Piratage DGFiP 2026 : suis-je concerné par la fuite de données ?

Fuite de données DGFiP : ce qui s'est passé

Mi-août 2026, la Direction générale des Finances publiques a confirmé le vol de données de 678 000 particuliers et professionnels. Dans les jours qui ont suivi, une seconde intrusion était reconnue sur le serveur cadastral. Le 18 août, en conférence de presse, l'administration en annonçait une troisième, sur un portail public que personne n'avait vue venir, et le ministre présentait le lendemain un plan de riposte allant jusqu'à l'ouverture d'un programme de bug bounty. Ce ne sont pas des identifiants de connexion qui ont fuité, ni des mots de passe. C'est quelque chose de plus difficile à changer : votre revenu fiscal, votre adresse, la surface de vos biens, le SIREN de votre société, et dans certains cas le contenu de vos échanges avec le fisc.

On ne réinitialise pas un revenu fiscal de référence comme on réinitialise un mot de passe. C'est ce qui rend cette fuite durablement dangereuse, et c'est pour ça qu'elle mérite mieux qu'un mail de vigilance lu en diagonale.

Les trois intrusions, vecteur par vecteur

C'est le point que la couverture presse a le plus mélangé, et il est central : les trois accès n'ont rien à voir techniquement. Parler d'« une cyberattaque contre le fisc » au singulier fait perdre l'essentiel, à savoir que trois défenses différentes ont cédé.

Intrusion 1 : un compte d'agent, puis le VPN

L'attaquant a obtenu les identifiants d'un compte légitime d'agent de la DGFiP. Avec eux, il s'est connecté au VPN d'accès distant que les agents utilisent pour joindre leurs outils métier depuis l'extérieur. De là, il a atteint un outil interne de recherche sur les particuliers et les professionnels, et lancé une extraction automatisée.

Bercy parle d'une « combinaison de compromissions de comptes », celui d'un agent interne et celui d'un prestataire. Le communiqué officiel, lui, dit « un agent et un tiers habilité ». Les deux formulations coexistent et personne n'a précisé laquelle des deux portes a servi à laquelle des deux intrusions.

Point important, et rarement dit : comment ces identifiants ont été obtenus n'est établi par personne. Ni hameçonnage confirmé, ni voleur d'informations identifié sur le poste d'un agent. Interrogé sur ses méthodes, l'attaquant répond « un peu de tout, l'erreur humaine, les failles, la stupidité, le manque de sérieux », ce qui n'est pas une réponse technique. Tant que l'audit n'a pas tranché, cette brique de la chaîne reste un trou.

Le compte a été repéré fin juin et coupé dans les vingt-quatre heures. Ce qui n'a pas été vu, c'est que l'attaquant est revenu en juillet avec un second compte DGFiP compromis et le même mode opératoire. Amélie Verdier l'a décrit au point presse : des tests manuels d'abord, puis une automatisation calibrée pour rester sous les seuils de détection de la maison, ceux qu'elle appelle les « seuils de masse ». Il n'y a jamais eu de requêtage massif, et c'est précisément pour ça qu'il n'y a jamais eu d'alerte.

Détecter une connexion anormale et prouver qu'une base a été aspirée sont donc deux problèmes distincts, et le second est beaucoup plus lent. Les investigations de juin et de juillet ont traité chaque incident comme une compromission ordinaire, sans faire le lien entre les deux. Il aura fallu attendre le 12 août, et une alerte de l'ANSSI arrivée en même temps que la revendication publique, pour que l'administration comprenne que des données étaient sorties.

Intrusion 2 : le cadastre, et un MFA contourné

Le 29 juillet, un mois plus tard, c'est le SPDC qui est visé, le serveur professionnel de données cadastrales. Ce n'est pas un service grand public : il donne accès à l'information cadastrale nationale et il est utilisé par les agents habilités, mais aussi par des professionnels extérieurs, notaires et géomètres en tête. L'attaquant dit avoir visé le domaine apexappliext.dgfip.finances.gouv.fr.

Et là se trouve le détail le plus embarrassant du dossier : ce compte était protégé par une authentification à plusieurs facteurs, et elle a été contournée. La technique employée n'a été documentée ni par l'administration ni par l'attaquant. On ne sait donc pas si le second facteur a été intercepté, rejoué, ou simplement mal implémenté sur cette application.

L'attaquant affirme avoir arrêté l'extraction de lui-même, la jugeant trop lente : tout sortir aurait demandé « plusieurs mois ». Il revendique 252 149 lignes récupérées.

Intrusion 3 : un portail ouvert, sans même un mot de passe

Celle-ci n'a pas été revendiquée, elle a été trouvée en cherchant. Pendant les investigations déclenchées par les deux premières, la DGFiP a découvert un accès illégitime au portail des successions vacantes, ce service qui permet à quiconque détient une créance sur une personne décédée de savoir s'il existe un héritier à qui la présenter.

Le problème n'était pas un identifiant volé : une vulnérabilité permettait d'accéder à certaines informations sans authentification préalable. Elle a été signalée par le collectif de sécurité LunarisSec, puis corrigée, et l'accès a été coupé. L'attaquant a eu accès à « un journal des demandes ».

Amélie Verdier, directrice générale des Finances publiques, situe cette fuite comme « vraiment pas du tout de la même ampleur » que les précédentes, les informations exposées s'apparentant à des « annonces légales » déjà publiques. Le volume n'a pas été communiqué. La nuance mérite d'être tenue : une donnée accessible n'est pas une donnée exfiltrée, et à ce stade aucune extraction massive de ce portail n'est établie.

Classification technique des trois failles

Les communiqués officiels parlent d'« accès illégitimes », ce qui ne dit rien de la nature des défauts. Voici la même chose en nomenclature technique. Cette correspondance est notre lecture des faits publiés, elle n'a pas été établie par la DGFiP.

Le détail qui compte pour votre propre posture : les intrusions 1 et 2 relèvent de l'identité, la 3 relève du code. Ce ne sont pas les mêmes équipes qui les corrigent, ni les mêmes outils qui les détectent. Une revue d'accès n'aurait rien vu du portail ouvert, et un scan applicatif n'aurait rien vu du compte d'agent volé.

