C’est l’une des plus grosses fuites de données jamais reconnues par l’administration fiscale française. Le ministère de l’Économie a confirmé le 13 août 2026 que le système d’information de la Direction générale des finances publiques (DGFiP) avait subi deux accès illégitimes, l’un fin juin, l’autre fin juillet. Au total, environ 678 000 usagers, particuliers et professionnels confondus, voient leurs informations fiscales circuler hors des murs de Bercy. Un pirate revendiquant le pseudonyme « ZeroBytes » affirme détenir 678 438 lignes de données, puis a annoncé quelques jours plus tard un second vol portant cette fois sur des fichiers cadastraux. Le parquet de Paris a ouvert une enquête, la CNIL a été saisie, et le Premier ministre Sébastien Lecornu a réuni une cellule de crise interministérielle le 17 août avant de demander un audit à l’ANSSI. Voici ce que l’on sait, ce que l’on ne sait pas encore, et surtout ce que vous devez faire si vous faites partie des personnes concernées.
- Ce que la DGFiP a officiellement confirmé
- La chronologie de l’affaire, jour par jour
- Quelles données ont exactement fuité
- Le second volet, le cadastre, et pourquoi les chiffres divergent
- Comment les intrus sont entrés
- La réponse de l’État : cellule de crise, ANSSI et justice
- Ce qu’un escroc peut réellement faire de ces informations
- Que faire concrètement si vous êtes concerné
- Une administration numérique sous pression
- Vos questions, nos réponses
Ce que la DGFiP a officiellement confirmé
La séquence a commencé par une revendication, pas par une annonce officielle. Le 12 août 2026, un individu se présentant sous le pseudonyme « ZeroBytes » publie sur un forum fréquenté par des cybercriminels un message affirmant avoir extrait des données de serveurs internes liés à impots.gouv.fr. Le lendemain, 13 août, le ministère de l’Économie et des Finances confirme par communiqué l’existence d’un « accès illégitime au système d’information de la DGFiP ». Bercy reconnaît non pas une, mais deux intrusions distinctes, survenues respectivement à la fin du mois de juin et à la fin du mois de juillet 2026. Le nombre d’usagers concernés est établi autour de 678 000, un chiffre qui englobe des particuliers comme des entreprises suivies par l’administration fiscale.
Un point mérite d’être souligné d’emblée, parce qu’il conditionne le niveau d’inquiétude légitime : selon les éléments communiqués par l’administration, il ne s’agit pas d’une faille du portail grand public impots.gouv.fr, ni d’une compromission des espaces particuliers eux-mêmes. Les intrus ne sont pas entrés par la porte que vous empruntez pour déclarer vos revenus. Ils ont utilisé des accès professionnels internes, ce qui change la nature du problème sans en réduire la gravité.
À retenir
Deux intrusions confirmées (fin juin et fin juillet 2026), environ 678 000 usagers concernés, une revendication de 678 438 lignes de données. Le portail impots.gouv.fr lui-même n’a pas été piraté : ce sont des accès internes qui ont été détournés. Aucun mot de passe d’espace particulier ni aucune coordonnée bancaire ne figure, à ce stade, parmi les données décrites comme dérobées.
La chronologie de l’affaire, jour par jour
Le décalage entre les faits et leur révélation est l’un des aspects les plus commentés de cette affaire. Les intrusions remontent à l’été, mais le grand public n’en a rien su avant que le pirate lui-même ne s’en vante. Ce délai, que l’audit demandé à l’ANSSI devra éclairer, alimente les interrogations sur la capacité de détection de l’administration.
| Date | Événement | Source |
|---|---|---|
| Fin juin 2026 | Première intrusion dans le système d’information de la DGFiP | Ministère de l’Économie (communiqué du 13 août) |
| Fin juillet 2026 | Seconde intrusion | Ministère de l’Économie |
| 12 août 2026 | Revendication publique par « ZeroBytes » sur un forum cybercriminel : 678 438 lignes | Revendication de l’attaquant, reprise par la presse spécialisée |
| 13 août 2026 | Confirmation officielle par Bercy d’un accès illégitime | Communiqué du ministère de l’Économie |
| 14 août 2026 | Notification de la violation à la CNIL et dépôt de plainte | DGFiP |
| 15 août 2026 | Ouverture d’une enquête par le parquet de Paris, confiée à l’Office anti-cybercriminalité | Parquet de Paris |
| Mi-août 2026 | Seconde revendication portant sur des données cadastrales | Revendication de l’attaquant |
| 17 août 2026 | Cellule de crise interministérielle à Matignon, audit demandé à l’ANSSI | Services du Premier ministre |
Quelles données ont exactement fuité
C’est la question qui détermine tout le reste : le risque n’est pas le même selon que l’on parle d’une adresse postale ou d’un identifiant bancaire. D’après les informations diffusées par l’administration et reprises par la presse, le lot concernant les particuliers contient des données d’identification et des éléments fiscaux, mais pas de moyens de paiement. Voici ce qui a été décrit, et ce qui ne l’a pas été.
