Piratage du fisc : ce que la fuite de données change pour les contribuables face aux risques d’arnaque

Que risque un contribuable lorsque ses informations fiscales circulent entre les mains de cybercriminels ? Pas forcément un accès direct à son compte des impôts, mais des escroqueries beaucoup plus crédibles, fondées sur des données personnelles réelles.

Après plusieurs intrusions visant la Direction générale des finances publiques (DGFiP), le gouvernement a reconnu l’ampleur de la crise. Le ministre de l’Action et des Comptes publics, David Amiel, a présenté ses excuses mardi 18 août 2026. La directrice générale des finances publiques, Amélie Verdier, a détaillé trois incidents distincts.

Une première fuite qui concerne 678 000 personnes

L’attaque la plus importante s’est produite à la fin du mois de juin 2026. D’après les éléments présentés par la DGFiP, des identifiants compromis ont permis à un pirate d’entrer dans le système d’information de l’administration.

L’accès détourné a ensuite servi à consulter et à extraire des données concernant des particuliers et des professionnels. Le bilan communiqué mardi porte sur 678 000 personnes au total, dont 350 000 contribuables particuliers.

Les informations concernées sont sensibles. Elles comprennent notamment le numéro fiscal, le revenu fiscal de référence et le quotient familial. Des coordonnées personnelles peuvent également apparaître : adresse postale, téléphone, adresse électronique ou situation familiale.

Pour les entreprises, certaines données peuvent aussi concerner la raison sociale ou le numéro SIREN. En revanche, la DGFiP affirme qu’aucun compte fiscal personnel ou professionnel n’a été ouvert par les pirates. Les identifiants et les mots de passe des espaces sécurisés n’auraient pas été récupérés.

La revendication de l’attaque a été publiée le 12 août par un groupe utilisant le pseudonyme « ZeroBytes ». Les investigations ont ensuite permis à l’administration de consolider le nombre de personnes concernées. Le parquet de Paris a ouvert une enquête, notamment pour extraction frauduleuse de données et association de malfaiteurs.

Pourquoi le risque concerne surtout les arnaques

Une donnée fiscale isolée peut sembler peu exploitable. Un ensemble comprenant un nom, une adresse, un revenu et une situation familiale change la situation. Il permet de construire des messages d’hameçonnage très précis.

L’hameçonnage consiste à se faire passer pour une administration, une banque ou une entreprise afin de pousser une personne à transmettre un mot de passe, un code ou des coordonnées bancaires. Dans ce dossier, un faux message peut reprendre des informations exactes sur le foyer ou l’imposition pour gagner la confiance de sa victime.

Les particuliers sont donc exposés à des courriels, appels ou SMS frauduleux. Les professionnels peuvent être ciblés par de fausses demandes de paiement ou de changement de coordonnées bancaires. Les personnes disposant d’un patrimoine important peuvent aussi faire l’objet d’une ingénierie sociale plus personnalisée.

La DGFiP a commencé à informer directement les personnes touchées. L’administration rappelle que les usagers doivent rester attentifs aux messages prétendant provenir des impôts. En cas de doute, la vérification doit passer par la messagerie sécurisée du site officiel des impôts, et non par un lien reçu dans un courriel ou un SMS.

Une deuxième attaque sur les données cadastrales

Le deuxième incident concerne le Serveur professionnel de données cadastrales, ou SPDC. Cette plateforme relie des parcelles et leurs adresses à leurs propriétaires. Elle est principalement utilisée dans un cadre professionnel.

Un groupe criminel a évoqué un fichier portant sur deux millions de personnes. La DGFiP a toutefois communiqué un périmètre plus limité : 433 485 particuliers et 1 082 professionnels auraient été concernés.

Ces données présentent un risque particulier pour les propriétaires. Elles peuvent faciliter des tentatives de repérage, de fraude immobilière ou de démarchage ciblé. Elles ne donnent pas automatiquement accès à un logement. Toutefois, croisées avec d’autres fichiers, elles peuvent révéler l’adresse d’un bien et l’identité de son propriétaire.

Les conséquences ne sont donc pas les mêmes pour tous. Un locataire sans patrimoine immobilier n’est pas exposé de la même manière qu’un propriétaire d’une résidence secondaire. De même, une grande entreprise dispose souvent de services juridiques et informatiques. Une petite société devra davantage s’appuyer sur ses propres équipes.

Une troisième brèche rapidement isolée

Amélie Verdier a également reconnu une troisième fuite, découverte lundi 17 août. Elle concerne le portail public des successions vacantes.

Ce service permet à une personne ou à une entreprise qui détient une créance de vérifier si une succession a été déclarée vacante. Une succession vacante est une succession sans héritier connu ou acceptant, administrée dans certaines conditions par les services de l’État.

Selon la DGFiP, cette brèche est d’une ampleur nettement moindre que la première. Les informations exposées seraient aussi moins sensibles. L’accès a été coupé rapidement après sa détection.

Cette succession d’incidents alimente néanmoins une question centrale : l’administration a-t-elle suffisamment détecté et cloisonné les accès à ses systèmes ? La DGFiP affirme que la première faille provenait d’une combinaison de comptes compromis. Elle reconnaît aussi que les investigations menées après la fermeture de l’accès n’avaient pas permis d’identifier immédiatement l’extraction de données.

Le gouvernement promet une sécurisation accélérée

David Amiel a déclaré que les systèmes d’information de la DGFiP comportaient des faiblesses. Plus de 100 emplois sont actuellement consacrés à la cybersécurité, au sein d’une direction qui compte plus de 5 300 informaticiens.

Le plan annoncé prévoit une authentification forte pour tous les agents et tous les accès. Cette méthode ajoute une vérification supplémentaire au mot de passe. Elle peut prendre la forme d’une clé physique, d’un code temporaire ou d’une application dédiée.

D’ici la fin de l’année 2026, les agents doivent recevoir des clés de sécurité USB, appelées « tokens ». Certaines applications ont déjà été rendues inaccessibles. L’accès à distance à la messagerie des agents a également été coupé.

Le ministère veut enfin intensifier les campagnes internes de simulation d’hameçonnage. L’objectif est de tester les réflexes des agents et d’identifier les points faibles avant une véritable attaque. David Amiel a aussi demandé que l’administration teste ses propres systèmes avec des outils d’intelligence artificielle placés sous contrôle.

Cette réponse satisfait partiellement les organisations représentant les personnels. Le syndicat Solidaires Finances publiques estime que la DGFiP avait été alertée dès juin sur les risques de piratage, d’usurpation d’identité et d’hameçonnage. Il réclame davantage de transparence et des moyens supplémentaires pour la sécurité informatique.

Le désaccord porte donc moins sur la nécessité de renforcer les protections que sur le calendrier et les moyens. Le gouvernement met en avant les mesures techniques engagées. Le syndicat demande, lui, des garanties sur les effectifs, la dette informatique et l’information des usagers.

Les prochaines étapes à surveiller

Dans les prochains jours, trois éléments seront particulièrement importants. D’abord, la fin de l’information individuelle des personnes concernées. Ensuite, la confirmation du périmètre exact des données extraites lors des deux premières attaques. Enfin, les premières conclusions de l’enquête judiciaire et des investigations techniques.

La DGFiP devra aussi démontrer que les mesures annoncées ne se limitent pas à une réaction d’urgence. La question sera de savoir si l’authentification forte est effectivement généralisée, si les accès sont mieux séparés et si les incidents sont détectés plus rapidement.