Cyberattaque des impôts : le point sur la fuite de données

Cyberattaque des impôts : les dernières infos

La Direction générale des finances publiques (DGFiP) a reconnu, vendredi 14 août, des « accès illégitimes » à son « système d’information ». Ceux-ci sont intervenus en juin et juillet 2026, et ont été revendiqués les 12 et 13 août. Ces intrusions reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité.  L’administration fiscale a apporté, mardi 18 août 2026, de nouvelles précisions sur la cyberattaque ayant entraîné le vol de données fiscales de plus de 350 000 particuliers, lors d’une conférence de presse.

Selon le hackeur éthique Clément Domingo, alias Saxx, interrogé ce lundi 17 août sur TF1, le cybercriminel a agi pour l’argent, qui est « sa motivation principale ». Il considère qu’il s’agit de « la cyberattaque la plus grave » intervenue en France, celle-ci pouvant « potentiellement permettre à des personnes de se faire passer pour l’administration fiscale et donc de vous piéger »

L’administration fiscale avait en réalité détecté dès juin, puis en juillet, la compromission de comptes d’agents utilisés lors de l’attaque et les avait rapidement bloqués. Mais les investigations menées à ces deux occasions par la DGFiP n’avaient pas permis d’identifier le vol de données.

La DGFiP n’a finalement eu connaissance du vol de données que le 12 août, après une alerte de l’ANSSI et, quasi simultanément, la revendication de l’attaquant.

David Amiel a présenté ses « excuses » aux contribuables concernés et reconnu l’existence de faiblesses dans les systèmes d’information de l’État.

Trois fuites de données distinctes identifiées

La DGFiP distingue désormais trois violations de données, d’ampleur et de gravité différentes.

La première, rendue publique le 13 août, est la plus sensible. Elle concerne environ 350 000 particuliers et 250 000 comptes professionnels. Pour les particuliers, l’attaquant a pu accéder à des informations fiscales couvertes par le secret fiscal.

Une deuxième fuite, révélée le 13 août, concerne des données cadastrales. Après suppression des doublons, la DGFiP estime à 433 485 au maximum le nombre de particuliers concernés, ainsi que 1 082 professionnels. L’administration souligne que ces informations sont moins sensibles, certaines étant accessibles sur demande auprès d’une mairie ou d’un service des impôts.

Une troisième intrusion a été évoquée mardi 18 août concernant le portail public des successions vacantes. La DGFiP indique avoir détecté et coupé cet accès dès le 17 août, avant sa revendication publique. L’analyse est toujours en cours. L’attaquant aurait eu accès à un journal recensant des recherches effectuées sur ce portail et non à des données fiscales comparables à celles de la première fuite.

Dans aucun de ces trois cas, selon la DGFiP, l’attaquant n’a pénétré dans l’espace fiscal personnel d’un contribuable ni récupéré ses codes d’accès.

Chronologie de la cyberattaque de la DGFiP

Juin 2026. La DGFiP détecte la compromission d’un compte d’un agent et le bloque. Des investigations sont menées, sans permettre d’identifier le vol de données.

Juillet 2026. Un autre compte compromis est utilisé selon un mode opératoire similaire. Il est lui aussi bloqué. Les investigations de la DGFiP ne mettent pas au jour l’exfiltration de données.

12 août. La DGFiP apprend l’existence du vol de données, quasi simultanément par une alerte de l’ANSSI et par la revendication de l’attaquant.

13 août. Confirmation publique de la fuite de données. Une deuxième fuite concernant des données cadastrales est revendiquée.

14 août. La DGFiP précise l’ampleur de la fuite et la nature des données concernées.

17 août. Début de l’information individuelle des particuliers touchés. Une cellule interministérielle de crise est réunie. La DGFiP détecte par ailleurs un accès anormal au portail des successions vacantes et le coupe.

18 août. David Amiel, Amélie Verdier, directrice générale des finances publiques, et le général Stéphane Bajard, directeur général adjoint de l’ANSSI, présentent un nouveau point de situation à Bercy et annoncent de nouvelles mesures de sécurité.

Qui est concerné par la violation de données ?

Selon les chiffres communiqués à FrenchBreaches.com, site recensant les fuites de données en France, par le cybercriminel à l’origine de la revendication, la fuite concernerait 678 437 personnes, dont 392 867 particuliers et 285 570 professionnels. De son côté, la DGFiP estime qu’environ 350 000 particuliers et 250 000 comptes professionnels sont concernés par cette fuite. La directrice générale des finances publiques, Amélie Verdier, a expliqué le 18 août que les chiffres revendiqués par l’attaquant comportaient notamment des doublons.

« Parmi les particuliers, 26 805 auraient un revenu fiscal de référence de 100 000 euros ou plus, 386 dépasseraient 1 million d’euros et 8 dépasseraient 10 millions d’euros », précise FrenchBreaches.com.

Concernant les professionnels, la DGFiP précise que, pour « l’écrasante majorité » d’entre eux, les informations concernées sont publiques ou quasi publiques, comme le numéro Siren ou l’adresse. L’administration vérifie encore si certains contenus de messages consultés comportaient des informations fiscales. Les professionnels concernés doivent commencer à être informés individuellement à partir de la semaine du 24 août.