| Type d’information | Concerné par la fuite | Ce que cela implique |
|---|---|---|
| Nom, prénom | Oui | Permet de personnaliser une tentative d’escroquerie |
| Revenu fiscal de référence | Oui | Donnée sensible : révèle le niveau de vie du foyer |
| Quotient familial | Oui | Renseigne indirectement sur la composition du foyer |
| Taux de prélèvement à la source | Oui | Élément crédibilisant dans un message frauduleux |
| Mot de passe de l’espace particulier | Non, selon les éléments connus | Votre compte impots.gouv.fr reste protégé |
| Coordonnées bancaires | Non mentionnées à ce stade | Pas de débit direct possible avec ces seules données |
Le revenu fiscal de référence est probablement l’élément le plus délicat de cette liste. Il ne permet ni de vider un compte, ni d’ouvrir un crédit à lui seul, mais il dessine un portrait financier assez précis d’un foyer. Combiné à un nom et à une adresse, il constitue une matière première de choix pour cibler des victimes selon leur solvabilité présumée, ce que les spécialistes de la fraude appellent le ciblage par valeur.
Le second volet, le cadastre, et pourquoi les chiffres divergent
Quelques jours après la première revendication, le même acteur a annoncé un second coup, portant cette fois sur le serveur professionnel des données cadastrales. Il affirme avoir récupéré 252 149 lignes correspondant à 2 041 778 personnes, avec des noms, dates et lieux de naissance, adresses, identifiants de propriétaires et références de parcelles. De son côté, l’administration a évoqué un ordre de grandeur nettement inférieur, autour de 200 000 comptes présents dans ses fichiers cadastraux.
Cet écart n’a rien d’anecdotique, et il n’est pas forcément contradictoire. Une même ligne de fichier cadastral peut référencer plusieurs propriétaires, et un « compte » au sens de l’administration ne recouvre pas la même unité qu’une « personne » au sens du pirate, qui a tout intérêt à annoncer le chiffre le plus spectaculaire possible pour valoriser sa marchandise. En l’état, aucune source indépendante n’a pu arbitrer entre les deux comptages. Nous présentons donc les deux, en attendant le résultat de l’audit.
À vérifier
Le périmètre exact du volet cadastral reste incertain au 18 août 2026 : la DGFiP parle d’environ 200 000 comptes, l’attaquant revendique plus de 2 millions de personnes. Ces chiffres sont susceptibles d’évoluer, à la hausse comme à la baisse, une fois l’analyse technique terminée. Les conclusions de l’audit de l’ANSSI sont attendues en septembre.
Comment les intrus sont entrés
Selon les explications du ministère de l’Économie, l’intrusion repose sur l’usurpation des identifiants de deux comptes parfaitement légitimes : celui d’un agent de la DGFiP et celui d’un tiers habilité à accéder au système. Autrement dit, il n’y a pas eu, à ce stade des investigations, de faille technique spectaculaire dans une application, mais un détournement d’accès existants. L’attaquant a ensuite utilisé un outil de recherche interne, celui-là même dont se servent les agents pour consulter le dossier d’un usager, et l’a interrogé en série.
C’est un scénario classique et redoutablement efficace. Un compte volé se comporte, du point de vue des journaux de connexion, comme un compte normal : il consulte des dossiers, parce que c’est précisément son travail. La détection repose alors sur des signaux faibles, un volume anormal de requêtes, une plage horaire inhabituelle, une connexion depuis un point de sortie réseau inattendu. La question de savoir pourquoi ces signaux n’ont pas déclenché d’alerte plus tôt est au cœur de l’audit demandé à l’agence nationale.
Et la double authentification ?
