Ressources
fr
17 août 2026 Piratages /
Ce contenu vous plait
Partagez-le sur les réseaux
Vous avez peut-être reçu un mail de notification ces derniers jours, ou vu l'information circuler sur les réseaux : la Direction générale des Finances publiques (DGFiP), l'administration fiscale qui gère vos impôts, a confirmé le 13 août avoir été victime d'un piratage.
Un acteur malveillant avait obtenu un accès illégitime à son système d'information dès fin juin, resté invisible près de deux mois avant d'être revendiqué sur un forum spécialisé le 12 août ; deux jours plus tard, une seconde revendication, portant cette fois sur des données cadastrales, s'y est ajoutée. Le 15 août, le parquet de Paris a ouvert une enquête via sa section cybercriminalité pour identifier les auteurs.
"Beaucoup de ministères, mais aussi d'entreprises, ont des applications métier datant de plusieurs décennies et peu adaptées aux menaces actuelles. Elles sont souvent sécurisées par des solutions réseau (cloisonnement, WAF, IPS/IDS...) qui ont leurs limites.
Heureusement qu'en France, la loi Informatique et Libertés a interdit de faire des mégabases de données centralisées comme le font les GAFAM, sinon cela aurait été bien pire. L'État doit aussi assurer une compatibilité pour tous les citoyens, donc supporter un très grand nombre de moyens d'accès, de navigateurs, de systèmes d'exploitation.
Et il ne faut pas croire tout ce que les cybercriminels et les experts autoproclamés racontent : ils sont là pour se vendre en premier lieu."
— Vladimir Kolla, co-fondateur de Patrowl
L'intrusion daterait du 26 juin 2026, mais elle n'a été rendue publique que le 12 août, près de deux mois plus tard.
Deux fuites de données sont revendiquées par le pirate : l'une sur l'outil de recherche fiscale, l'autre sur le cadastre. Le communiqué officiel de Bercy confirme un total de 678 000 particuliers et professionnels concernés, données cadastrales incluses, sans reprendre le chiffre de 2 millions de propriétaires avancé séparément par le pirate.
Le site impots.gouv.fr et les espaces personnels n'ont pas été touchés. Seuls des outils internes réservés aux agents sont concernés.
Pas de faille technique rare ici : l'accès initial repose sur une usurpation d'identité, un acteur malveillant s'étant servi d'identifiants volés.
Selon Bercy, un acteur malveillant a obtenu un accès illégitime au système d'information de la DGFiP, permettant la consultation et l'extraction de données de particuliers et de professionnels. Deux attaques distinctes ont en réalité été revendiquées à 48 heures d'écart, contre deux systèmes différents, via des captures d'écran publiées sur des forums spécialisés.
La première des deux attaques à avoir été confirmée par Bercy est aussi la mieux documentée.
Voici, reconstitué à partir des éléments connus et des revendications du pirate, le parcours qu'aurait suivi l'attaquant : vol d'identifiant et mot de passe, connexion au VPN, progression dans le système d'information, puis extraction de données avant une coupure de l'accès.
Le système d'information de la DGFiP ressemble à un immeuble de bureaux : certains badges n'ouvrent que l'accueil, d'autres, ceux des employés, vont jusqu'aux dossiers confidentiels. Voici le chemin suivi par l'attaquant :
Vol des identifiants d'un agent : une usurpation d'identité, pas une faille technique.
Connexion au VPN de la DGFiP, normalement réservé au télétravail des agents.
Accès à l'outil de recherche fiscale, sans qu'aucun contrôle supplémentaire n'ait été signalé à ce stade, ce qui suggère, selon notre analyse, un défaut de cloisonnement entre le VPN et cet outil.
Extraction de données pendant plusieurs semaines, à partir du 26 juin.
Dès la détection des intrusions, la DGFiP a interrompu les accès concernés ; les contrôles menés à ce moment n'ont toutefois pas permis d'établir que ces intrusions avaient conduit à un vol de données, en raison de la sophistication de l'attaque, selon le communiqué officiel du 14 août.
Revendication sur un forum le 12 août par ZeroBytes, un groupe de deux personnes motivé par l'argent, selon l'AFP.
Confirmation par Bercy dès le lendemain, 13 août.
