Pendant près de sept semaines, un pirate informatique a navigué dans les systèmes internes de la Direction générale des finances publiques avant que l'affaire n'éclate au grand jour. Derrière 678 438 dossiers potentiellement exposés, un schéma qui dépasse largement la DGFiP.
Le 12 août 2026, un cybercriminel revendique sur un forum pirate une intrusion qu'il dit avoir conduite dix-sept jours plus tôt dans les serveurs des impôts. La DGFiP confirme dans les vingt-quatre heures, mais sans chiffrer les dégâts. Le silence de l'administration entre la fin juin et la mi-août n'est pas une anomalie - c'est le révélateur d'une méthode. Dans un pays où les attaques contre l'État se sont multipliées depuis début 2026, l'affaire des finances publiques est moins une surprise qu'un aveu.
L'intrusion n'avait, selon le pirate, rien de spectaculaire dans sa méthode. L'attaquant affirme avoir compromis des serveurs internes avant de récupérer un accès VPN. Cet accès lui aurait permis d'utiliser un outil interne de la DGFiP capable de rechercher des informations sur des particuliers et des professionnels. Une fois à l'intérieur, il a automatisé l'extraction, ligne après ligne, jusqu'à ce que la connexion soit coupée.
Un cybercriminel revendique depuis le 12 août 2026 avoir extrait les données fiscales de 678 438 contribuables français lors d'une intrusion datant du 26 juin 2026. Ce délai de quarante-sept jours entre la date de l'intrusion revendiquée et la publication sur le forum criminel constitue le premier signal d'une gestion opaque.
Ce que le pirate dit avoir pris
L'attaquant prétend avoir extrait 678 438 lignes de données, réparties entre 392 867 particuliers et 285 570 professionnels. Ces chiffres méritent une lecture précise - les auteurs annoncent 678 438 lignes et indiquent mettre en vente cette base partielle, mais ce chiffre ne correspond pas nécessairement à 678 438 contribuables uniques, plusieurs enregistrements pouvant être associés à une même personne ou à différentes demandes administratives.
La composition des données revendiquées est, en elle-même, troublante par ce qu'elle révèle du niveau d'accès obtenu. Selon ZATAZ, chaque dossier compromis contiendrait nom, prénoms, date et lieu de naissance, adresse complète, numéro de téléphone, email, revenu fiscal de référence, taux de prélèvement à la source, situation familiale et nombre de personnes à charge.
Les données observées ne se limiteraient pas aux informations présentes dans le dossier fiscal. Certains enregistrements comporteraient un historique de demandes adressées à l'administration fiscale, avec notamment le nom de la personne ayant suivi le dossier.
La strate la plus sensible concerne les revenus. Parmi les particuliers, 26 805 auraient un revenu fiscal de référence de 100 000 euros ou plus, 386 dépasseraient un million d'euros et 8 dépasseraient dix millions d'euros. Ces profils à hauts revenus constituent des cibles privilégiées pour des opérations d'ingénierie sociale de haute précision.
La confirmation qui arrive vingt-quatre heures trop tard
Le 12 août, le site spécialisé FrenchBreaches a révélé l'affaire après avoir consulté les échantillons publiés sur le forum criminel. Moins de vingt-quatre heures plus tard, l'administration fiscale a pris la parole.
Le ministère de l'Action et des Comptes a confirmé qu'un acteur malveillant avait revendiqué un accès illégitime au système d'information de la DGFiP, intervenu fin juin 2026 après une usurpation d'identité, et que les premières investigations confirment que cet accès, qui avait été coupé fin juin dans le cadre du contrôle opéré, a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels.
Ce communiqué appelle une lecture entre les lignes. La DGFiP dit avoir coupé l'accès « fin juin dans le cadre du contrôle opéré » - formulation qui suggère une détection avant la revendication publique. Mais alors, pourquoi aucune notification n'a-t-elle été adressée aux contribuables concernés ni à la CNIL pendant sept semaines ? Le RGPD prévoit pourtant, selon le niveau de risque présenté par une violation, des obligations de notification à la CNIL et, lorsqu'un risque élevé existe, d'information des personnes concernées.
Ni la DGFiP ni le ministère de l'Action et des Comptes n'évoquent le nombre de données volées. Le chiffre de 678 438 dossiers reste donc exclusivement issu de la revendication criminelle, sans validation officielle à ce stade.
La crédibilité du pirate, un problème en soi
Avant de mesurer le préjudice, il faut mesurer la source. Le cybercriminel, dont le compte a été créé en juillet 2026 avec une réputation de plus de 100 points sur le forum, a déjà été associé à plusieurs fuites impliquant des entités françaises comme Intermarché, la Fédération française de handball, Bureau Vallée, SFR et Accor. Ce palmarès récent confère à ses allégations un poids que l'administration fiscale ne peut pas balayer d'un revers de main.
