Une intrusion fin juin 2026 affecte des données fiscales
La Direction générale des Finances publiques (DGFiP) a confirmé qu'un accès illégitime à son système d'information était survenu fin juin 2026, à la suite d'une usurpation d'identité. Les investigations en cours conduisent l'administration à estimer que quelques centaines de milliers d'usagers ont vu des données extraites.
Qui est concerné — et qui ne l'est pas
La DGFiP indique qu'elle adressera directement un message à chacun des particuliers et professionnels affectés afin de préciser les données compromises et, le cas échéant, les mesures de vigilance à adopter. L'administration insiste par ailleurs sur le fait que le site impots.gouv.fr et les espaces Finances publiques des usagers n'ont pas été compromis et ne constituent pas, selon elle, le vecteur de l'extraction de données.
"À ce stade des investigations, quelques centaines de milliers d'usagers sont concernés par cet acte malveillant"
Chiffres documentés par des acteurs extérieurs
Le site spécialisé FrenchBreaches, qui a documenté ces incidents, avance des premiers chiffres ventilés : 393 000 particuliers et 285 000 professionnels concernés pour le premier piratage. Ces totaux n'ont pas été confirmés dans le détail par la DGFiP au moment de son annonce publique.
| Source | Particuliers | Professionnels |
|---|---|---|
| FrenchBreaches (premier incident) | 393 000 | 285 000 |
Une seconde attaque évoquée, pas encore validée par l'administration
Des éléments font état d'une seconde intrusion, survenue fin juillet 2026, visant le Serveur professionnel de données cadastrales (SPDC). Cette seconde attaque n'avait pas été confirmée publiquement par la DGFiP au moment où elle a communiqué sur le bilan initial.
Conséquences et calendrier
- La DGFiP promet de publier un bilan consolidé prochainement lorsque les investigations seront avancées.
- Les usagers concernés seront contactés individuellement pour connaître la nature exacte des données exfiltrées et les précautions à prendre.
- L'administration précise que, selon elle, l'accès aux comptes utilisateurs sur impots.gouv.fr n'est pas la voie utilisée pour ces extractions.
Sur le plan pratique, les personnes qui reçoivent un message de la DGFiP devront vérifier l'authenticité de la communication (expéditeur officiel, contenu précis) et suivre les recommandations fournies. Les détails sur les types de données volées — par exemple identifiants, adresses, informations fiscales détaillées — n'ont pas encore été publiés par la DGFiP au moment du communiqué.
Cette affaire illustre l'importance de la sécurisation des systèmes d'information publics et du suivi rapproché des incidents lorsque des données sensibles sont en jeu. La publication d'un bilan consolidé et la vérification indépendante des volumes et des types de données extraites restent les prochaines étapes à suivre.