Précision utile, parce que la question revient beaucoup : aucune CVE n'a été publiée pour ces trois incidents. Il ne s'agit pas de l'exploitation d'une vulnérabilité connue dans un logiciel du marché, mais de trois défauts propres au système d'information de la DGFiP. Personne n'avait de correctif à appliquer, et c'est précisément ce qui rend ce type de fuite invisible aux inventaires de vulnérabilités classiques.

Sur l'exfiltration elle-même, il n'y a rien d'exotique à raconter, et c'est justement le problème : l'attaquant n'a pas monté de tunnel clandestin, il a lu des écrans métier et automatisé la pagination. Les données sont sorties par le canal applicatif normal, celui-là même qui sert aux agents toute la journée. C'est ce qui explique qu'une extraction de 678 438 lignes ait pu ressembler, dans les journaux, à un agent très consciencieux.

Kill chain

Le déroulé technique des trois intrusions

Phase 1Intrusion 1 : 26 juin puis juillet 2026

1. 1
   Identifiants d'agent usurpés

   origine jamais établie, ni hameçonnage confirmé ni voleur d'informations identifié.

2. 2
   Accès au VPN interne

   le tunnel d'accès distant des agents devient le point d'entrée.

3. 3
   Extraction sous les seuils

   tests manuels, puis automatisation calibrée pour ne pas déclencher d'alerte de volume.

4. 4
   Compte coupé en 24 h, retour en juillet

   même mode opératoire, second compte DGFiP compromis, 678 438 lignes au total.

Phase 2Intrusion 2 : 29 juillet 2026

1. 5
   Compte de partenaire habilité

   le SPDC cadastral est ouvert aux notaires et géomètres.

2. 6
   Contournement du MFA

   le second facteur n'a pas tenu, la technique reste inconnue.

3. 7
   Extraction interrompue

   252 149 lignes, arrêtée par l'attaquant parce que trop lente.

Phase 3Intrusion 3 : détectée le 17 août 2026

1. 8
   Portail sans authentification

   les successions vacantes exposées par un défaut de contrôle d'accès.

2. 9
   Journal des demandes consulté

   faille signalée par LunarisSec, corrigée, accès coupé.

Phase 4Ce qui en sort

1. Base fiscale mise en vente

   revendiquée le 12 août, vendue à plusieurs acheteurs, toujours disponible à la revente.

Chronologie du piratage de la DGFiP

Les faits, remis dans l'ordre, disent déjà beaucoup sur la nature du risque.

• Juin 2026 : le syndicat Solidaires Finances Publiques alerte la direction générale sur les risques d'usurpation d'identité et d'hameçonnage ciblé. Aucune mesure préventive suffisante ne suit avant l'incident.
• 26 juin 2026 : première intrusion. Le compte est coupé dans les vingt-quatre heures, mais l'exfiltration n'est pas identifiée.
• Juillet 2026 : l'attaquant rejoue le même mode opératoire avec un second compte DGFiP compromis. Là encore, l'incident est traité isolément.
• Mi et fin juillet 2026 : le même acteur revendique une intrusion au ministère de l'Éducation nationale. Il la date du 15 juillet ; le ministère situe l'accès confirmé les 25 et 26 juillet.
• 29 juillet 2026 : deuxième intrusion, sur le serveur cadastral SPDC.
• 10 août 2026 : le même acteur revendique la Fédération française de handball, 1 367 197 fiches d'adhérents.
• 12 août 2026 : un acteur se présentant sous le pseudonyme ZeroBytes revendique le vol sur un forum criminel et met la base en vente. Une alerte de l'ANSSI parvient à Bercy le même jour. C'est la date que la DGFiP retient comme celle de sa prise de connaissance, et elle lance ses investigations approfondies dans la foulée.
• 13 août 2026 : le ministère confirme les accès illégitimes. Dans la même journée, l'attaquant revendique la seconde intrusion, sur le cadastre.
• 14 août 2026 : communiqué officiel détaillé. La CNIL est saisie. Le service du Haut fonctionnaire de défense et de sécurité et l'ANSSI sont mobilisés. Plainte déposée.
• 15 août 2026 : le parquet de Paris ouvre une enquête, confiée à l'Office anti-cybercriminalité (OFAC).
• 16 août 2026 : comité de crise à Matignon.
• 17 août 2026 : point presse de Bercy. Les notifications individuelles partent. C'est ce jour-là qu'est détectée la troisième fuite.
• 18 août 2026 : conférence de presse. Le gouvernement présente ses excuses et annonce la troisième fuite. La CNIL publie sa position.
• 19 août 2026 : le ministre détaille son plan de riposte, qui comprend l'ouverture d'un programme de bug bounty. Les appels de contribuables inquiets affluent dans les centres des finances publiques.

Quarante-huit jours séparent la première intrusion de l'annonce publique. Sur le point de départ du délai réglementaire, en revanche, la DGFiP a fini par trancher, et la formulation d'Amélie Verdier ne laisse pas de place au doute : « Nous avons appris le vol de données le 12 août, nous n'en avions pas connaissance avant. » Le RGPD fait courir les 72 heures de notification à l'autorité de contrôle à compter de cette prise de connaissance (article 33), et impose une information des personnes « dans les meilleurs délais » en cas de risque élevé (article 34). Sur ce compte-là, le 14 août tient.

Reste que la position est confortable, et qu'elle mérite d'être regardée en face. Un compte d'agent compromis avait été coupé fin juin, un second en juillet, et personne n'a rapproché les deux ni cherché ce qui était sorti. « Ne pas avoir connaissance » d'une violation quand on a bloqué deux comptes pour la même raison en cinq semaines, c'est moins une absence d'information qu'une absence d'exploitation de l'information. C'est aussi ce que l'audit de septembre aura à qualifier. Dans les faits, l'État est de toute façon exclu des amendes administratives par le droit français.

