Un accès illégitime confirmé, l'ampleur encore à préciser
La Direction générale des Finances publiques (DGFiP) a confirmé qu'un acteur malveillant a accédé illégalement à une partie de son système d'information à la fin du mois de juin 2026. L'administration indique que cet accès, interrompu dans le cadre de contrôles en juin, a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels. Les investigations se poursuivent afin de déterminer l'étendue exacte des informations compromises et le nombre définitif d'usagers affectés.
Ce que le pirate revendique
Sur les éléments publiés par l'assaillant le 12 août, celui-ci revendique une base d'environ 678 000 lignes, soit un volume proche de 700 000 personnes ou dossiers. La DGFiP reste prudente et travaille avec les services compétents pour vérifier ces revendications.
« Un acteur malveillant a revendiqué publiquement, le 12 août, une intrusion réalisée fin juin 2026. »
Nature des données potentiellement exposées
Aux éléments de volume s'ajoute la sensibilité des informations évoquées. Les données revendiquées pourraient permettre d'établir des profils précis : nom, prénom, date et lieu de naissance, adresse postale, adresse électronique, numéro de téléphone, situation familiale, nombre de personnes à charge. Des éléments fiscaux seraient également concernés, notamment le revenu fiscal de référence, le taux de prélèvement à la source et l'identifiant fiscal SPI. La combinaison de ces éléments augmente notablement le risque d'usurpation d'identité et d'escroquerie ciblée.
Mesures engagées par l'administration
La DGFiP a précisé qu'elle collabore avec les services spécialisés des ministères économiques et financiers ainsi qu'avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Les investigations visent à :
- vérifier le périmètre exact des données consultées ou extraites ;
- identifier les usagers concernés ;
- déterminer les mesures de remédiation et d'alerte individuelles à mettre en œuvre.
L'administration a indiqué que les usagers affectés recevront une information individuelle précisant les données susceptibles d'avoir été exposées et, le cas échéant, les mesures de vigilance recommandées.
Conséquences probables et points de vigilance
Même si le chiffre revendiqué reste à confirmer, la nature des données mentionnées est préoccupante : couplées, elles facilitent la confection d'escroqueries convaincantes (phishing, demandes frauduleuses de versements, usurpation d'identité pour des démarches administratives). Les professionnels de la sécurité alertent sur le fait que la valeur d'un dossier fiscal est élevée pour les réseaux organisés cherchant à monnayer des bases ou à monter des attaques ciblées.
| Élément | Information communiquée |
|---|---|
| Date de l'intrusion | Fin juin 2026 (revendiquée le 12 août) |
| Volume revendiqué | ~678 000 lignes (proche de 700 000 dossiers) |
| Données évoquées | Identité, coordonnées, situation familiale, RFR, taux de PAS, identifiant SPI |
Ce que doivent faire les contribuables
- Attendre la notification individuelle de la DGFiP pour connaître précisément les informations concernées ;
- renforcer la vigilance face aux courriels, appels ou SMS inattendus demandant des informations ou des versements ;
- vérifier les fonctionnalités d'authentification de leurs comptes administratifs et modifier les mots de passe si nécessaire.
Les investigations étant en cours, il convient de se tenir aux communications officielles de la DGFiP et de l'ANSSI. Le dossier soulève une nouvelle fois la question de la protection des données sensibles détenues par l'État et des moyens mis en œuvre pour prévenir et détecter les intrusions.
