La Direction générale des Finances publiques fait face à un incident de cybersécurité potentiellement majeur. Mercredi 12 août, un acteur malveillant a publiquement revendiqué avoir obtenu un accès illégitime au système d’information de l’administration fiscale. Une intrusion qui ne serait toutefois pas récente : elle remonterait à la fin du mois de juin 2026.
Les premières investigations menées par la DGFiP confirment la réalité de cet accès, obtenu à la suite d'une usurpation d'identité. Celui-ci avait été interrompu dès la fin juin dans le cadre d'un contrôle effectué par l'administration. Mais avant d'être coupé, l'accès frauduleux a permis au cybercriminel de consulter et d'extraire des données relatives à des particuliers comme à des professionnels.
À ce stade, la DGFiP ne communique pas encore de bilan définitif sur le nombre de personnes touchées ni sur la totalité des informations compromises. Des investigations approfondies sont toujours en cours.
À la suite de la revendication rendue publique le 12 août, la DGFiP indique avoir immédiatement déployé de nouvelles mesures de restriction afin de mettre fin aux possibilités d'accès concernées et de prévenir toute nouvelle intrusion utilisant le même mode opératoire.
Les équipes chargées des systèmes d'information travaillent avec les services des ministères économiques et financiers, notamment le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu'avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
L'enjeu est désormais double : déterminer précisément le périmètre des données effectivement consultées ou exfiltrées et identifier l'ensemble des usagers concernés.
En parallèle des investigations officielles, les premiers éléments avancés par FrenchBreaches, média spécialisé dans le suivi des fuites de données, donnent une idée de l'ampleur potentielle de l'incident.
Selon les informations que le site affirme avoir recueillies directement auprès du cybercriminel, 678 437 personnes uniques seraient concernées, dont 392 867 particuliers et 285 570 professionnels. Ces chiffres demeurent toutefois à considérer avec prudence : ils proviennent de l'auteur de la revendication et n'ont pas encore été confirmés par la DGFiP, qui poursuit ses propres vérifications.
La nature des informations potentiellement exposées rend l'affaire particulièrement sensible. FrenchBreaches indique que les éléments concernant certains particuliers comprendraient notamment des données d'identité et de contact, mais également des informations relatives à leur situation fiscale.
Parmi les 392 867 particuliers évoqués, 26 805 présenteraient un revenu fiscal de référence égal ou supérieur à 100 000 euros, 386 dépasseraient le million d'euros et huit franchiraient le seuil des 10 millions d'euros, toujours selon les données communiquées au média spécialisé par le cybercriminel.
Le fichier issu de l'extraction serait par ailleurs proposé à la vente pour plusieurs milliers d'euros. Là encore, il s'agit d'une affirmation attribuée au cybercriminel et non d'un élément confirmé à ce stade par l'administration fiscale.
La DGFiP prévoit d'adresser une information individuelle aux usagers dont les données ont effectivement été compromises. Cette notification devra préciser la nature des informations susceptibles d'avoir été consultées ou extraites et, lorsque cela sera nécessaire, les mesures de vigilance à adopter.
L'incident doit également faire l'objet d'une notification auprès de la Commission nationale de l'informatique et des libertés (CNIL). La DGFiP annonce par ailleurs son intention de déposer plainte.
Pour les personnes potentiellement concernées, la vigilance devra notamment porter sur les tentatives d'hameçonnage susceptibles d'exploiter des informations personnelles ou fiscales afin de rendre de faux courriels, SMS ou appels particulièrement crédibles. Le ministère de l'Économie rappelle que l'identité de la DGFiP et du Trésor public est régulièrement détournée par des fraudeurs pour tenter d'obtenir des informations personnelles ou bancaires.
L'administration fiscale devrait communiquer de nouveaux éléments à mesure de l'avancée de ses investigations. Le nombre définitif de personnes concernées, la liste précise des données compromises et l'étendue réelle de leur extraction restent donc encore à établir.
Les premières investigations menées par la DGFiP confirment la réalité de cet accès, obtenu à la suite d'une usurpation d'identité. Celui-ci avait été interrompu dès la fin juin dans le cadre d'un contrôle effectué par l'administration. Mais avant d'être coupé, l'accès frauduleux a permis au cybercriminel de consulter et d'extraire des données relatives à des particuliers comme à des professionnels.
À ce stade, la DGFiP ne communique pas encore de bilan définitif sur le nombre de personnes touchées ni sur la totalité des informations compromises. Des investigations approfondies sont toujours en cours.
De nouvelles restrictions mises en place par la DGFiP
À la suite de la revendication rendue publique le 12 août, la DGFiP indique avoir immédiatement déployé de nouvelles mesures de restriction afin de mettre fin aux possibilités d'accès concernées et de prévenir toute nouvelle intrusion utilisant le même mode opératoire.
Les équipes chargées des systèmes d'information travaillent avec les services des ministères économiques et financiers, notamment le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu'avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
L'enjeu est désormais double : déterminer précisément le périmètre des données effectivement consultées ou exfiltrées et identifier l'ensemble des usagers concernés.
Plus de 678 000 personnes potentiellement concernées
En parallèle des investigations officielles, les premiers éléments avancés par FrenchBreaches, média spécialisé dans le suivi des fuites de données, donnent une idée de l'ampleur potentielle de l'incident.
Selon les informations que le site affirme avoir recueillies directement auprès du cybercriminel, 678 437 personnes uniques seraient concernées, dont 392 867 particuliers et 285 570 professionnels. Ces chiffres demeurent toutefois à considérer avec prudence : ils proviennent de l'auteur de la revendication et n'ont pas encore été confirmés par la DGFiP, qui poursuit ses propres vérifications.
La nature des informations potentiellement exposées rend l'affaire particulièrement sensible. FrenchBreaches indique que les éléments concernant certains particuliers comprendraient notamment des données d'identité et de contact, mais également des informations relatives à leur situation fiscale.
Parmi les 392 867 particuliers évoqués, 26 805 présenteraient un revenu fiscal de référence égal ou supérieur à 100 000 euros, 386 dépasseraient le million d'euros et huit franchiraient le seuil des 10 millions d'euros, toujours selon les données communiquées au média spécialisé par le cybercriminel.
Le fichier issu de l'extraction serait par ailleurs proposé à la vente pour plusieurs milliers d'euros. Là encore, il s'agit d'une affirmation attribuée au cybercriminel et non d'un élément confirmé à ce stade par l'administration fiscale.
Les personnes touchées seront informées individuellement
La DGFiP prévoit d'adresser une information individuelle aux usagers dont les données ont effectivement été compromises. Cette notification devra préciser la nature des informations susceptibles d'avoir été consultées ou extraites et, lorsque cela sera nécessaire, les mesures de vigilance à adopter.
L'incident doit également faire l'objet d'une notification auprès de la Commission nationale de l'informatique et des libertés (CNIL). La DGFiP annonce par ailleurs son intention de déposer plainte.
Pour les personnes potentiellement concernées, la vigilance devra notamment porter sur les tentatives d'hameçonnage susceptibles d'exploiter des informations personnelles ou fiscales afin de rendre de faux courriels, SMS ou appels particulièrement crédibles. Le ministère de l'Économie rappelle que l'identité de la DGFiP et du Trésor public est régulièrement détournée par des fraudeurs pour tenter d'obtenir des informations personnelles ou bancaires.
L'administration fiscale devrait communiquer de nouveaux éléments à mesure de l'avancée de ses investigations. Le nombre définitif de personnes concernées, la liste précise des données compromises et l'étendue réelle de leur extraction restent donc encore à établir.