Quelles données ont fuité, exactement

C'est la question qui décide de tout le reste, parce que le risque dépend de la nature des données, pas de leur volume.

Côté fiscal, le jeu de données comprend l'identifiant fiscal (le SPI), l'état civil complet avec dates et lieux de naissance, les adresses d'imposition et d'envoi, le revenu fiscal de référence, le taux de prélèvement à la source, le nombre de parts et de personnes à charge, les numéros de téléphone et adresses électroniques, ainsi que l'historique des démarches administratives. Pour les professionnels, la raison sociale et le SIREN viennent s'ajouter aux mêmes catégories.

Deux éléments méritent d'être sortis de cette liste, parce qu'ils changent le calibre du risque.

Le premier : le mail de notification envoyé le 17 août mentionne, pour les particuliers, la liste des messages échangés via impots.gouv.fr, contenu compris dans certains cas. Ce ne sont plus des données de référence, ce sont des courriers. Une réclamation, une demande de délai de paiement, une explication de situation familiale. Bien plus intime qu'un revenu fiscal, et bien plus utile à qui veut se faire passer pour votre interlocuteur au centre des finances publiques.

Le second : le fichier est segmenté par niveau de revenu. On y trouve 26 805 personnes déclarant plus de 100 000 euros, 386 au-delà du million, et 8 au-delà de dix millions. Croisé avec le cadastre, ça donne pour une même personne combien elle gagne, ce qu'elle possède et où elle habite. C'est exactement la liste de courses d'un escroc qui trie ses cibles, et le risque ne s'arrête pas à la fraude au virement.

Côté cadastral, la fuite décrit le patrimoine immobilier : noms et prénoms, sexe, dates et lieux de naissance, adresses, identifiant MAJIC, département et commune, section et numéro de parcelle, droits associés aux biens, et jusqu'à l'identité des co-titulaires.

Côté successions vacantes, les informations exposées portaient sur des identités, des adresses postales et électroniques, des dates et lieux de décès, des situations matrimoniales et des éléments de patrimoine successoral. C'est le périmètre que la DGFiP rapproche d'annonces légales publiques.

Le chiffre officiel contre la revendication : pourquoi l'écart est énorme

Il faut être clair sur ce point, parce que la première vague d'articles a repris la revendication de l'attaquant comme un fait, et que le bilan officiel l'a démentie.

Sur le fiscal, les deux comptes se rejoignent, et c'est plutôt rassurant sur la sincérité du bilan. Une réserve tout de même : au point presse du 17 août, Bercy a annoncé « 350 000 particuliers et 250 000 professionnels », ce qui ne fait pas 678 000. Les deux séries circulent, et l'administration présente encore ses chiffres comme susceptibles d'évoluer.

Sur le cadastre, en revanche, l'écart est d'un facteur cinq, et il s'explique. L'attaquant a compté les titulaires par ligne de parcelle. Or un même propriétaire apparaît sur autant de lignes qu'il possède de parcelles, et un bien en indivision multiplie les titulaires. Dédupliquer 2 041 778 titulaires ramène à 433 485 particuliers et 1 082 professionnels au maximum, chiffres que la DGFiP présente comme un plafond et non comme un décompte arrêté. Quant aux « 20 millions de personnes consultables », ce n'est pas une extraction, c'est une estimation de ce que l'attaquant pense avoir pu atteindre s'il était resté. Ce chiffre n'a jamais été confirmé et ne devrait pas être cité comme un volume de fuite.

Précisons aussi qu'un décompte de 1,8 million de comptes a circulé pour le cadastre sur quelques sites. Il est incompatible avec les 433 485 annoncés par Bercy et repris par l'AFP, et nous ne le retenons pas.

Un dernier chiffre demande la même prudence : celui de « 3 millions de personnes » qui agrège les trois fuites, apparu dans plusieurs titres à partir du 18 août. Il additionne des périmètres qui se recoupent (un contribuable propriétaire figure dans la fiscale et dans la cadastrale) et y ajoute une estimation pour un portail dont le volume n'a pas été communiqué. Une addition dont un terme est inconnu ne fait pas un total.

Ce qu'il aurait fallu pour détecter l'exfiltration

Question de praticien, et c'est celle qui vous concerne le plus directement : quels contrôles auraient arrêté ça plus tôt ? Les trois défauts appellent trois réponses différentes, et l'ordre de coût n'est pas celui qu'on croit.

Le point presse du 18 août a donné la réponse la plus instructive du dossier, presque en passant. La DGFiP avait bien des seuils d'alerte sur le volume de consultations, ses « seuils de masse », et l'attaquant est resté dessous. Il a commencé par des tests manuels, puis automatisé à un rythme choisi pour ne rien déclencher. Autrement dit, le contrôle existait et il a fonctionné exactement comme il était réglé. C'est la leçon la moins confortable et la plus transposable : un seuil fixe finit toujours par être trouvé, et une fois trouvé il devient un plafond de sécurité pour l'attaquant, pas pour vous.

• Des quotas de consultation par compte. C'est la mesure que Bercy annonce, et c'est la plus efficace des trois pour un budget dérisoire. Un agent qui consulte 400 dossiers par jour fait son travail, un compte qui en consulte 40 000 ne fait rien de ce que fait un humain. Le plafond n'empêche pas l'intrusion, il borne le vol. Encore faut-il qu'il porte sur un cumul long, sur la semaine ou le mois : un plafond journalier se contourne en étalant, ce qui est très exactement ce qui s'est passé ici.
• Une détection comportementale sur les comptes à privilèges. Horaire inhabituel, volume anormal, séquence de pages trop régulière : ce sont les signaux qu'un moteur de type UEBA sait remonter, et que la corrélation d'événements classique laisse passer parce que, requête par requête, tout est autorisé. Sa vraie valeur ici aurait été de comparer un compte à lui-même plutôt qu'à un seuil global : la régularité d'un script se voit même à faible débit.
• Le rapprochement des incidents entre eux. Deux comptes d'agent coupés pour compromission en cinq semaines, c'est un motif, pas deux faits divers. Chacun a été traité isolément et refermé. Beaucoup d'organisations font pareil, parce que la clôture d'un ticket est un indicateur suivi et que la recherche de récurrence n'en est pas un.
• Une journalisation exploitable a posteriori. Le point noir de ce dossier n'est pas la détection de l'accès, qui a fonctionné fin juin, c'est l'incapacité à établir pendant six semaines si des données étaient sorties. Journaliser les accès sans journaliser les volumes rend l'analyse d'impact impossible.
• Un inventaire à jour des points d'entrée exposés. La faille du portail des successions vacantes était une fonction critique sans authentification sur une application publique. Ce défaut, contrairement aux deux autres, se voit de l'extérieur, sans aucun accès privilégié. C'est le principe même d'un inventaire de surface d'attaque externe, et c'est aussi ce qu'un scan de vulnérabilités bien choisi détecte, à condition que le périmètre scanné contienne réellement ce portail.