Selon FrenchBreaches, qui a révélé l'affaire, l'extraction aurait été interrompue par une déconnexion que le pirate attribue à une détection par l'administration. Si cette version est exacte, l'État a bien détecté l'intrusion en temps réel - ce qui rend le silence post-détection encore moins défendable.
L'attaquant affirme que l'outil interne compromis aurait potentiellement permis d'accéder aux données de plusieurs dizaines de millions de citoyens français. Cette affirmation, non confirmée, dessine néanmoins l'étendue de la vulnérabilité structurelle exploitée - non pas un fichier isolé, mais un outil de recherche transversal au cœur du système d'information fiscal.
Un récidiviste qui s'appelle DGFiP
L'affaire du 26 juin n'est pas un accident isolé dans l'histoire récente de la Direction générale des finances publiques. C'est la deuxième intrusion majeure en six mois.
En février 2026, la DGFiP a confirmé une intrusion dans le fichier des comptes bancaires (Ficoba) ayant exposé les données de 1,2 million de personnes. Cette violation résultait d'une usurpation d'identifiants d'agents de l'administration fiscale, démontrant la vulnérabilité de l'infrastructure malgré sa sensibilité.
Le vecteur d'attaque est identique dans les deux cas - une usurpation d'identité permettant d'exploiter des identifiants légitimes plutôt que de forcer des protections techniques. Le 19 février 2026, la Direction générale des finances publiques avait révélé avoir découvert des accès illégitimes auprès de 1,2 million de comptes bancaires, avec IBAN, RIB, identité du titulaire de compte et adresses dérobés.
La compromission résultait visiblement de l'usurpation des identifiants d'un fonctionnaire. Même méthode, même administration, même silence initial, même révélation tardive. Ce n'est plus un incident - c'est une signature.
La DGFiP dans un État qui se fait pirater
La DGFiP n'est pas seule sur le banc des accusés. Autour d'elle, d'autres piliers de l'État ont subi des intrusions similaires dans les semaines précédant ou suivant le 26 juin.
Les données susceptibles d'avoir été exfiltrées du ministère de l'Éducation nationale concernent les agents ayant exercé en académie depuis 2001, avec des éléments d'identité et des informations professionnelles. L'accès frauduleux a été réalisé dans la nuit du 25 juillet 2026, à la suite de l'usurpation d'un compte professionnel, et a visé le système d'information dédié à la formation des personnels. Vingt-cinq années d'archives d'agents de l'État en un seul accès.
Le 11 août 2026 - la veille de la revendication DGFiP - une fuite de données chez Santé publique France était revendiquée sur un forum cybercriminel, visant l'agence nationale de santé publique chargée notamment de la surveillance, de la prévention et de la protection de la santé de la population. Selon les éléments communiqués par les pirates, la fuite pourrait concerner près de 80 000 personnes.
Une attaque contre le ministère de l'Intérieur entre le 11 et le 16 décembre 2025 avait conduit à l'accès illégal à deux fichiers de police - le traitement d'antécédents judiciaires, où figurent 17 millions de personnes, auteurs et victimes de crimes et délits, ainsi que le fichier des personnes recherchées.
La cartographie se dessine seule. En moins d'un an, les systèmes des finances publiques, de l'intérieur, de l'éducation nationale et de la santé publique ont tous été compromis via la même méthode - l'usurpation d'un compte légitime, exploitant non pas une faille technique sophistiquée, mais la faiblesse structurelle des protections d'accès à l'identité numérique des agents de l'État.
Ce que les contribuables risquent réellement
L'administration promet des notifications individuelles. Les usagers concernés doivent recevoir une information individuelle précisant les données susceptibles d'avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. La DGFiP a annoncé qu'elle notifiera le piratage à la CNIL et déposera plainte.
Ces mesures sont nécessaires. Elles ne suffisent pas à mesurer le préjudice potentiel. La sensibilité de ces données tient à leur assemblage. Un fraudeur qui connaît votre nom, votre adresse, votre revenu et une démarche que vous avez réellement effectuée auprès du fisc peut rédiger un message que rien ne distingue d'un courrier officiel.
La combinaison de cet historique avec les informations fiscales pourrait accroître considérablement les risques de phishing et d'ingénierie sociale. C'est ce que les spécialistes appellent le « phishing de précision » - non plus un message générique envoyé en masse, mais une fraude sur mesure, construite à partir de données réelles, qui rend la détection par la victime quasi impossible.
