Une intrusion reconnue par Bercy, portée et données encore partiellement inconnues
La Direction générale des Finances publiques (DGFiP) a confirmé, dans un communiqué rendu public le 13 août, qu'un « accès illégitime » à son système d'information est intervenu fin juin 2026. Selon Bercy, cet accès, qui a été interrompu à la fin juin lors des premiers contrôles, a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels.
« Mercredi, un acteur malveillant a revendiqué un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP), intervenu fin juin 2026, après une usurpation d’identité. Les premières investigations confirment que cet accès, qui avait été coupé fin juin dans le cadre du contrôle opéré, a néanmoins permis la consultation et l’extraction de données concernant des particuliers et des professionnels. »
Le communiqué ne précise pas la nature exacte des données compromises ni le nombre de contribuables affectés. En revanche, des sites spécialisés cités par des médias avancent que la revendication des auteurs de l'attaque évoque la collecte d'informations sensibles : identité complète, date et lieu de naissance, adresse postale, adresse e-mail, numéro de téléphone, identifiants fiscaux, numéro de SIREN pour les professionnels, situation familiale, historique des échanges avec les services fiscaux et montants d'impôt.
Qui sera informé et quelles suites ?
Bercy indique que les usagers concernés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et, si nécessaire, les mesures de vigilance à adopter. A ce stade, aucune estimation officielle du nombre de comptes compromis n'a été fournie par l'administration.
- Moment de l'incident : fin juin 2026 (accès détecté et coupé à la fin juin).
- Annonce publique : revendication rendue publique le 12 août, communiqué officiel de Bercy le 13 août.
- Conséquence annoncée : information individuelle envoyée aux usagers concernés.
Conséquences pratiques et risques pour les contribuables
Si les éléments revendiqués s'avèrent exacts, la fuite toucherait des données personnelles et fiscales sensibles, utilisables pour des escroqueries, usurpations d'identité ou phishing. Les professionnels pourraient être concernés via le numéro de SIREN. Le risque immédiat pour les personnes visées est donc l'exploitation de ces informations par des tiers malveillants.
| Point | État connu |
|---|---|
| Date d'accès | Fin juin 2026 |
| Annonce | Revendication 12 août, communiqué Bercy 13 août |
| Données évoquées (revendication) | Identité, contacts, identifiants fiscaux, SIREN, historique d'échanges, montants d'impôt |
| Nombre de personnes | Non communiqué officiellement (revendication : « dizaines de millions » selon site spécialisé) |
Les enquêtes techniques et judiciaires doivent préciser la portée effective de l'intrusion, la nature exacte des données exfiltrées et l'éventuelle diffusion publique de ces fichiers. En attendant, les contribuables doivent rester vigilants face à des sollicitations frauduleuses et suivre les instructions que l'administration fiscale adressera aux personnes affectées.
Ce nouvel incident interroge également sur la sécurité des systèmes d'information des administrations et sur les modalités de protection des données fiscales, enjeux centraux pour la confiance des usagers dans les services publics numériques.