Quelles données de particuliers piratées ?

Selon la DGFiP, les données susceptibles d’avoir été consultées ou extraites à l’occasion de la cyberattaque comprennent le numéro fiscal qui sert d’identifiant pour accéder à son compte personnel, l’état civil, les coordonnées postales, téléphoniques et électroniques ainsi que des informations sur la situation fiscale des contribuables : situation de famille, nombre de personnes à charge, quotient familial (nombre de parts fiscales), revenu fiscal de référence ou encore taux de prélèvement à la source, a fait savoir Amélie Verdier, lors de deux points presse organisés le vendredi 14 et le lundi 17 août.

La liste des messages échangés avec la DGFiP par la messagerie d’impots.gouv.fr fait également partie des données concernées. Pour moins de 250 contribuables, le contenu de ces messages a pu faire l’objet d’un accès illégitime.

En revanche, les espaces Finances publiques des particuliers sur impots.gouv.fr n’ont pas été compromis et les mots de passe permettant d’y accéder ne font pas partie des données dérobées, précise la DGFiP.

« Comme déjà indiqué, l’attaquant n’a pas eu accès aux mots de passe des usagers », a rappelé Amélie Verdier, le lundi 17 août. Les données dérobées ne permettent donc pas de se connecter au compte personnel des contribuables sur Impots.gouv.fr, le site des impôts.

Amélie Verdier a confirmé le 18 août que l’attaquant n’était pas entré dans les comptes fiscaux des contribuables. Il a accédé à une liste d’échanges de messages comportant une fiche récapitulative permettant aux agents de la DGFiP d’identifier rapidement les usagers et leur situation à l’occasion d’un échange.

Comment savoir si ses données ont été visées ?

La DGFiP a commencé à informer individuellement les contribuables concernés à compter du lundi 17 août. Ceux-ci doivent recevoir un message d’information par courriel dans la semaine ou, lorsque l’administration fiscale ne dispose pas de leur adresse électronique, par courrier. Les professionnels doivent, pour leur part, être informés à partir de la semaine du 24 août.

Ce message précise les données susceptibles d’avoir été consultées ou extraites, les risques encourus par les contribuables visés, ainsi que les mesures de vigilance à adopter. Pour les personnes touchées, voici comment reconnaître le mail envoyé par la DGFiP et les précautions à prendre.

Quels sont les risques après la fuite de données ?

Les données dérobées peuvent être utilisées pour rendre plus crédibles des tentatives d’escroquerie par hameçonnage ou des appels frauduleux, prévient la DGFiP. Elles peuvent notamment servir à des fraudes par manipulation, comme celle au faux conseiller bancaire.

Ces informations peuvent aussi être utilisées pour des tentatives d’usurpation d’identité. Pour y parvenir, les escrocs doivent toutefois se procurer par ailleurs une copie des pièces d’identité des personnes visées.

Comment se protéger des escrocs ?

Plusieurs bonnes pratiques permettent de limiter les conséquences des cyberattaques.

Il ne faut jamais communiquer ses coordonnées bancaires, ses codes, ses identifiants ou ses mots de passe par e-mail, SMS ou téléphone, la DGFiP ne demandant jamais de telles informations confidentielles par ces canaux. Il faut également rester méfiant face aux messages et appels non sollicités et toujours vérifier leur expéditeur.

Quelles mesures la DGFiP a-t-elle prises après la cyberattaque ?

La DGFiP a annoncé le 18 août de nouvelles mesures pour renforcer la sécurité de ses systèmes informatiques. Les accès utilisés lors de la cyberattaque ont été coupés et l’accès par Internet des agents à certaines applications sensibles a été supprimé.

L’administration fiscale va également réinitialiser les mots de passe de l’ensemble de ses agents. Une authentification renforcée doit être généralisée à tous les agents et à tous leurs accès d’ici à la fin de l’année 2026. La DGFiP prévoit aussi de mieux limiter et contrôler le nombre d’accès aux applications contenant des données sensibles. Elle va renforcer la formation de ses agents face aux tentatives de hameçonnage et les tests destinés à détecter les failles de sécurité.

Des mesures concernent aussi directement les usagers. La DGFiP va réinitialiser l’authentification à double facteur mise en place pour les particuliers au printemps 2026. Elle prévoit également d’accélérer son déploiement auprès des professionnels, jusqu’ici programmé pour 2027.

Enfin, un audit supervisé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) doit déterminer les causes de l’attaque et évaluer le niveau de sécurité de la DGFiP. Ses premières conclusions sont attendues en septembre 2026 et seront transmises aux commissions des finances de l’Assemblée nationale et du Sénat.

La protection des comptes fiscaux des personnes concernées par les vols de données a également été renforcée. « Nous serons attentifs aux modifications qui pourraient être apportées à l’avenir. En cas de changements d’adresse ou de coordonnées bancaires, nous procèderons à des vérifications supplémentaires », a fait savoir Amélie Verdier. La DGFiP a par ailleurs saisi la Commission nationale de l’informatique et des libertés (Cnil) et déposé plainte.

L’administration fiscale a également mis en ligne, lundi 17 août, une foire aux questions (FAQ) à destination des usagers.