Plusieurs comptes rendus indiquent que l’assaillant serait parvenu à contourner le second facteur d’authentification, en s’appuyant notamment sur un accès VPN interne. Ce point précis n’a pas fait l’objet d’une description technique publique détaillée par l’administration, et nous le signalons donc comme non entièrement établi. Il n’en reste pas moins central : dans les grandes violations de données récentes, l’absence ou la faiblesse de l’authentification multifacteur revient avec une régularité qui a fini par alerter les autorités de contrôle.
Un accès illégitime au système d’information de la DGFiP a été constaté. L’administration a immédiatement renforcé les restrictions d’accès, notifié la CNIL et déposé plainte.
Ministère de l’Économie et des Finances, communiqué du 13 août 2026
La réponse de l’État : cellule de crise, ANSSI et justice
Le dossier est monté rapidement dans la hiérarchie gouvernementale. Le 15 août, le parquet de Paris a annoncé l’ouverture d’une enquête, confiée à l’Office anti-cybercriminalité, notamment pour extraction frauduleuse de données d’un système de traitement automatisé et association de malfaiteurs. Deux jours plus tard, le lundi 17 août, le Premier ministre Sébastien Lecornu a présidé à Matignon une cellule de crise interministérielle destinée à coordonner la réponse de l’exécutif, puis a demandé à l’ANSSI, l’agence nationale chargée de la sécurité des systèmes d’information, de mener un « audit approfondi » pour établir précisément les circonstances et les causes de l’incident. Les conclusions de cet audit sont attendues en septembre.
Trois pistes avancent donc en parallèle : l’enquête judiciaire, qui vise à identifier et poursuivre les auteurs ; l’audit technique, qui doit comprendre comment l’intrusion a été possible et n’a pas été détectée plus tôt ; et le volet protection des données, sous l’œil de la CNIL, saisie le 14 août. La commission peut, au terme de son instruction, formuler des recommandations, une mise en demeure, voire engager une procédure de sanction, y compris à l’encontre d’un organisme public.
Ce qu’un escroc peut réellement faire de ces informations
Il faut être précis, car l’alarmisme est aussi mauvais conseiller que la minimisation. Avec un nom, un revenu fiscal de référence et un taux de prélèvement à la source, personne ne peut se connecter à votre espace impots.gouv.fr, ni prélever un centime sur votre compte. En revanche, ces informations transforment radicalement la qualité des tentatives d’escroquerie que vous pourriez recevoir dans les mois à venir.
Le mécanisme est simple. Un courriel frauduleux générique, qui vous annonce un remboursement d’impôt sans rien connaître de votre situation, éveille facilement les soupçons. Un courriel qui reprend votre nom exact, mentionne votre taux de prélèvement réel et cite un montant cohérent avec vos revenus est infiniment plus crédible. C’est ce qu’on appelle l’hameçonnage ciblé. Le second risque, plus lent mais plus lourd, est l’usurpation d’identité : accumulées et recoupées avec d’autres fuites, ces données peuvent servir à monter des dossiers frauduleux au nom d’une victime.
Mise en garde
Attendez-vous à une hausse des tentatives d’hameçonnage se faisant passer pour l’administration fiscale, par courriel comme par SMS. Règle absolue : la DGFiP ne demande jamais d’informations confidentielles, de coordonnées bancaires ou de mot de passe par courriel, par SMS ou par téléphone. Les échanges sécurisés passent par la messagerie de votre espace sur impots.gouv.fr, auquel vous accédez en tapant vous-même l’adresse dans votre navigateur, jamais en cliquant sur un lien reçu.
Que faire concrètement si vous êtes concerné
La DGFiP a annoncé qu’elle contacterait individuellement chaque personne concernée, par courriel ou par courrier. Cette notification individuelle est une obligation prévue par le règlement européen sur la protection des données lorsqu’une violation présente un risque élevé pour les personnes. Attention toutefois au paradoxe : des escrocs vont inévitablement imiter ce message d’information. Un courriel vous annonçant que vous faites partie des victimes et vous invitant à « vérifier votre dossier » via un lien doit être traité avec la plus grande méfiance.
Les gestes utiles, par ordre de priorité
Changez d’abord le mot de passe de votre espace sur impots.gouv.fr, en choisissant une combinaison longue et propre à ce service. Si ce mot de passe est réutilisé ailleurs, changez-le également sur les autres comptes concernés : la réutilisation reste la première cause de compromission en chaîne. Activez ensuite, partout où c’est proposé, l’authentification à deux facteurs. Surveillez enfin vos relevés bancaires pendant plusieurs mois, ainsi que votre boîte aux lettres papier, un canal souvent négligé par les victimes et pourtant utilisé par certains fraudeurs.
