Le fisc français s’est fait pirater : faisons le point sur les données volées

Il fallait bien que cela arrive un jour : après avoir passé des années à nous demander de déclarer nos revenus, nos biens et à peu près tout ce qui possède une valeur marchande, le fisc français vient de découvrir qu’il pouvait, lui aussi, avoir quelques problèmes avec la sécurité informatique.

La Direction générale des Finances publiques (DGFiP) a confirmé qu’un acteur malveillant avait réussi à accéder à son système d’information en juin et juillet 2026, en utilisant notamment les identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité. L’affaire concerne environ 678 000 particuliers et professionnels.

Le pirate n’a pas simplement volé une liste d’e-mails

Et contrairement à ce que pourraient laisser croire certains titres particulièrement alarmistes, il ne s’agit pas simplement d’une liste de noms et d’adresses électroniques. Les investigations de la DGFiP ont établi que les accès frauduleux avaient permis de consulter et d’extraire des données fiscales, notamment le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source des particuliers.

Pour les entreprises, les informations concernées comprennent notamment leur raison sociale et leur numéro SIREN. Des données cadastrales relatives aux adresses et aux surfaces des biens immobiliers ont également été consultées.

Le phishing passe soudainement en mode premium

Autrement dit, le pirate n’a pas nécessairement besoin de vous demander combien vous gagnez, si vous avez des enfants ou combien mesure votre maison : une partie de ces informations pouvait déjà se trouver dans les données auxquelles il a eu accès. Et c’est précisément ce qui rend cette fuite particulièrement intéressante pour les escrocs, car un phishing qui commence par “Bonjour Monsieur Jean-Kevin” est une chose, tandis qu’un message qui connaît votre nom, votre situation fiscale et certaines informations sur votre patrimoine peut devenir nettement plus crédible.

Le vrai danger n’est pas forcément de vider votre compte

Le scénario le plus inquiétant n’est donc pas forcément le pirate qui débarque avec une cagoule numérique pour vider directement votre compte bancaire, mais plutôt celui qui utilise des informations réelles pour fabriquer une arnaque suffisamment convaincante pour que vous lui ouvriez vous-même la porte.

Imaginez recevoir un message prétendument envoyé par les impôts qui mentionne votre véritable situation fiscale et vous annonce un remboursement : vous avez beau être normalement méfiant, le niveau de crédibilité n’est plus tout à fait celui du fameux “Cher client, vous avez gagné 4 728 euros, cliquez ici pour recevoir votre cadeau”.

Quand le fisc devient lui-même victime des fraudeurs

Et c’est là que cette histoire devient particulièrement savoureuse : le fisc passe son temps à traquer les fraudeurs, mais il doit maintenant expliquer aux contribuables comment éviter de se faire frauder à partir des informations qu’un fraudeur a récupérées chez lui. C’est un peu comme si la police organisait une campagne de prévention contre le vol après s’être fait voler les clés du commissariat.

Attention aux chiffres qui circulent

Il faut toutefois rester prudent avec les chiffres et les informations qui circulent actuellement. La DGFiP confirme bien la compromission et l’extraction de données concernant environ 678 000 personnes, mais certaines listes beaucoup plus détaillées publiées en ligne correspondent à des affirmations du cybercriminel ou à des analyses de sources secondaires et ne doivent donc pas être présentées comme des faits officiellement établis.

Le vrai problème commence maintenant

La vraie menace se situe donc désormais dans l’après-piratage : phishing ciblé, usurpation d’identité et ingénierie sociale. Si vous êtes concerné, le bon réflexe sera surtout de considérer avec une méfiance renforcée tout message prétendant provenir des impôts, même lorsqu’il contient des informations qui semblent parfaitement exactes.

Après tout, si quelqu’un connaît déjà votre revenu fiscal de référence, votre taux de prélèvement et l’adresse de votre maison, il a fait une bonne partie du travail pour vous convaincre qu’il est réellement… le fisc.

C’est le pirate qui a donné l’alerte… en quelque sorte

L’histoire est assez cocasse : la DGFiP avait bien détecté des accès suspects et avait coupé les comptes concernés dès la fin juin, mais ses contrôles n’avaient pas permis de constater que des données avaient effectivement été volées. C’est finalement le cybercriminel lui-même qui a rendu l’affaire publique, en revendiquant les intrusions les 12 et 13 août 2026 et en affirmant avoir récupéré plusieurs centaines de milliers de dossiers.

La DGFiP a alors lancé des investigations approfondies à partir du 12 août et a pu confirmer que les accès frauduleux avaient effectivement servi à consulter et extraire des données concernant environ 678 000 particuliers et professionnels. Autrement dit, le fisc savait qu’une porte avait été ouverte et l’avait refermée, mais il n’avait pas immédiatement réalisé que quelqu’un était reparti avec quelques cartons sous le bras. C’est seulement lorsque le cambrioleur est revenu sur Internet pour expliquer ce qu’il avait dérobé que l’administration a pu mesurer l’ampleur de la situation.

Et c’est probablement l’un des aspects les plus surprenants de cette affaire : la détection de l’intrusion et la détection du vol de données sont deux choses différentes. La DGFiP avait repéré les accès illégitimes, mais la sophistication de l’attaque avait empêché ses contrôles de déterminer que ces accès avaient conduit à une extraction de données. Le pirate, lui, a finalement fait quelque chose d’assez inhabituel dans le monde du cybercrime : il est venu expliquer publiquement qu’il avait réussi son coup.

Cela donne à l’affaire une petite touche de comédie involontaire : le fisc avait fermé la porte, mais c’est le voleur qui est revenu sonner pour annoncer qu’il avait déjà emporté les meubles.