La DGFiP qualifie elle-même l'opération de "plus sophistiquée que ce qu'on avait vu par le passé" : l'absence de "requêtage massif", ce volume de demandes inhabituel qu'elle repère plus facilement, explique en partie pourquoi l'extraction est passée inaperçue si longtemps.
Le communiqué officiel du 14 août confirme un total de 678 000 particuliers et professionnels concernés, sur les 678 438 lignes que le pirate affirmait avoir extraites. Les données confirmées par Bercy incluent, pour les particuliers, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source, et pour les professionnels, la raison sociale et le numéro SIREN.
Le pirate affirme de son côté avoir récupéré 678 438 ensembles de données liées à des demandes (tickets) de particuliers et professionnels, contenant selon lui a minima : nom, prénom, numéro de téléphone (parfois), date et lieu de naissance, email, informations fiscales (parfois), nom de l'agent traitant la demande, et objet de la demande. Cette description plus détaillée n'a pas été confirmée telle quelle par la DGFiP, qui n'a communiqué que sur les catégories de données mentionnées ci-dessus.
Début 2026 déjà, le Fichier national des comptes bancaires (FICOBA) avait été consulté frauduleusement après le vol d'identifiants d'un agent, exposant 1,2 million de comptes bancaires selon le Journal du Geek. FICOBA recense uniquement l'existence d'un compte associé à une personne (par exemple, tel titulaire dispose d'un compte dans telle banque) : il ne contient ni solde ni moyen d'émettre un prélèvement, mais suffit à orienter une usurpation d'identité ou un démarchage frauduleux ciblé. Pas de code cassé, dans ce cas non plus : une clé récupérée ailleurs.
Revendiquée 48 heures après la première, par le même pseudonyme ZeroBytes, sur un système différent.
Usurpation de l'identité d'un tiers habilité, un notaire ou un géomètre-expert, utilisateur autorisé du Serveur Professionnel de Données Cadastrales, une identité distincte de celle utilisée lors de la première attaque.
Contournement de l'authentification multifacteur (la double vérification à la connexion) pour atteindre ce serveur.
Consultation de données cadastrales (adresses, surfaces) à partir du 29 juillet, sans déclencher d'alerte : la connexion apparaissait comme légitime depuis l'extérieur.
Le pirate revendique environ 252 000 lignes de recherche, avec un échantillon d'environ 1 100 lignes fourni à titre.
Revendication le 14 août ; l'accès est suspendu peu après la publication.
Le parquet de Paris, en ouvrant son enquête le 15 août pour extraction frauduleuse de données et association de malfaiteurs, couvre les deux affaires ; les investigations ont été confiées à l'Office anticybercriminalité (OFAC), rattaché à la police nationale.
Le pirate revendique environ 252 000 lignes de recherche cadastrale et évoque, sans confirmation officielle distincte, jusqu'à 2 millions de propriétaires potentiellement concernés, voire 20 millions de citoyens dans le système selon lui. Le communiqué de Bercy du 14 août confirme la consultation de données cadastrales (adresses, surfaces de biens), mais les intègre dans son total global de 678 000 personnes, sans leur attribuer de chiffre séparé.
Trois publics sont concernés, avec des risques (ce qui pourrait arriver) et des impacts (ce qui est déjà avéré) différents.
| Cible | ⚠️ Risques | 📊 Impacts |
|---|---|---|
| 👤Particuliers et professionnels | Usurpation d'identité, escroquerie ; arnaques ciblées (hameçonnage, compromission de l'ordinateur personnel) ; cambriolage via l'adresse exposée ; kidnapping contre rançon (peu probable) | Perte financière potentielle si l'un de ces risques se concrétise |
| 🏢Entreprises et organisations sensibles | Fraude possible, mais limitée aux quelques données non publiques volées | Faible : les données professionnelles concernées sont déjà publiques par ailleurs |
| 🏛️État et services publics | — | Perte de confiance du public (réputationnel),perte de confiance ou de motivation, au sein de la DGFi,, coût de gestion de l'incident |
Le phishing reste le principal vecteur concret pour les particuliers, avec des messages qui exploitent les données volées, jusqu'à un un faux mandat de prélèvement à valider. Pour les entreprises, l'enjeu porte surtout sur les obligations de notification à la CNIL (Commission nationale de l'informatique et des libertés) au titre du RGPD. Pour l'État, une étude Surfshark relayée par le Journal du Geek recensait déjà 43,4 millions de comptes compromis en France au premier semestre 2026, dans un contexte où NIS2 relève les exigences de cybersécurité pour les organismes essentiels.
