique: Technologie & IA
Format: Rapport spécial
Auteur: Sinisa Brkic (sb)

La cyberattaque contre la Direction générale des finances publiques prend une dimension nettement plus grave. Le ministère français des Finances confirme désormais que des données concernant 678 000 particuliers et professionnels ont été consultées et extraites, parmi lesquelles des informations fiscales particulièrement sensibles. Les comptes personnels sur les services fiscaux et les mots de passe des contribuables ne sont pas annoncés comme compromis, mais la nature des informations dérobées crée un risque sérieux de fraude ciblée et d’usurpation.

Une attaque désormais officiellement chiffrée

Ce qui relevait encore, il y a quelques jours, d’une revendication criminelle dont l’ampleur restait incertaine est désormais en partie établi par les autorités françaises. Dans un communiqué daté du 14 août 2026, le ministère de l’Économie et des Finances indique que les investigations ont permis de déterminer que des accès frauduleux au système d’information de la DGFiP avaient servi à consulter et à extraire des données concernant au total 678 000 particuliers et professionnels.

Les intrusions remontent aux mois de juin et juillet. Selon Bercy, elles reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers disposant d’une habilitation. Les comptes utilisés lors des incidents ont été bloqués lorsque les accès anormaux ont été détectés, mais les contrôles réalisés à ce moment n’avaient pas permis d’identifier le vol de données lui-même. Le ministère invoque la sophistication de l’attaque.

Des informations fiscales particulièrement sensibles ont été extraites

La nature des données concernées donne à cette affaire une portée qui dépasse largement un incident informatique ordinaire. L’administration confirme notamment l’accès à des informations telles que le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Pour les entreprises, des éléments comme la raison sociale et le numéro SIREN figurent parmi les données concernées. Des informations cadastrales, notamment les adresses et les surfaces de biens immobiliers, ont également été consultées.

Une partie du contenu avait déjà été documentée avant cette confirmation officielle. Un échantillon des données proposées par le pirate et examiné par Le Monde comportait notamment des informations d’état civil, des adresses résidentielles, des numéros de téléphone privés, des données relatives aux revenus et à l’imposition ainsi que des éléments concernant la composition des foyers. Le fichier mis en vente comprenait un peu plus de 600 000 entrées, ce qui apparaît désormais cohérent avec le chiffre de 678 000 personnes et professionnels annoncé par le ministère.

Les mots de passe des contribuables ne sont pas annoncés comme compromis

Une distinction essentielle s’impose. La DGFiP affirme que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis. Elle indique également que les identifiants et les mots de passe utilisés par les contribuables pour accéder à leurs services fiscaux n’ont pas été dérobés lors de cette attaque.

Cela signifie qu’il serait imprécis de présenter l’affaire comme un piratage généralisé des comptes personnels sur impots.gouv.fr. L’attaque concerne le système d’information de la DGFiP et des accès internes ou habilités détournés, avec consultation et extraction de données administratives. Pour les usagers, cette nuance est importante puisqu’elle modifie à la fois la nature du risque et les mesures immédiates à prendre.

Les coordonnées bancaires ne sont pas confirmées dans cette fuite

À ce stade, le ministère ne mentionne pas le vol de coordonnées bancaires, de RIB ou d’IBAN dans le cadre de l’attaque révélée en août. Il serait donc prématuré d’affirmer que les données bancaires des 678 000 personnes concernées ont été compromises. Les investigations se poursuivent encore afin d’établir précisément la nature et le volume de l’ensemble des informations extraites.

Une confusion est d’autant plus possible que la DGFiP avait déjà été confrontée à un autre incident majeur au début de l’année. En février 2026, des accès illégitimes au fichier national des comptes bancaires FICOBA avaient effectivement exposé des informations comprenant des RIB et des IBAN, ainsi que l’identité et l’adresse de titulaires de comptes. Cet épisode concernait environ 1,2 million de comptes et constitue un incident distinct de l’attaque actuellement examinée.

Le danger immédiat pourrait venir du phishing ciblé

L’absence de mots de passe volés ne rend pas les données dérobées inoffensives. Au contraire, la combinaison d’un nom, d’une adresse, d’un numéro de téléphone et d’informations fiscales précises permet de construire des tentatives d’escroquerie beaucoup plus crédibles que les campagnes de phishing traditionnelles. Un fraudeur disposant de ces éléments peut se présenter comme un agent fiscal, une banque ou un autre service administratif en citant des informations suffisamment précises pour inspirer confiance à sa victime.

Le risque concerne notamment les faux messages réclamant une régularisation fiscale, les appels prétendument émis par l’administration, les tentatives d’obtenir des coordonnées bancaires supplémentaires ou des codes de sécurité et, dans certains cas, l’usurpation d’identité. Les autorités françaises spécialisées en cybersécurité rappellent régulièrement qu’après une fuite de données personnelles, la vigilance doit se poursuivre dans la durée, les informations dérobées pouvant être réutilisées bien après leur première diffusion.