Retenez la dissymétrie : deux des trois failles n'étaient visibles que de l'intérieur, la troisième était visible de n'importe où. Dans la plupart des organisations, c'est la troisième catégorie qui traîne le plus longtemps, parce que personne ne sait qu'elle existe. Un inventaire du système d'information tenu à jour est le préalable, pas un livrable de conformité.

Pourquoi une donnée fiscale vaut plus qu'un mot de passe volé

Un mot de passe, on le change. Une adresse, un revenu, la surface d'un bien, un lien de co-propriété : ça ne se réinitialise pas. Ces informations restent exactes pendant des années, et c'est précisément ce qui intéresse un escroc.

La donnée fiscale est le carburant d'un hameçonnage crédible. Un faux message qui vous rappelle votre revenu fiscal de référence exact, votre adresse et le nom de votre commune ne ressemble plus à un spam maladroit. Il ressemble à un courrier de l'administration. Ajoutez-y l'objet d'un message que vous avez réellement envoyé au fisc en mars, et la vérification mentale que fait un destinataire attentif ne sert plus à rien. Le contribuable qui attend justement le mail annoncé par la DGFiP est, cette semaine-là, la cible la plus facile qui soit : le vrai message et l'arnaque arrivent dans la même boîte, la même semaine, et les fraudeurs le savent.

Pour une entreprise, le risque monte d'un cran. Croisez un SIREN, une raison sociale, une adresse et un élément financier, et vous obtenez le décor parfait pour une fraude au président ou une fraude au faux fournisseur. L'attaquant n'a plus besoin de deviner : il cite des faits vérifiables, et c'est cette exactitude qui désarme la vigilance de vos équipes comptables.

Kill chain

De la donnée volée à la fraude

1. 1
   Donnée fiscale exposée

   revenu, adresse, SIREN, bien immobilier, une base de vérité difficile à changer.

2. 2
   Message crédible

   l'attaquant cite des faits exacts, le mail ne ressemble plus à un spam.

3. 3
   Confiance obtenue

   il se fait passer pour la DGFiP, un notaire, une banque ou un fournisseur connu.

4. 4
   Action déclenchée

   virement modifié, pièce justificative envoyée, identifiant saisi sur une fausse page.

5. Perte réalisée

   détournement de fonds ou usurpation d'identité, difficile à annuler une fois exécutée.

Le fisc juge le risque « faible » pour les entreprises. Nous ne le lisons pas comme ça

C'est la phrase du dossier que nous voulons discuter, parce qu'elle va être reprise partout et qu'elle est en train de rassurer les mauvaises personnes.

Pour défendre le bilan côté professionnels, la DGFiP explique que pour « l'écrasante majorité » d'entre eux, les informations concernées sont publiques ou quasi publiques : le SIREN, l'adresse, l'identité du représentant légal. Sur le plan strictement juridique, c'est exact. Ces éléments figurent déjà au registre du commerce, et n'importe qui peut les obtenir en trente secondes.

Sauf que le raisonnement traite chaque donnée séparément, alors qu'une fraude se monte avec l'ensemble. Ce qui a de la valeur pour un escroc, ce n'est pas le SIREN, qu'il pouvait déjà lire ailleurs. C'est de le trouver déjà rapproché d'une adresse d'imposition, d'un dirigeant nommé, d'un historique de démarches et parfois d'un fil de messages échangés avec le centre des finances publiques. Le travail d'agrégation, celui qui coûte du temps et qui trahit l'attaquant quand il le fait lui-même, a été fait par l'administration puis livré tout prêt. Une donnée publique et une donnée publique corrélée à cinq autres ne présentent pas le même risque, et c'est vrai de toutes les fuites, pas seulement de celle-ci.

Deux réserves s'ajoutent, et elles sont dans le communiqué lui-même. « L'écrasante majorité » n'est pas la totalité : la DGFiP indiquait encore vérifier le contenu de certains messages fiscaux, qui n'ont rien de public. Et la fuite cadastrale porte sur des patrimoines immobiliers nominatifs, avec co-titulaires, ce qui concerne directement les dirigeants dont la société est le principal actif.

Le décor est d'autant plus favorable que la fraude aux entreprises est déjà à un niveau élevé, indépendamment de cette affaire. Le baromètre Allianz Trade et Odoxa publié en juin 2026 (315 dirigeants et directeurs financiers interrogés) donne 60 % de PME et 85 % d'ETI et de grandes entreprises ayant subi au moins une tentative de fraude sur l'année. Parmi les entreprises touchées, la fraude externe pèse 88 %, avec le faux fournisseur à 42 % et le faux client à 41 %. Quatre tentatives sur dix aboutissent. Ce que la fuite change n'est pas la fréquence des tentatives, c'est leur taux de réussite : le principal filtre d'une équipe comptable est l'invraisemblance du message, et c'est exactement ce que les données volées suppriment.

Notre lecture, en une phrase : le risque n'est pas faible, il est différé et indirect. Il ne se matérialisera pas par une intrusion dans un espace professionnel impots.gouv.fr, mais par un virement parti chez le mauvais destinataire, dans six semaines ou dans six mois, sur la foi d'un message trop bien renseigné pour éveiller le doute.