Chez Patrowl, on aide les organisations à repérer leurs points d'accès exposés avant qu'un attaquant ne le fasse à leur place.
Un VPN d'agents relié directement à un outil métier sensible. C'est exactement le genre d'angle mort qu'une gestion continue de la surface d'attaque externe (EASM) permet de repérer : cartographier ce qu'une organisation expose sur internet, identifier ce qui mène à des systèmes critiques, signaler ce qui sort de l'ordinaire.
Nos réflexes pour toute organisation qui manipule des données sensibles :
Cartographier en continu les accès distants avec des solutions d'EASM.
Cloisonner strictement les actifs selon les profils utilisateurs, pour qu'un identifiant volé n'ouvre pas tout le système d'information.
Déployer une authentification forte partout, en évitant le SMS et le mail comme second facteur.
Croiser les détections techniques (localisation, connexions simultanées, horaires) et métier (volumes de téléchargement anormaux) pour fiabiliser les alertes.
Ce sont les principes qu'on applique dans nos outils de gestion de surface d'attaque et de pentest continu.
Ce vecteur d'attaque n'a rien d'isolé. On l'a déjà vu ailleurs, avec des volumes comparables ou supérieurs. De quoi traiter le sujet au niveau structurel plutôt que comme un incident ponctuel.
Envie de savoir où se situent vos propres angles morts ?
Ne donnez jamais votre mot de passe, un code de validation ou vos coordonnées bancaires (RIB) suite à un appel, un SMS ou un mail non sollicité, même officiel en apparence, et vérifiez toujours l'identité de votre interlocuteur avant de transmettre une information fiscale ou personnelle.
Surveillez vos comptes, impots.gouv.fr et votre banque, en vérifiant auprès de votre établissement bancaire qu'aucun mandat de prélèvement inconnu n'a été enregistré.
Un mail légitime ne demande jamais de mot de passe, de code de validation, de RIB ou de numéro de carte, et ne contient ni pièce jointe exécutable ni lien raccourci : en cas de doute, ne cliquez sur rien et allez directement sur le site officiel en tapant l'adresse vous-même.
Pour de l'aide :
La fiche de la CNIL sur le piratage de données personnelles
Signal Spam et Pharos (internet-signalement.gouv.fr) pour signaler une tentative de phishing
Non. L'attaque vise des outils internes réservés aux agents ; le site public et les espaces personnels n'ont pas été compromis.
La directrice générale de la DGFiP, Amélie Verdier, a présenté ses excuses aux usagers concernés. La DGFiP a commencé à contacter individuellement les personnes concernées à partir du lundi 17 août, par courriel ou courrier, en précisant les données consultées. Les données volées ne permettent pas d'accéder à l'espace personnel sécurisé sur impots.gouv.fr : il n'est donc pas nécessaire de changer votre mot de passe si vous recevez ce message.
Aucun outil de vérification officiel n'existe à ce jour ; méfiez-vous des sites tiers qui promettent de vérifier une fuite en échange d'informations personnelles.
Même auteur (ZeroBytes) et même enquête judiciaire, mais deux identités usurpées différentes, voir le détail plus haut.
À prendre avec du recul : les cybercriminels gonflent parfois leurs chiffres pour vendre plus cher. Le total de 678 000 personnes, données cadastrales incluses, est confirmé par le communiqué officiel de Bercy du 14 août. Le chiffre de 2 millions de propriétaires, avancé séparément par le pirate pour le seul volet cadastral, n'est pas repris dans ce communiqué.
Non, selon la DGFiP, malgré un mode opératoire proche.
Surtout du phishing ciblé et un risque d'usurpation d'identité via le recoupement du nom, de la date de naissance et de l'adresse. Aucune donnée bancaire (RIB, numéro de carte) n'a été rapportée dans les lots revendiqués à ce jour.
Ministère de l'Économie et des Finances, communiqué de presse officiel du 14 août 2026
France Info, annonce officielle et bilan à 678 000 personnes
Journal du Geek, étude Surfshark sur les 43,4 millions de comptes compromis en France
Euronews, communiqué officiel complet, excuses d'Amélie Verdier et enquête du parquet