La présence du revenu fiscal de référence et du taux d’imposition ajoute une dimension particulièrement sensible. Ces données permettent potentiellement à des criminels de mieux estimer la situation financière d’une personne et donc de sélectionner leurs cibles avec davantage de précision. Le risque n’est plus seulement celui d’un message frauduleux générique, mais celui d’une ingénierie sociale construite à partir d’informations fiscales réelles.

Comment savoir si ses propres données ont été volées

Les 678 000 personnes et professionnels concernés doivent être informés directement par la DGFiP. L’administration a annoncé qu’elle commencerait à prendre contact avec chacun d’entre eux à partir de la semaine suivant le communiqué du 14 août, par courrier électronique ou par courrier postal. Cette notification doit préciser les catégories de données susceptibles d’avoir été consultées ou extraites ainsi que, lorsque cela est nécessaire, les précautions particulières à adopter.

Pour les contribuables qui n’ont pas encore reçu de message, l’absence de notification immédiate ne permet donc pas de conclure qu’ils ne sont pas concernés. L’opération d’information individuelle doit encore être déployée. La CNIL rappelle par ailleurs que, lorsqu’une violation présente un risque élevé pour les personnes, celles-ci doivent en principe être informées directement afin de pouvoir prendre les mesures nécessaires pour se protéger.

Aucun mot de passe fiscal ne devrait être communiqué à la suite d’un message

La publication de cette affaire ouvre également une période particulièrement favorable aux escroqueries opportunistes. Des fraudeurs n’ayant aucun lien avec l’auteur de l’attaque peuvent utiliser la médiatisation de la fuite pour envoyer de faux messages prétendant vérifier si un contribuable figure parmi les victimes. Toute demande d’identifiant fiscal, de mot de passe, de numéro de carte bancaire ou de code d’authentification doit donc être considérée avec une extrême prudence.

La DGFiP avait déjà rappelé lors du précédent incident FICOBA que l’administration fiscale ne demande jamais aux contribuables de transmettre leurs identifiants ou leur numéro de carte bancaire par message. En cas de doute, la vérification doit se faire directement depuis l’espace fiscal sécurisé ou par l’intermédiaire des coordonnées officielles du service des impôts, et non en utilisant un lien ou un numéro communiqué dans un message reçu.

La CNIL saisie, l’ANSSI associée aux investigations

La DGFiP indique avoir saisi la Commission nationale de l’informatique et des libertés dès l’identification du vol de données. Les équipes techniques travaillent également avec les services de sécurité du ministère et avec l’Agence nationale de la sécurité des systèmes d’information. Des restrictions supplémentaires ont été appliquées sur certains accès aux systèmes sensibles tandis que les investigations se poursuivent.

Cette procédure devra déterminer non seulement ce qui a été techniquement accessible, mais ce qui a réellement été extrait. La distinction est décisive sur le plan juridique comme sur celui de l’information du public. Le chiffre de 678 000 constitue désormais un périmètre officiellement identifié, mais le ministère précise lui-même que les travaux continuent afin d’établir avec exactitude le volume des données volées et le nombre définitif d’usagers concernés.

Les affirmations du pirate restent à traiter avec prudence

L’auteur revendiqué de l’attaque a avancé des chiffres beaucoup plus importants, évoquant un accès potentiel à des informations concernant des dizaines de millions de personnes. Rien ne permet toutefois, à ce stade, de transformer cette affirmation en nombre confirmé de victimes. Les autorités françaises n’ont pas validé une compromission de cette ampleur.

Cette différence est fondamentale. Avoir techniquement accès à un système contenant un très grand nombre de dossiers ne signifie pas nécessairement que tous ces dossiers ont été consultés, copiés ou exfiltrés. En matière de fuite de données, la communication criminelle fait elle-même partie de l’opération et peut chercher à accroître la valeur marchande du fichier ou l’impact médiatique de l’attaque.

Pour l’État, une question qui dépasse les 678 000 victimes

Cette cyberattaque intervient quelques mois seulement après l’affaire FICOBA et renforce une interrogation déjà sensible sur la protection des informations détenues par l’administration française. Les données fiscales figurent parmi les informations personnelles les plus délicates confiées à l’État. Elles renseignent sur les revenus, la composition du foyer, le patrimoine immobilier et, selon les bases concernées, potentiellement sur de nombreux autres aspects de la vie financière.

Le problème ne se mesure donc pas uniquement au nombre de personnes touchées. Il concerne aussi la capacité de l’administration à détecter l’exfiltration de données lorsqu’un accès frauduleux a déjà été identifié et interrompu. Dans le cas présent, la DGFiP avait réussi à couper les accès utilisés par l’attaquant, sans constater immédiatement que des informations avaient déjà été volées. C’est précisément cet écart entre détection de l’intrusion et identification de la fuite qui devra désormais être expliqué.

La priorité, pour les contribuables concernés, sera désormais de connaître avec précision les informations associées à leur propre dossier qui ont été exposées. Pour l’administration, l’enjeu est plus large : établir comment des identifiants habilités ont pu être détournés, mesurer l’ensemble des accès réalisés et démontrer que les mécanismes mis en place depuis l’incident empêchent une répétition du même scénario. Tant que ces réponses ne seront pas apportées, le chiffre de 678 000 marquera une étape importante de l’enquête, mais pas nécessairement son bilan définitif.