Piratage de la DGFiP, ce que les hackers peuvent faire des revenus, adresses et données de 678 000 contribuables selon Bercy

En bref

• Environ 678 000 particuliers et professionnels sont concernés par des accès frauduleux au système d’information de la DGFiP.
• Plus de 350 000 particuliers ont vu certaines données exposées, dont leur revenu fiscal de référence et leur taux de prélèvement à la source.
• Les espaces personnels, mots de passe, déclarations et avis d’imposition n’ont pas été compromis.
• Le contenu des échanges avec l’administration a pu être consulté pour moins de 250 contribuables, sans les pièces jointes.
• Une attaque antérieure sur FICOBA avait déjà exposé 1,2 million de comptes bancaires.
• Le croisement des fichiers constitue le risque principal, capable de rendre une escroquerie très crédible.

Le compte fiscal des contribuables n’a pas été piraté

L’affaire dévoilée en août 2026 ne correspond pas à un piratage du site impots.gouv.fr. Les espaces personnels n’ont pas été ouverts et aucun mot de passe n’a été dérobé. Les intrusions ont visé des accès professionnels au système d’information de la Direction générale des Finances publiques, via les identifiants usurpés d’un agent et d’un tiers habilité.

Les connexions frauduleuses, survenues en juin et juillet, avaient été détectées puis interrompues, sans que Bercy comprenne que des données avaient déjà été extraites. Le vol n’a été confirmé que les 12 et 13 août, lorsque l’attaquant a revendiqué ses opérations et mis certaines informations en vente. L’extraction progressive, réalisée depuis des comptes légitimes en apparence, a permis aux pirates de passer sous les radars.

Le bilan officiel du piratage de la DGFiP porte sur environ 678 000 particuliers et professionnels, soit un peu plus de 350 000 particuliers et près de 250 000 entreprises. Des données cadastrales ont été consultées sur un périmètre pouvant atteindre 433 485 comptes de particuliers, avec des recoupements probables entre catégories. Une troisième alerte a visé le 17 août le portail des successions vacantes, qui contient essentiellement des informations publiques.

Cet épisode suit une intrusion majeure survenue entre le 28 janvier et le 13 février 2026 sur FICOBA, le fichier national des comptes bancaires. Les coordonnées, RIB et IBAN de 1,2 million de comptes avaient alors été exposés. L’attaque de l’été n’a donné accès ni aux soldes, ni aux déclarations, ni aux moyens de paiement.

À lire aussi : Le cours de l'or poursuit sa progression pendant que les failles numériques ébranlent la confiance dans les institutions financières.

Des données qui trient les contribuables selon leurs revenus

Pour les particuliers touchés, les pirates ont pu consulter l’identifiant fiscal, l’état civil, les coordonnées postales et téléphoniques, la situation familiale, le nombre de parts, le revenu fiscal de référence et le taux de prélèvement à la source. La liste des demandes envoyées par messagerie sécurisée a aussi été visualisée, le contenu des messages restant limité à moins de 250 contribuables, sans les pièces jointes.

Les professionnels sont concernés par leur numéro SIREN, la dénomination et l’adresse de l’entreprise, ainsi que des métadonnées sur leurs échanges avec l’administration.

Le site FrenchBreaches, qui affirme avoir analysé une partie du fichier, recense 392 867 lignes de particuliers et 285 570 de professionnels. Parmi les particuliers, 26 805 afficheraient un revenu fiscal de référence d’au moins 100 000 euros, 386 dépasseraient le million et huit franchiraient les dix millions. Des échantillons examinés par l’AFP et Le Monde confirment la précision des informations.

Ce revenu ne mesure pas un patrimoine, mais il offre aux fraudeurs un outil de segmentation redoutable pour concentrer leurs efforts sur les foyers présumés les plus solvables.

Le croisement des fichiers fabrique des arnaques crédibles

Un identifiant fiscal ou un IBAN isolé ne permet pas de vider un compte. La menace naît de la combinaison des informations. Un escroc se présentant comme agent des impôts peut citer le revenu exact de sa victime, mentionner une demande réellement transmise, puis annoncer un remboursement à confirmer sur un faux site.

Le rapprochement avec les données de FICOBA nourrit la fraude au faux conseiller bancaire, le pirate invoquant précisément la fuite pour inciter à une opération de protection fictive. Les données cadastrales ajoutent une dimension patrimoniale et facilitent les faux placements ou les défiscalisations imaginaires. Les entreprises s’exposent à la fraude au président ou au changement frauduleux de RIB.

Un risque physique existe aussi, l’association d’un revenu élevé et d’une adresse pouvant servir à préparer des cambriolages, comme observé après d’autres fuites selon des autorités citées par Le Monde. Certaines données, telle une date de naissance, resteront exploitables des années.

Bercy face à ses responsabilités

L’administration généralise la double authentification, renforce la détection des comportements anormaux et confie un audit à l’ANSSI, avec simulations d’attaques assistées par intelligence artificielle et rémunération des chercheurs en vulnérabilités. Fin 2025, 52,2 % des logiciels et serveurs de la DGFiP respectaient les normes actuelles, contre 31 % en 2021, signe d’une dette technique persistante. La CNIL a reçu 6 167 notifications de violations de données en 2025, dont la moitié liée à un piratage.

Les contribuables doivent se connecter directement à impots.gouv.fr sans suivre de lien, raccrocher face à toute urgence prétendue et conserver chaque preuve. Les plateformes 17Cyber, Cybermalveillance.gouv.fr et THÉSÉE accompagnent les victimes. Plusieurs centaines de personnes réclament déjà réparation à l’État sur le fondement de l’article 82 du RGPD, la justice européenne admettant qu’une crainte démontrée d’utilisation abusive constitue un préjudice moral.

À lire aussi : Entre cyberattaques massives, dettes publiques record et tensions monétaires, les épargnants se tournent vers des actifs tangibles détenus hors des circuits bancaires.

L’or physique face à la centralisation des données

Cette série d’intrusions révèle un risque patrimonial nouveau, celui de la concentration numérique de l’épargne. Comptes bancaires dans FICOBA, biens au cadastre, revenus chez l’administration fiscale, chaque actif laisse une trace centralisée et convoitée. L’or physique détenu directement échappe à cette logique, aucun registre national ne recensant en permanence les lingots et pièces d’or des particuliers. L’achat reste encadré, avec contrat écrit et interdiction des espèces, mais l’actif livré existe indépendamment de toute plateforme et de la solvabilité d’un intermédiaire. Cette démarche de débancarisation partielle, complétée par des lingots d’argent et un stockage sécurisé auprès d’un professionnel reconnu, répartit les risques entre plusieurs formes de propriété. Vigilance obligatoire face aux fausses offres d’achat d’or exploitant les données volées, aucun acteur sérieux ne garantit un rendement ni n’exige un virement urgent.

Sources : BDOR, Direction générale des Finances publiques – ministère de l’Économie et des Finances – Commission nationale de l’informatique et des libertés – Agence nationale de la sécurité des systèmes d’information – Banque de France – Cybermalveillance.gouv.fr – Cour de justice de l’Union européenne – Assemblée nationale – Le Monde – AFP – Capital – FrenchBreaches – ABE Infoservice.