Suis-je concerné par la fuite DGFiP ? Comment le vérifier sans se faire piéger

La règle officielle est simple, et elle protège d'abord contre l'arnaque qui surfe sur la fuite.

La DGFiP contacte directement chaque personne concernée, par courriel ou par courrier, depuis le lundi 17 août 2026. Le message porte un objet du type « consultation illégitime de vos informations fiscales », s'ouvre sur « vous êtes concerné(e) par cet acte de malveillance », détaille les données susceptibles d'avoir été consultées ou extraites, et ne contient aucun lien. Retenez ce dernier point, c'est le seul critère utile : le vrai message n'a pas de lien à cliquer, donc tout message qui en a un est suspect par construction.

Mais un mail qui prétend venir de la DGFiP n'est pas une preuve, c'est même le scénario d'attaque le plus probable en ce moment. Le bon réflexe tient en une phrase : ne cliquez sur aucun lien reçu, et vérifiez l'information en tapant vous-même impots.gouv.fr dans votre navigateur pour vous connecter à votre espace sécurisé.

Pour une organisation, la notification individuelle ne suffit pas à mesurer l'exposition réelle. Un dirigeant, un DAF, un comptable peuvent figurer dans la fuite à titre personnel tout en représentant une porte d'entrée vers l'entreprise. Et la donnée cadastrale d'un dirigeant est une information exploitable contre sa société. Savoir précisément qui, dans votre périmètre, est susceptible d'apparaître dans les jeux de données diffusés change la façon dont vous préparez vos équipes.

C'est exactement ce que nous faisons chez Flawfence. Nous sommes capables de vous dire si votre organisation figure dans les fuites de données diffusées, DGFiP comprise, et surtout de mesurer ce que cette exposition ouvre concrètement comme scénarios de fraude contre vous. Nous ne travaillons jamais à partir de la donnée volée elle-même : nous croisons les signaux publics de compromission avec votre périmètre, avec votre accord et sur votre demande, pour produire une évaluation d'exposition utilisable, pas une liste de noms achetée dans un forum. La distinction n'est pas cosmétique, elle est ce qui sépare une prestation de sécurité d'un recel.

Piratage DGFiP : que faire maintenant, la checklist

L'urgence n'est pas de changer des mots de passe qui n'ont pas fuité. Elle est de rendre inefficaces les arnaques qui vont s'appuyer sur ces données pendant des mois.

• Prévenez vos équipes finance et direction, nommément. Le message à faire passer : une demande de virement urgente, même exacte dans ses détails, se vérifie toujours par un canal connu et différent. C'est la seule parade à la fraude au président.
• Durcissez l'authentification partout où c'est possible, même si les mots de passe n'ont pas fuité. Les données volées servent aussi à répondre aux questions de sécurité et à crédibiliser une réinitialisation frauduleuse. Et souvenez-vous que sur le cadastre, un second facteur existait et a été contourné : un MFA n'est une protection que si sa mise en œuvre tient.
• Vérifiez votre posture email : un SPF, un DKIM et un DMARC correctement configurés compliquent l'usurpation de votre propre domaine par les fraudeurs. C'est un chantier concret, mesurable, et souvent négligé.
• Passez en revue les accès de vos partenaires et prestataires. Deux des trois portes de ce dossier étaient des comptes tiers. Qui, hors de votre organisation, dispose d'un accès à vos données, avec quel niveau de privilège, et depuis combien de temps sans revue ?
• Ne réagissez jamais à un message non sollicité demandant un code, un identifiant, un RIB ou un paiement, même s'il vous cite des informations exactes. L'exactitude n'est plus une preuve d'authenticité.
• Documentez et signalez, au bon endroit. Les canaux officiels existent et sont peu utilisés : un courriel d'hameçonnage se signale sur signal-spam.fr, un SMS en le transférant au 33700, un usage frauduleux de carte bancaire via Perceval sur service-public.fr, et cybermalveillance.gouv.fr oriente les victimes, particuliers comme entreprises. Conservez aussi la notification officielle si vous en recevez une : c'est la pièce qui établit que vous figuriez dans le périmètre.

Ce que la DGFiP annonce pour corriger

Le 18 août, le ministre chargé des Comptes publics David Amiel a présenté des excuses publiques : « Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français. » Il qualifie l'attaque de « particulièrement sophistiquée ». Le plan détaillé le lendemain tient en sept mesures :

• Authentification forte généralisée à tous les agents de Bercy d'ici fin 2026, un chantier présenté comme « déjà bien avancé ». Les mots de passe des agents ont par ailleurs été réinitialisés.
• Audit complet avec l'appui de l'ANSSI en septembre 2026, dont les conclusions seront transmises aux commissions des finances de l'Assemblée nationale et du Sénat.
• Refonte des dispositifs de détection et quotas d'accès aux données, pour qu'une extraction étalée dans le temps cesse de passer pour une consultation ordinaire.
• Capteurs d'alerte précoce déployés sur l'ensemble des systèmes.
• Revue complète des accès aux données, y compris ceux des partenaires externes.
• Programme de bug bounty, c'est-à-dire une rémunération des chercheurs en sécurité qui signalent une faille sur les services numériques de la DGFiP.
• Formation cyber renforcée, campagnes internes de faux hameçonnage intensifiées, et recours à l'intelligence artificielle pour simuler des attaques et proposer des correctifs. « Elle sera utilisée par les attaquants, il faut l'utiliser pour se défendre », résume Amélie Verdier.

Deux commentaires, puisque c'est notre métier. Le bug bounty est la bonne réponse à la troisième fuite et seulement à celle-là : un portail accessible sans authentification est exactement ce qu'un chercheur externe trouve, et c'est d'ailleurs un collectif, LunarisSec, qui l'a signalé. En revanche il ne verra jamais un compte d'agent volé, parce qu'il n'y a rien à trouver de l'extérieur. Deux tiers du dossier lui échappent par construction, et il serait dommage que sa visibilité fasse passer la revue des accès au second plan.

