Piratage DGFiP : 678 438 contribuables dans la nature

Le piratage DGFiP a une particularité désagréable : il n'a pas été découvert par la Direction générale des Finances publiques. Il a été découvert parce que l'attaquant l'a annoncé publiquement, le 12 août 2026, près de deux mois après être entré.

L'administration avait bien repéré l'intrusion fin juin et l'avait bloquée. Elle n'avait pas vu qu'on lui avait vidé les poches au passage.

La chronologie, dans l'ordre

• Fin juin 2026 : l'attaquant se connecte au système d'information de la DGFiP en utilisant les identifiants de deux comptes légitimes — celui d'un agent et celui d'un tiers habilité à accéder au système. Aucune faille logicielle spectaculaire ici : des identifiants usurpés, ce qui reste le mode d'entrée le plus banal et le plus efficace.
• Fin juin, quelques jours plus tard : l'accès est détecté et coupé. Dossier considéré comme clos.
• 12 août 2026 : le pirate revendique publiquement l'intrusion et l'ampleur du vol. La DGFiP découvre l'exfiltration.
• 13 août : confirmation officielle de l'intrusion et d'une extraction portant sur 678 438 contribuables.
• 14 août : le ministère de l'Économie et des Finances notifie la CNIL, qui ouvre ses vérifications.
• 15 août : le parquet de Paris ouvre une enquête, confiée à l'Office anti-cybercriminalité (Ofac), notamment pour extraction frauduleuse de données.
• 18 août : deux autres brèches sont confirmées, portant cette fois sur des données cadastrales — environ 1,8 million de comptes — et sur des dossiers de successions vacantes.

L'ANSSI analyse un lot revendiqué d'environ 430 Go, dont 89 % concerneraient des particuliers.

Ce qui a fui exactement

La CNIL a précisé le périmètre. Pour les particuliers et les professionnels concernés, on trouve :

• le revenu fiscal de référence ;
• le quotient familial et la situation de famille, nombre de personnes à charge compris ;
• le taux de prélèvement à la source ;
• le numéro fiscal, l'état civil complet et les coordonnées ;
• pour les professionnels, le SIREN et la dénomination sociale ;
• pour le volet cadastral, les adresses de biens et leurs surfaces ;
• l'historique de la messagerie sécurisée avec l'administration, dans certains cas.

Ce qui n'a pas fui : les identifiants et les mots de passe. Aucun accès aux comptes n'a été compromis. C'est la seule bonne nouvelle du dossier, et elle est mince.

Pourquoi c'est plus grave qu'une fuite bancaire

Un numéro de carte volé, on le fait opposer. Un mot de passe compromis, on le change en trente secondes. Un revenu fiscal de référence, un quotient familial, une date de naissance, une adresse de bien immobilier : ça ne se réinitialise pas. Jamais.

Ces données ont deux usages immédiats sur le marché noir :

Le hameçonnage calibré. Un courriel qui vous appelle par votre nom, cite votre revenu fiscal exact et votre taux de prélèvement, et vous annonce un remboursement de 412 € : le taux de clic n'a plus rien à voir avec celui d'une arnaque générique. C'est le risque numéro un, et il durera des années.

Le ciblage social. Croiser un revenu, une composition de foyer et une adresse de bien, c'est la matière première d'un démarchage agressif, d'une escroquerie sentimentale ou d'un repérage physique. Le fichier cadastral rend cette combinaison particulièrement toxique.

Le débat sur les moyens

La CGT Finances publiques a sorti un communiqué sans nuance : « les moyens ne sont pas à la hauteur des enjeux ». Les chiffres qu'elle avance méritent d'être posés.

Depuis 2008, la DGFiP a perdu plus de 34 000 emplois, soit plus de 28 % de ses effectifs. Le syndicat évoque parallèlement une baisse d'environ 15 % du pouvoir d'achat des rémunérations, avec un effet direct sur l'attractivité des postes informatiques — un ingénieur cybersécurité expérimenté n'a pas beaucoup de raisons de choisir l'administration fiscale.

Autre donnée frappante du même communiqué : le nombre d'attaques informatiques recensées contre la DGFiP est passé de 2 579 en 2023 à 6 972 en 2025. Presque un triplement en deux ans, à budget constant ou en baisse.

On peut trouver le communiqué corporatiste. On peut aussi remarquer que la trajectoire décrite — surface d'attaque qui explose, effectifs qui fondent — n'a rien d'invraisemblable.

Le point qui fâche : le délai

Entre l'intrusion de fin juin et l'information du public le 13 août, il s'est écoulé une quarantaine de jours. Le RGPD impose la notification d'une violation de données à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance.

La défense de l'administration est technique : elle n'a pris connaissance du vol que le 12 août, la notification du 14 août tient donc le délai. La question restera de savoir si l'analyse post-incident de fin juin aurait dû détecter l'exfiltration. L'attaque décrite est du type low and slow — des requêtes délibérément peu nombreuses, sous les seuils d'alerte, étalées dans le temps. C'est précisément conçu pour passer sous les radars, et ça fonctionne surtout quand personne ne relit les journaux d'accès a posteriori.

Ce que vous pouvez faire

Rien qui annule le vol. Quelques réflexes qui limitent la casse :

• Vérifiez l'expéditeur de tout courriel se réclamant des impôts : le domaine légitime est dgfip.finances.gouv.fr. Ne cliquez pas, tapez l'adresse d'impots.gouv.fr vous-même.
• L'administration fiscale ne demande jamais de coordonnées bancaires par courriel ou par SMS pour un remboursement.
• Changez le mot de passe de votre espace particulier, même s'il n'est pas concerné, et activez une authentification renforcée là où c'est possible.
• Surveillez vos comptes bancaires pendant plusieurs mois, pas plusieurs semaines. Les fichiers volés se revendent longtemps après les faits.
• En cas de fraude avérée, déposez plainte rapidement : les contrats de cyberassurance imposent souvent un délai court pour la déclaration.

La CNIL indique qu'il n'est pas nécessaire de lui adresser une plainte individuelle, l'autorité étant déjà saisie — sauf si vous disposez d'éléments utiles à l'enquête. Sur le terrain indemnitaire, des cabinets d'avocats évoquent des ordres de grandeur de quelques centaines à quelques milliers d'euros pour perte de contrôle sur ses données devant le juge administratif ; à ce stade, aucune décision ne fixe de barème dans cette affaire précise.

Le fichier, lui, est déjà dehors. On ne le fera pas rentrer.