En cas de tentative avérée, signalez le message frauduleux sur la plateforme officielle cybermalveillance.gouv.fr et, si un préjudice est constaté, déposez plainte. Vous pouvez aussi exercer vos droits auprès de la CNIL, qui met à disposition un formulaire de plainte en ligne. Conservez toute preuve, en particulier l’en-tête complet des courriels suspects : c’est ce qui permet aux enquêteurs de remonter les filières.
Une administration numérique sous pression
Cette affaire ne survient pas dans un ciel serein. Dans son rapport annuel, la CNIL a recensé, dans son rapport annuel 2025, 6 167 notifications de violations de données en 2025, soit une hausse de près de 9,5 % par rapport à 2024 et le plus haut niveau jamais enregistré. La moitié de ces incidents résultent de piratages, et l’administration publique figure parmi les secteurs les plus touchés, aux côtés de la santé et des activités financières. Le rythme ne faiblit pas : l’autorité a relevé plus de 2 730 violations sur le seul premier trimestre 2026.
Le constat de fond est presque toujours le même. Les services publics se sont numérisés vite, souvent plus vite que les moyens consacrés à sécuriser les infrastructures qui les portent. Les accès des agents, des prestataires et des tiers habilités constituent une surface d’attaque tentaculaire, difficile à cartographier et plus difficile encore à surveiller en continu. La DGFiP n’est ni la première ni la seule administration à l’apprendre à ses dépens, mais la sensibilité des données fiscales place cet épisode dans une catégorie à part.
Vos questions, nos réponses
Comment savoir si je fais partie des 678 000 personnes concernées ?
La DGFiP s’est engagée à contacter individuellement chaque personne touchée, par courriel ou par courrier postal. À la date du 18 août 2026, il n’existe pas de service officiel de vérification en libre accès permettant de tester soi-même si l’on figure dans le lot. Méfiez-vous des sites qui prétendraient offrir ce service.
Mon compte impots.gouv.fr est-il piraté ?
Non, rien n’indique une compromission des espaces particuliers. Les données dérobées ne comprennent pas les identifiants de connexion. Changer votre mot de passe reste néanmoins une précaution raisonnable.
Puis-je demander une indemnisation ?
Le règlement européen ouvre un droit à réparation en cas de dommage causé par une violation de données, mais il suppose de démontrer un préjudice concret et un lien de causalité. Conservez toutes les preuves d’un éventuel préjudice. Nous ne sommes pas juristes : pour une démarche individuelle, un avocat spécialisé ou une association de consommateurs pourra vous orienter utilement.
Les données volées sont-elles déjà en vente ?
L’attaquant a publié ses revendications sur un forum fréquenté par des cybercriminels, ce qui constitue en général le préalable à une mise en vente ou à une diffusion. L’ampleur réelle de la circulation de ces fichiers n’est pas connue publiquement à ce jour.
Ce qu’il faut surveiller dans les prochaines semaines
Trois échéances structureront la suite. La première est la notification individuelle des personnes concernées, dont le calendrier précis n’a pas été rendu public : elle donnera à chacun une réponse claire sur son exposition. La deuxième est la remise des conclusions de l’audit de l’ANSSI, attendue en septembre, qui devrait éclairer le point le plus embarrassant du dossier, à savoir le délai de détection. La troisième est la position de la CNIL, qui dira si l’administration a rempli ses obligations de sécurité et de notification. En attendant, la meilleure protection reste la plus banale : ne cliquez pas sur les liens reçus, tapez vous-même les adresses des sites administratifs, et considérez comme suspect tout message qui, précisément parce qu’il en sait beaucoup sur vous, vous inspire confiance.
À lire aussi : Canicule et écoles : ni seuil légal, ni cartographie, ni budget et AI Act : ce que change vraiment l’échéance du 2 août.
Camille Reynaud suit la vie institutionnelle, le Parlement et les grands débats publics. Elle traite également les sujets de justice, d’éducation et de santé, avec une attention particulière aux textes de loi et à ce qu’ils changent concrètement pour les citoyens. Elle privilégie les sources primaires : rapports parlementaires, avis d’autorités indépendantes et décisions de justice.