Le second point est le calendrier. L'authentification forte pour tous les agents d'ici fin 2026 signifie qu'elle ne l'était pas en juin 2026, dans une administration qui gère le fichier fiscal du pays. Et sur le cadastre, un second facteur existait et n'a pas tenu, ce qui rappelle que la mesure annoncée n'est une protection que si sa mise en œuvre l'est.

Les sénateurs socialistes réclament de leur côté une commission d'enquête parlementaire, en pointant la répétition des failles au ministère de l'Économie. Sur ce dernier point, ils n'ont pas tort, et c'est le sujet de la section suivante.

Une récidive, pas un accident

Voilà le fait qui, à nos yeux, change la lecture de toute l'affaire, et qui a été très peu relevé.

Six mois plus tôt, entre fin janvier et le 13 février 2026, un attaquant avait consulté le FICOBA, le fichier national des comptes bancaires, en usurpant les identifiants d'un fonctionnaire extérieur à la DGFiP habilité au titre des échanges d'informations entre ministères. Bilan : environ 1,2 million de personnes, avec coordonnées bancaires, identité, adresse et parfois l'identifiant fiscal. Même administration, même vecteur, deux fois dans la même année. Après cet épisode, Solidaires Finances Publiques avait déjà demandé une revue des priorités informatiques.

Les chiffres sortis du point presse et des syndicats donnent le contexte, et ils sont têtus :

• 52,2 % : le taux de conformité de la DGFiP à sa cible technologique fin 2025. Bercy souligne qu'il a doublé depuis 2020, ce qui veut dire qu'il valait 26 % il y a cinq ans.
• 100 postes dédiés à la cybersécurité pour 5 300 informaticiens à Bercy, soit moins de 2 %.
• 6 972 incidents de sécurité en 2025, contre 2 579 en 2023, dont 57 compromissions effectives.
• 34 000 postes supprimés à la DGFiP depuis 2008, plus de 28 % des effectifs, selon la CGT Finances publiques.

Il faut ajouter le cadre réglementaire, parce qu'il est cocasse. La directive NIS 2, qui impose précisément à ce type d'entité de rehausser sa sécurité et de notifier ses incidents, n'est toujours pas transposée en France. Le projet de loi résilience a été présenté en octobre 2024, adopté au Sénat en mars 2025, et son examen à l'Assemblée est repoussé à septembre 2026 au mieux. La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026 pour ce retard. L'administration qui vient de se faire aspirer trois fois est aussi celle dont l'État n'a pas fini de transposer le texte qui l'obligerait à faire mieux.

Qui est ZeroBytes

L'acteur derrière les deux premières intrusions se présente comme un duo, et assume une motivation strictement financière : « l'argent est la principale motivation de toute personne ainsi que le désir de pouvoir », et « je n'ai pas de motivations politiques ». Contact par Telegram, revente sur un forum criminel. Il affirme avoir déjà vendu une partie du fichier fiscal à plusieurs acheteurs pour « plusieurs milliers d'euros », les données restant disponibles à la revente. C'est le détail qui compte pour vous : cette base n'est pas dans un coffre, elle circule.

Sur la sécurité française, il ne mâche pas ses mots, et déclare vouloir « que les gens se réveillent et voient à quel point la France est un sketch ». Il annonce aussi que « les impôts, c'était que le début ».

Son tableau de chasse revendiqué sur 2026 dépasse largement le fisc : le ministère de l'Éducation nationale (346 178 591 lignes brutes, environ 43 gigaoctets répartis sur 2 500 fichiers, 1 224 291 élèves uniques après déduplication, et un lot de 17,8 gigaoctets tiré d'I-Prof contenant des numéros de sécurité sociale d'agents remontant à 2001), la Fédération française de handball (1 367 197 fiches), Intermarché Drive et France VAE. Un opérateur télécom et un groupe hôtelier sont également évoqués, sans confirmation.

Du côté judiciaire, l'enquête du parquet de Paris, confiée à l'OFAC, porte sur l'extraction frauduleuse de données à caractère personnel contenues dans un système de traitement automatisé mis en œuvre par l'État, l'association de malfaiteurs, et l'accès et le maintien frauduleux dans un système de traitement automatisé de données en bande organisée. Ces qualifications ne sont pas décoratives : la bande organisée et l'association de malfaiteurs relèvent d'une échelle de peines nettement supérieure au simple accès frauduleux.

Ce que cette fuite dit de la sécurité par la donnée d'accès

Il y a une leçon de fond, au-delà du cas DGFiP. Aucune des trois intrusions n'a cassé un chiffrement ni exploité une faille inédite. Deux ont réutilisé des identifiants légitimes, ceux d'un agent et d'un partenaire habilité, et sont passées sous les radars parce que, vues de l'intérieur, elles ressemblaient à une activité normale. La troisième n'a même pas eu besoin d'un identifiant : le contrôle d'accès manquait.

C'est le scénario le plus courant des grandes fuites, et le plus difficile à détecter. Il ne se prévient pas seulement par plus de barrières, mais par une surveillance de ce qui est réellement exposé et de qui peut y accéder. Le contournement du MFA sur le cadastre devrait d'ailleurs servir d'avertissement à tout le monde : cocher la case « double authentification activée » dans un tableau de conformité ne dit rien de la solidité de sa mise en œuvre.

La bonne question, après une fuite pareille, n'est pas « avons-nous été piratés », mais « que verrait un attaquant qui regarde notre surface aujourd'hui, et de quelles informations dispose-t-il déjà pour la franchir ». C'est l'angle que nous défendons, et celui de notre analyse de surface d'attaque externe.

Glossaire des termes du dossier

Les sigles de ce dossier sont opaques pour qui ne travaille pas à la DGFiP, et la presse les emploie sans les définir.

Questions fréquentes

Combien de personnes sont concernées par la fuite DGFiP ?

