DGFiP : trois intrusions reconnues, au moins 678 000 particuliers et professionnels concernés selon l'administration

Le 12 août 2026, une revendication publiée sur un forum cybercriminel a fait état d’une intrusion visant la Direction générale des Finances publiques. L’auteur, actif sous le pseudonyme ZeroBytes, affirmait avoir compromis plusieurs serveurs internes puis obtenu un accès VPN à des outils de l’administration fiscale, dont un applicatif de recherche sur les particuliers et les professionnels, d’où il disait avoir extrait 678 437 enregistrements, un décompte que l’ANSSI rapporte comme une revendication de l’attaquant. L’administration, silencieuse dans un premier temps, a publié un communiqué le 14 août puis détaillé l’affaire lors d’une conférence de presse de sa directrice générale le 18 août.

Trois intrusions distinctes ont été reconnues à cette occasion. La première, dont les traces les plus anciennes remontent à début mai et dont les exfiltrations se sont déroulées les 24 et 25 juin puis le 22 juillet, visait la base d’échanges entre usagers et agents et concerne, selon l’ANSSI, près de 353 000 particuliers et 252 000 professionnels : identifiants fiscaux, état civil, coordonnées, situation familiale, revenu fiscal de référence, taux de prélèvement à la source, raison sociale et numéro SIREN pour les entreprises, ainsi que l’historique de certaines démarches. La deuxième a touché le serveur de données cadastrales SPDC du 27 juillet au 8 août, via le compte d’un géomètre-expert d’un cabinet privé, avec contournement de l’authentification multifacteur, et concerne environ 434 000 usagers pour environ 2 millions de données cadastrales (noms, dates de naissance, adresses, identifiants fonciers, parcelles et nature des droits). La troisième, la plus récente, portait sur le portail public des successions vacantes, dont l’accès a été identifié et coupé le 17 août.

Les décomptes demandent de la prudence, car les unités et les sources diffèrent. Le chiffre d’« au moins 678 000 particuliers et professionnels » annoncé par la DGFiP le 14 août coïncide avec les 678 437 enregistrements revendiqués par l’attaquant (392 867 particuliers et 285 570 professionnels). L’ANSSI, qui présente ce décompte comme une revendication associée à la session d’exfiltration du 24 juin, retient pour la base d’échanges près de 353 000 particuliers et 252 000 professionnels, des chiffres que son rapport d’incident rattache au détail publié par l’attaquant le 13 août, sans expliquer l’écart ni préciser si le décompte de l’attaquant comportait des doublons. Le périmètre cadastral s’y ajoute sans que l’on sache dans quelle mesure les personnes se recoupent : ces volumes ne doivent donc pas être additionnés, d’autant que l’ANSSI ne publie pas de total dédoublonné. Les 2 millions de Français que l’attaquant disait avoir obtenus pour le cadastre ne sont pas confirmés, l’ANSSI évoquant environ 2 millions de données pour environ 434 000 usagers, et plusieurs organes de presse ont par ailleurs évoqué 1,8 million de dossiers cadastraux, un décompte en dossiers et non en personnes qu’il ne faut pas confondre avec le nombre de contribuables touchés. La DGFiP maintient enfin que le site impots.gouv.fr et les espaces personnels des usagers n’ont pas été compromis, et qualifie de limité le périmètre du portail des successions vacantes, qu’elle présente comme ne contenant que des données publiques, là où les analyses relevaient des identités, des dates et lieux de décès et des éléments patrimoniaux.

Le rapport d’incident de l’ANSSI, daté du 23 septembre, remis au Premier ministre le 24 et publié le 29, conclut que la compromission « n’est pas la conséquence d’une attaque sophistiquée », mais de faiblesses en matière d’identité, d’architecture et de détection. L’attaquant a obtenu, sur trois mois, plusieurs dizaines d’authentifiants d’agents de la DGFiP, probablement collectés par des logiciels espions de type infostealers sur des ordinateurs que l’administration n’administrait pas, notamment des appareils personnels. Il s’est connecté au portail PIGP depuis Internet, puis au portail ADER depuis le Réseau interministériel de l’État, auquel il avait accès grâce à la compromission d’infrastructures du ministère de l’Éducation nationale raccordées à ce réseau, l’absence d’authentification multifacteur sur PIGP (pour les comptes d’agents) et sur ADER permettant la réutilisation immédiate des identifiants volés. Pour le serveur cadastral, la possible compromission du poste d’un géomètre-expert aurait permis, selon la DGFiP, de contourner le code à usage unique envoyé par courriel sur le portail APEX, un mécanisme que l’agence juge insuffisant.

Aucune de ces exfiltrations n’a été détectée, ni par les moyens de la DGFiP, dont le centre de supervision ne surveillait pas le portail ADER, ni par ceux de l’ANSSI, alors que 11 Go avaient transité entre le 22 et le 25 juin et 3 Go entre le 21 et le 23 juillet, avec des connexions nocturnes, des adresses de VPN ou situées en Inde et un moissonnage automatisé de fiches à grande échelle. Le 24 juin, la réinitialisation du mot de passe du compte utilisé n’a pas interrompu la session d’exfiltration en cours, qui s’est poursuivie jusqu’au lendemain à 2 h 31. Après la revendication, la DGFiP a coupé l’accès des agents au portail ADER le 13 août puis au portail PIGP le 18 août, deux mesures que le rapport décrit comme toujours d’actualité, et l’ANSSI a défini avec elle un plan d’action fondé sur la supervision de toutes les applications métier, l’authentification forte et la réduction de l’exposition des ressources sur les réseaux tiers. Le rapport ne traite pas du portail des successions vacantes et renvoie à un audit organisationnel ultérieur l’examen des droits des utilisateurs.

Le risque principal reste l’hameçonnage fiscal. Connaître le revenu fiscal de référence, le taux de prélèvement à la source et la composition d’un foyer permet de rédiger un faux avis de remboursement ou de régularisation d’un réalisme redoutable, alors que les campagnes usurpant l’identité de la DGFiP figurent déjà parmi les plus fréquentes en France. L’administration ne demande jamais de coordonnées bancaires par courriel ou SMS, et tout message annonçant un remboursement doit être vérifié en se connectant directement à l’espace personnel sur impots.gouv.fr. Ces trois intrusions succèdent à l’accès illégitime au fichier FICOBA révélé en février 2026, ce qui porte à quatre le nombre d’incidents publics touchant la DGFiP en six mois. L’acteur ZeroBytes est également celui qui a revendiqué la fuite visant le Drive d’Intermarché, une première extraction chez Bureau Vallée puis, mi-août, un vaste ensemble de fichiers de l’Éducation nationale.