Piratage des impôts : Bercy confirme, près de 700 000 contribuables potentiellement exposés

Cette fois, c’est le cœur de la machine fiscale française qui est touché. La Direction générale des Finances publiques (DGFiP) a officiellement confirmé le 13 août au soir avoir subi un accès illégitime à son système d’information, permettant la consultation et l’extraction de données de particuliers et de professionnels. Le pirate qui revendique l’attaque affirme détenir 678 438 lignes de données fiscales, incluant revenus et situation familiale.

Après le fichier des comptes bancaires en février, l’Éducation nationale en juillet et France VAE la semaine dernière, l’administration fiscale rejoint la liste des grandes institutions touchées cet été. Voici ce que l’on sait, ce qui reste à confirmer, et surtout comment vous préparer à la vague d’arnaques qui exploitera inévitablement cette affaire.

Ce que Bercy confirme officiellement

D’après le communiqué du ministère de l’Économie, les faits remontent à la fin juin 2026 : un attaquant a obtenu un accès frauduleux au système de la DGFiP après une usurpation d’identité. Cet accès a été coupé dès la fin juin lors d’un contrôle, mais il avait déjà permis de consulter et d’extraire des données concernant des particuliers et des professionnels.

L’affaire n’a éclaté publiquement que le 12 août, lorsqu’un cybercriminel opérant sous le pseudonyme ZeroBytes a revendiqué l’intrusion sur un forum spécialisé. Bercy a confirmé dès le lendemain, tout en annonçant de nouvelles restrictions d’accès, des investigations menées avec l’ANSSI, une notification à la CNIL et un dépôt de plainte.

Ce que revendique le pirate (à prendre avec précaution)

Le chiffre qui circule partout, 678 438 lignes, provient de la revendication de l’attaquant et n’est pas un bilan officiel. Selon son récit, l’intrusion aurait d’abord touché des serveurs internes, puis permis d’obtenir un accès VPN donnant la main sur un outil de recherche interne couvrant particuliers et professionnels. L’extraction, automatisée, aurait été interrompue par la déconnexion de l’attaquant, vraisemblablement après détection.

D’après l’échantillon analysé par le média spécialisé FrenchBreaches, les données extraites iraient bien au-delà des coordonnées classiques :

• état civil complet, date et lieu de naissance ;
• adresse postale, e-mail, téléphone ;
• situation familiale et nombre de personnes à charge ;
• revenu fiscal de référence ;
• taux de prélèvement à la source ;
• historique d’échanges avec l’administration.

Deux nuances importantes. D’abord, une ligne n’égale pas une personne : plusieurs enregistrements peuvent concerner le même contribuable, le nombre réel de victimes reste donc à établir. Ensuite, le pirate affirme que l’outil auquel il avait accès permettait d’interroger des dizaines de millions de dossiers : cette affirmation, invérifiable, relève peut-être de la mise en scène qui accompagne souvent ce type de revendication, d’autant que la base est mise en vente.

Pourquoi ces données sont les pires possibles pour le phishing

La plupart des fuites exposent qui vous êtes. Celle-ci expose en plus combien vous gagnez. Et c’est un changement de catégorie pour les escrocs.

Imaginez le message : « Suite au recalcul de votre prélèvement à la source, un remboursement de 342 € vous est dû ». Avec votre vrai taux de prélèvement, votre vraie situation familiale et votre vrai revenu fiscal de référence en guise de « preuves », ce faux message des impôts devient quasiment indiscernable d’un vrai. Les arnaques au faux remboursement fiscal existent depuis des années ; alimentées par des données authentiques, elles changent de dimension.

Autre détail préoccupant relevé dans la base revendiquée : des dizaines de milliers de lignes concerneraient des foyers à hauts revenus. De quoi permettre aux fraudeurs de trier leurs cibles et de concentrer leurs efforts, notamment pour les arnaques au faux conseiller bancaire, sur les victimes les plus « rentables ».

Un scénario d’intrusion devenu la norme

Prenons un peu de recul. Février : le fichier des comptes bancaires FICOBA consulté via les identifiants usurpés d’un fonctionnaire, jusqu’à 1,2 million de comptes concernés. Juillet : l’Éducation nationale, via un compte professionnel compromis. Août : la DGFiP, après une usurpation d’identité.

Le schéma est devenu monotone à force de se répéter : pas de faille technique spectaculaire, juste des identifiants légitimes entre de mauvaises mains. C’est la démonstration, à l’échelle de l’État, de ce que nous répétons article après article : le maillon faible d’un système d’information, ce sont les accès. Un identifiant volé plus une authentification insuffisamment verrouillée, et des millions de dossiers deviennent accessibles à une seule personne.

Contribuables : les réflexes à adopter dès maintenant

Vous ne pouvez pas savoir si vos données figurent dans la base extraite. En revanche, vous pouvez rendre leur exploitation inoffensive :

1. Retenez la règle d’or de la DGFiP : l’administration fiscale ne demande jamais vos identifiants, vos coordonnées bancaires ou un paiement par e-mail ou SMS. Jamais. Tout message de ce type est une arnaque, aussi précis et « documenté » soit-il.
2. Passez toujours par le canal officiel. Un doute sur un remboursement, une régularisation, un message ? Tapez vous-même impots.gouv.fr et consultez votre espace ou votre messagerie sécurisée. Si l’information est vraie, elle s’y trouvera.
3. Méfiez-vous des appels au « faux conseiller », qu’il se présente comme agent des impôts ou conseiller bancaire. Un interlocuteur qui connaît votre revenu ou votre taux d’imposition n’est pas forcément légitime : ces données ont précisément fuité. Raccrochez et rappelez le numéro officiel.
4. Renforcez votre compte impots.gouv.fr et votre messagerie. Mot de passe unique et robuste (générez-le en quelques secondes avec FortixPass), et surtout un mot de passe différent de tous vos autres comptes : votre numéro fiscal figure peut-être dans la nature, ne lui offrez pas le mot de passe qui va avec.
5. Protégez vos proches les moins avertis. Les arnaques au faux remboursement visent massivement les seniors. Un appel pour leur rappeler la règle d’or vaut tous les antivirus.
6. Signalez les messages frauduleux sur signal-spam.fr et les SMS au 33700 ; en cas de préjudice, cybermalveillance.gouv.fr et dépôt de plainte.

Ce qu’il faut retenir

L’intrusion est officiellement confirmée par Bercy ; son ampleur exacte, elle, reste à établir, le chiffre de 678 438 lignes n’étant que la parole du pirate. Mais le contenu revendiqué (revenus, taux d’imposition, situation familiale) suffit à anticiper la suite : des campagnes de phishing fiscal d’un réalisme inédit, dans les semaines et les mois qui viennent, y compris longtemps après que l’affaire aura quitté les journaux. Les données volées ne périment pas.

Votre protection ne dépend ni de Bercy ni du pirate : elle tient à deux réflexes. Ne jamais donner suite à une sollicitation entrante, aussi crédible soit-elle, et verrouiller vos comptes avec des mots de passe uniques et une double authentification. Cinq minutes sur FortixPass pour générer des identifiants solides, et cette fuite, comme les précédentes, restera pour vous une actualité parmi d’autres.