Trois fuites distinctes ont été confirmées. La fuite fiscale concerne 678 000 particuliers et professionnels. La fuite cadastrale concerne au maximum 433 485 particuliers et 1 082 professionnels selon le bilan de Bercy du 18 août, et non les 2 millions initialement revendiqués par l'attaquant, qui comptait les titulaires par parcelle sans dédupliquer. Le volume de la troisième fuite, sur le portail des successions vacantes, n'a pas été communiqué. Le chiffre de 20 millions de personnes « consultables » relève d'une estimation de l'attaquant et n'a jamais été confirmé.

Combien d'intrusions y a-t-il eu, et par quels moyens ?

Trois, aux modes opératoires différents. Le 26 juin 2026, des identifiants d'agent usurpés ont donné accès au VPN interne puis à un outil de recherche fiscale. Le 29 juillet 2026, un compte de partenaire habilité a permis d'entrer sur le serveur cadastral SPDC, avec contournement de l'authentification à plusieurs facteurs. La troisième, détectée le 17 août 2026, ne reposait sur aucun identifiant : le portail des successions vacantes laissait accéder à des informations sans authentification préalable.

Mon mot de passe impots.gouv.fr a-t-il fuité ?

Non. Selon le communiqué officiel, les identifiants et mots de passe des usagers n'ont pas été compromis, et aucune des trois intrusions n'a donné accès à un compte fiscal ni permis de récupérer des codes d'accès. Vous n'avez pas besoin de changer votre mot de passe pour cette raison, même si activer une authentification renforcée reste une bonne pratique.

Suis-je concerné par la fuite DGFiP, et comment le vérifier ?

La DGFiP contacte individuellement chaque personne concernée, par courriel ou courrier, depuis le lundi 17 août 2026. Le courriel authentique porte un objet mentionnant une consultation illégitime de vos informations fiscales et ne contient aucun lien. Ne cliquez sur aucun lien reçu, et vérifiez l'information en tapant vous-même impots.gouv.fr dans votre navigateur. Pour une organisation, une évaluation d'exposition permet d'identifier les personnes clés susceptibles de figurer dans les jeux de données diffusés.

Le contenu de mes échanges avec le fisc a-t-il fuité ?

C'est possible. Le courriel de notification mentionne la liste des messages échangés via impots.gouv.fr, et précise que dans certains cas leur contenu est concerné. Cela vaut pour la première fuite, celle qui touche la base de messages fiscaux. C'est un point souvent passé sous silence, et il est plus sensible qu'un revenu fiscal de référence.

Comment savoir si mon entreprise est concernée par la fuite DGFiP ?

Aucune liste publique ne permet de le vérifier, et la notification de la DGFiP part aux personnes physiques, pas aux sociétés. Deux angles sont à traiter séparément. D'abord l'entité elle-même : la fuite fiscale contient des raisons sociales et des SIREN, donc une entreprise peut y figurer directement. Ensuite ses dirigeants et ses fonctions sensibles, à titre personnel, ce qui est le vecteur le plus utilisé ensuite contre la société. Une évaluation d'exposition croise les deux et dit quels scénarios de fraude cela ouvre concrètement, sans jamais manipuler la donnée volée.

Quel est le principal risque après cette fuite ?

L'hameçonnage ciblé (spear phishing) et l'usurpation d'identité. Les données fiscales et cadastrales rendent les tentatives de fraude très crédibles : faux message de l'administration, faux notaire, faux conseiller bancaire, ou fraude au président visant les entreprises. Le fichier contenant une segmentation par niveau de revenu, avec 26 805 personnes déclarant plus de 100 000 euros, le tri des cibles à fort patrimoine est immédiat. Le risque d'accès direct à vos comptes, en revanche, est faible puisque les mots de passe n'ont pas fuité.

Une entreprise peut-elle être visée alors que la fuite concerne des particuliers ?

Oui. La fuite touche aussi des professionnels (raison sociale, SIREN), et les données personnelles d'un dirigeant ou d'un comptable servent à monter des attaques contre son organisation. Une fraude au faux fournisseur ou au président s'appuie précisément sur ce type d'informations exactes.

Quelle CVE a été exploitée dans le piratage de la DGFiP ?

Aucune. C'est un point important et souvent mal compris : les trois intrusions ne reposent pas sur une vulnérabilité publiée d'un logiciel du marché. Deux exploitent des identifiants légitimes volés, la troisième un défaut de contrôle d'accès propre à une application de la DGFiP. Il n'existe donc ni identifiant CVE, ni correctif éditeur à appliquer, et aucun scanner s'appuyant sur une base de CVE n'aurait signalé quoi que ce soit.

Qu'est-ce que le SPDC de la DGFiP ?

Le SPDC, ou serveur professionnel de données cadastrales, est l'application qui donne accès à l'information cadastrale nationale : parcelles, droits associés, titulaires. Il est ouvert aux agents habilités mais aussi à des professionnels extérieurs, notaires et géomètres notamment. C'est la cible de la deuxième intrusion, le 29 juillet 2026, via le compte d'un partenaire habilité dont l'authentification à plusieurs facteurs a été contournée.

Comment une authentification à plusieurs facteurs peut-elle être contournée ?

Dans le cas du SPDC, ni l'administration ni l'attaquant n'ont documenté la méthode. En général, un second facteur tombe de quatre façons : interception du code à usage unique, vol d'un cookie de session valide après authentification, épuisement de l'utilisateur par des notifications répétées jusqu'à validation, ou implémentation qui n'exige le second facteur que sur certains parcours d'entrée. La leçon opérationnelle est la même dans les quatre cas : la présence d'un MFA dans un tableau de conformité ne dit rien de la solidité de sa mise en œuvre.

À quelles catégories OWASP et CWE ces trois failles correspondent-elles ?

Les deux premières relèvent d'A07 (Identification and Authentication Failures) du top 10 OWASP 2021, avec CWE-522 pour les identifiants insuffisamment protégés et CWE-287 pour l'authentification incorrecte. La troisième relève d'A01 (Broken Access Control) et de CWE-306, une fonction critique accessible sans authentification. Cette correspondance est une lecture technique des faits publiés, elle n'émane pas de la DGFiP.

Un scan de vulnérabilités aurait-il détecté ces failles ?

