Piratage du site des impôts

Devant le bâtiment du ministère de l’économie et des finances, à Paris, le 11 août 2026. SARAH MEYSSONNIER/REUTERS

Le courriel envoyé par la direction générale des finances publiques précise que l’attaque a reposé sur l’utilisation d’identifiants usurpés : ceux d’un agent de la DGFiP ont été combinés à ceux d’un tiers habilité par l’administration.
La direction générale des finances publiques (DGFiP) a annoncé, mardi 18 août, avoir informé individuellement les contribuables dont certaines données fiscales sont susceptibles d’avoir été consultées par un acteur malveillant.
Le courriel envoyé aux personnes concernées – 678 000 particuliers et professionnels et environ 200 000 comptes présents dans ses fichiers cadastraux, selon l’administration fiscale – précise que l’attaque a reposé sur l’utilisation d’identifiants usurpés : ceux d’un agent de la DGFiP ont été combinés à ceux d’un tiers habilité par l’administration.
Selon le message, l’acteur malveillant a revendiqué avoir eu accès au système d’information de la DGFiP en juin et en juillet. Les accès utilisés ont depuis été fermés, en juin puis en juillet. L’administration précise toutefois qu’elle n’avait pas immédiatement identifié le vol de données et que des mesures de protection supplémentaires ont depuis été mises en place.

Les informations potentiellement consultées sont nombreuses. D’après le courriel de la DGFiP, il peut s’agir de « l’identifiant fiscal, de l’état civil, des coordonnées postales, téléphoniques et électroniques, de la situation fiscale, du revenu fiscal de référence, du nombre de personnes à charge, du nombre de parts et du taux de prélèvement à la source ».

Tentatives d’hameçonnage et d’escroquerie

La liste comprend également les messages échangés entre le contribuable et la DGFiP. Sur ce dernier point, Bercy a précisé que, « dans un nombre réduit de cas, inférieur à 250, le pirate avait effectivement pu accéder à des messages » échangés avec l’administration. En revanche, le courriel insiste sur le fait que le mot de passe permettant d’accéder à l’espace personnel sur impots.gouv.fr n’a pas été compromis. « Les déclarations de revenus et les avis d’impôt n’ont pas non plus été consultés », ajoute-t-il.
La DGFiP considère que le principal risque réside désormais dans l’utilisation de ces informations pour des tentatives d’hameçonnage et d’escroquerie. Le fait de disposer de données fiscales réelles peut permettre à un fraudeur de rendre un appel, un SMS ou un courriel beaucoup plus crédible : connaître le nom d’un contribuable, son adresse, son revenu fiscal de référence ou son taux de prélèvement à la source peut donner l’impression que l’interlocuteur représente effectivement l’administration.

La DGFiP appelle donc à une vigilance particulière face à toute personne ou tout organisme qui prétendrait connaître le contribuable à partir d’informations personnelles dérobées. Elle rappelle surtout qu’elle ne « demandera jamais de fournir des informations confidentielles en dehors de l’espace sécurisé ». Elle recommande également de surveiller régulièrement les « mouvements sur [ses] comptes bancaires ».
Le premier ministre, Sébastien Lecornu, a demandé, lundi, à l’Agence nationale de la sécurité des systèmes d’information de réaliser un « audit approfondi » sur ce vol de données. Le parquet de Paris a ouvert une enquête, notamment pour « extraction frauduleuse de données » et « association de malfaiteurs ».
ZeroBytes, les pirates derrière le vol de données du fisc, ont déclaré, lundi, à l’Agence France-Presse (AFP) avoir déjà vendu les données dérobées, des déclarations invérifiables. ZeroBytes affirme être composé de deux pirates se présentant comme Français. L’AFP a échangé avec le groupe sur Telegram, à partir de coordonnées publiées sur un forum du dark Web consacré à la vente de données volées.