DGFiP : 678 438 lignes de données fiscales revendiquées après une intrusion sur un outil interne

Le 12 août 2026, une revendication publiée sur un forum cybercriminel a fait état d’une intrusion visant la Direction générale des Finances publiques. L’auteur, actif sous le pseudonyme ZeroBytes, affirme avoir compromis plusieurs serveurs internes puis obtenu un accès VPN à des outils de l’administration fiscale, dont un applicatif de recherche sur les particuliers et les professionnels, d’où il dit avoir extrait 678 438 lignes de données. L’intrusion elle-même remonterait au 26 juin 2026 et serait restée inaperçue du public pendant près de sept semaines.

Le périmètre décrit dépasse largement les données d’identification habituelles. L’échantillon diffusé contiendrait les identifiants fiscaux, les nom et prénoms, dates et lieux de naissance, adresses postales, numéros de téléphone et adresses e-mail, mais aussi la situation familiale, le nombre de personnes à charge, le revenu fiscal de référence, le taux de prélèvement à la source et l’historique de certaines démarches effectuées auprès de l’administration. Selon les analyses de presse, les lignes se répartiraient entre environ 392 867 particuliers et 285 570 professionnels, l’attaquant présentant par ailleurs cette extraction comme partielle au regard de ce que l’outil compromis permettait d’atteindre.

Le statut retenu ici reste « alléguée » : la DGFiP et le ministère de l’Économie et des Finances n’ont ni confirmé ni démenti l’incident à la date de rédaction, et aucun élément public ne permet d’établir de façon indépendante l’ampleur réelle de l’extraction. FrenchBreaches, qui a examiné un échantillon, indique y avoir trouvé des informations cohérentes avec une véritable extraction issue des systèmes fiscaux, ce qui rend la revendication crédible sans valoir confirmation. Le RGPD impose de notifier une violation à la CNIL et, en cas de risque élevé, d’informer les personnes concernées ; ces démarches peuvent rester internes un certain temps, mais l’absence de communication publique reste notable au vu de la sensibilité du fichier.

Si elles étaient avérées, ces données constitueraient un jeu presque idéal pour l’hameçonnage fiscal : connaître le revenu fiscal de référence, le taux de prélèvement à la source et la composition du foyer d’une personne permet de rédiger un faux avis de remboursement ou de régularisation d’un réalisme redoutable, d’autant que les campagnes usurpant l’identité de la DGFiP sont déjà parmi les plus courantes en France. L’administration ne demande jamais de coordonnées bancaires par courriel ou SMS, et tout message annonçant un remboursement doit être vérifié en se connectant directement à l’espace personnel sur impots.gouv.fr. Cette revendication intervient six mois après un autre incident visant la DGFiP, l’accès illégitime au fichier FICOBA révélé en février 2026, et l’acteur ZeroBytes est le même que celui qui a revendiqué début août la fuite visant le Drive d’Intermarché.