Pour la troisième, oui : une fonction critique accessible sans authentification sur une application publique se voit de l'extérieur, et c'est typiquement ce qu'un scan de surface externe remonte. Pour les deux premières, non : un compte légitime utilisé par la mauvaise personne ne produit aucune signature de vulnérabilité. C'est la limite qu'il faut avoir en tête quand on évalue quel scan de vulnérabilités choisir, et la raison pour laquelle une revue d'accès et un inventaire d'exposition sont deux chantiers distincts.

Le risque est-il vraiment « faible » pour les entreprises, comme le dit la DGFiP ?

La DGFiP indique que pour « l'écrasante majorité » des professionnels, les données concernées sont publiques ou quasi publiques : SIREN, adresse, représentant légal. C'est juridiquement exact, mais ça décrit chaque donnée isolément. Le risque vient de l'agrégation : trouver ces éléments déjà rapprochés d'une adresse d'imposition, d'un historique de démarches et parfois d'échanges avec le centre des finances publiques épargne à l'escroc le travail de recoupement, qui est le plus long et le plus repérable. Le risque n'est pas nul, il est différé : il se matérialise en fraude au virement, pas en intrusion dans un espace professionnel.

Pourquoi la DGFiP a-t-elle mis quarante-huit jours à annoncer la fuite ?

Parce qu'elle affirme ne l'avoir apprise que le 12 août. Amélie Verdier, directrice générale, l'a formulé ainsi : « Nous avons appris le vol de données le 12 août, nous n'en avions pas connaissance avant. » Deux comptes d'agent compromis avaient bien été repérés et coupés, en juin puis en juillet, mais chaque incident a été traité isolément et l'exfiltration n'a pas été établie. C'est une alerte de l'ANSSI, concomitante de la revendication publique, qui a déclenché les investigations. Le délai de 72 heures de l'article 33 du RGPD court à partir de la prise de connaissance, et la notification à la CNIL du 14 août s'y tient.

Comment l'attaquant a-t-il échappé aux alertes de la DGFiP ?

En restant sous les seuils. La DGFiP dispose de « seuils de masse » qui déclenchent une alerte au-delà d'un certain volume de consultations. L'attaquant a d'abord procédé à des tests manuels, puis automatisé son extraction à un rythme calibré pour ne jamais les franchir : il n'y a pas eu de requêtage massif, donc pas d'alerte. C'est la limite de tout contrôle réglé sur un seuil fixe, et l'argument en faveur d'une détection comportementale qui compare un compte à ses propres habitudes plutôt qu'à une valeur globale.

Comment signaler une tentative de fraude liée à la fuite DGFiP ?

Un courriel d'hameçonnage se signale sur signal-spam.fr, un SMS en le transférant au 33700, et un usage frauduleux de carte bancaire via le téléservice Perceval sur service-public.fr. Le portail cybermalveillance.gouv.fr oriente les victimes, particuliers comme entreprises, et donne accès au guichet 17Cyber. Conservez la notification officielle de la DGFiP si vous en avez reçu une, ainsi que les messages suspects : ce sont les pièces utiles si un préjudice se matérialise.

Puis-je porter plainte ou saisir la CNIL ?

La CNIL a été saisie par la DGFiP et mène ses vérifications, notamment sur la conformité des mesures de sécurité en place à l'état de l'art. Une plainte individuelle n'est pas nécessaire, sauf si vous détenez des éléments spécifiques utiles à l'enquête. Vous pouvez conserver la notification officielle et documenter tout préjudice ou tentative de fraude. Des actions collectives ont par ailleurs été annoncées par certains cabinets d'avocats, et des sénateurs demandent une commission d'enquête parlementaire.

Est-ce la première fuite de ce type à la DGFiP ?

Non, et c'est le point le plus inquiétant. De fin janvier au 13 février 2026, un attaquant avait déjà consulté le fichier national des comptes bancaires FICOBA en usurpant les identifiants d'un fonctionnaire extérieur à la DGFiP habilité aux échanges entre ministères, exposant environ 1,2 million de personnes avec leurs coordonnées bancaires. Le vecteur est le même : un compte tiers légitime.

Conclusion

La fuite DGFiP d'août 2026 ne vole pas des mots de passe, elle vole quelque chose de plus tenace : des faits sur vous et votre entreprise qui resteront vrais longtemps. Et elle n'est pas un accident isolé, mais la troisième défaillance d'accès de la même administration en huit mois, dont deux via des comptes tiers.

Le risque ne se referme pas en changeant un identifiant. Il se gère en rendant vos équipes imperméables aux arnaques qui vont s'appuyer sur ces données, en révisant qui accède à quoi chez vous et chez vos prestataires, et en sachant précisément ce qui, de votre côté, est exposé.

Faites analyser votre exposition par Flawfence : nous cartographions votre surface, identifions vos personnes clés exposées et vous disons quoi verrouiller en premier.

Sources

• Communiqué du ministère de l'Action et des Comptes publics, 14 août 2026
• CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours »
• Next, « Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques »
• AFP, « Le gouvernement présente ses excuses, une troisième fuite repérée et coupée », 18 août 2026
• FrenchBreaches, fiche technique de la fuite DGFiP
• Solidaires Finances Publiques, « Solidaires Finances Publiques avait alerté sur les risques dès juin »
• Journal du Net, « Le ministère des Comptes publics présente ses excuses et annonce des mesures d'urgence », 19 août 2026
• Toutsurmesfinances, « Piratage de la DGFiP : comment le fisc a laissé passer le vol de données »
• Allianz Trade et Odoxa, baromètre de la fraude en entreprise 2026
• Cybermalveillance.gouv.fr, fiche réflexe hameçonnage

Article publié le 18 août 2026, mis à jour le 19 août 2026 avec le plan de riposte de Bercy, la date de prise de connaissance retenue par la DGFiP, le détail des seuils de détection contournés et le bilan cadastral dédupliqué. Les chiffres cités sont ceux connus à cette date. L'administration présente encore ses bilans comme provisoires, et l'audit de l'ANSSI attendu en septembre peut les faire évoluer.