Pour l'heure, aucune source ne documente des victimes financières directement liées à cette intrusion spécifique. Le préjudice constaté est celui de l'exposition - une épée au-dessus de 678 438 têtes, dont les porteurs ignorent encore si la lame tombera et quand.
Le calcul politique que personne ne nomme
Derrière la gestion des délais se lit un calcul. Signaler une violation de données en interne - à l'ANSSI, au Service du Haut Fonctionnaire de Défense et de Sécurité - relève de l'obligation légale et opérationnelle. Mais alerter publiquement les 678 000 contribuables concernés, ou notifier la CNIL dans les délais réglementaires de 72 heures, aurait rendu l'incident visible avant que l'administration ait une réponse à offrir.
Les équipes de la DGFiP chargées des systèmes d'information travaillent désormais avec les services des ministères économiques et financiers, en particulier le Service du Haut Fonctionnaire de Défense et de Sécurité, ainsi qu'avec l'ANSSI. Ce dispositif, activé en réaction à la revendication publique du 12 août, aurait dû l'être dès la détection de fin juin.
L'argument du « contrôle opéré » avancé dans le communiqué officiel - suggérant que la coupure de l'accès relevait d'une procédure maîtrisée - mérite d'être mis en perspective avec un fait simple : le pirate a eu le temps de publier une revendication détaillée, avec échantillons, avant que l'administration ne prenne la parole. Ce n'est pas la définition du contrôle.
Ce qui pourrait suivre
Le scénario le plus probable, à court terme, est celui d'une normalisation judiciaire et administrative sans réforme structurelle. La DGFiP déposera plainte et promet de communiquer d'autres informations en temps voulu. Une enquête sera ouverte, des notifications envoyées, une commission d'enquête parlementaire pourrait être réclamée. Mais le vecteur d'attaque - l'usurpation d'identifiants d'agents - ne sera pas résolu par des communiqués. Il l'était déjà connu depuis la compromission de Ficoba en janvier 2026, et aucun renforcement majeur de l'authentification n'a empêché la récidive en juin. Les indicateurs à surveiller : l'annonce ou non d'un déploiement généralisé de l'authentification multifactorielle sur l'ensemble des systèmes sensibles de la DGFiP, et le délai effectif de notification aux personnes concernées.
Un deuxième scénario, moins probable mais documenté par le précédent parlementaire, est celui d'une réponse législative accélérée. Une question écrite à l'Assemblée nationale alertait déjà sur la forte augmentation des cyberattaques visant les services publics. Une autre question écrite, titrée « Cyberattaques à répétition : l'échec de la politique de cybersécurité de l'État », interpellait le Premier ministre sur la multiplication des fuites massives de données personnelles touchant les citoyens comme les institutions publiques. Si la concomitance des intrusions - DGFiP, Éducation nationale, Santé publique France dans un intervalle de six semaines - atteint un seuil politique d'insupportabilité, une réponse législative d'urgence n'est pas exclure. Indicateur à surveiller : la convocation ou non d'une audition des directeurs des systèmes d'information des ministères concernés.
Le troisième scénario, le plus préoccupant sur le fond, est celui de l'exploitation silencieuse. La base revendiquée est mise en vente sur le forum criminel. Le fichier serait proposé à la vente pour plusieurs milliers d'euros. Si des acheteurs acquièrent ces données avant que les notifications individuelles soient envoyées, les contribuables concernés entreront dans une période de vulnérabilité maximale sans même en être informés. Le signal à surveiller dans ce cas est le plus difficile à capter - une hausse des tentatives de phishing fiscal ciblé dans les semaines qui suivent, ou des signalements coordonnés sur Cybermalveillance.gouv.fr.
« Même méthode, même administration, même silence initial, même révélation tardive. Ce n'est plus un incident - c'est une signature. »
La Rédaction
LES BRECHES DANS L'ÉTAT - BILAN 2026
Fin janvier 2026 - intrusion dans le fichier Ficoba de la DGFiP via usurpation d'identifiants d'agent, 1,2 million de comptes bancaires exposés Décembre 2025 - accès frauduleux aux fichiers de police du ministère de l'Intérieur, dont le traitement d'antécédents judiciaires de 17 millions de personnes 25-26 juillet 2026 - intrusion dans le système de formation du ministère de l'Éducation nationale via un compte usurpé, agents exposés depuis 2001 11 août 2026 - revendication d'une intrusion dans une plateforme associée à Santé publique France, données présumées de 80 000 professionnels et structures de santé 12 août 2026 - revendication de l'intrusion DGFiP du 26 juin, 678 438 dossiers fiscaux potentiellement exfiltrés Dans tous les cas documentés de 2026, le vecteur d'entrée est identique - l'usurpation d'un compte légitime, sans brèche technique nécessaire dans les protections périmètriques.
