Vie Privée
Deuxième fuite fiscale de l’année. Un pirate revendique le vol de 678 438 lignes de données auprès de la DGFiP — identités, adresses, revenus fiscaux de référence. Le ministère confirme l’intrusion, restée invisible pendant plus de six semaines.
Sommaire
- Que s’est-il passé avec la cyberattaque contre impots.gouv.fr ?
- Ce que revendique le pirate « ZeroBytes »
- Quelles données ont été volées ?
- Comment l’intrusion a eu lieu, et pourquoi elle est passée inaperçue six semaines
- Un hacker déjà identifié : la même signature que FFHandball, EVA.gg et Intermarché
- Deuxième violation fiscale de l’année après Ficoba
- La réponse du ministère et les mesures pour les contribuables
- Quels risques concrets, et comment se protéger
- Questions fréquentes
Que s’est-il passé avec la cyberattaque contre impots.gouv.fr ?
Un pirate a extrait, fin juin 2026, les données de 678 438 lignes depuis un outil interne de recherche de la DGFiP utilisé pour consulter les dossiers de particuliers et de professionnels. L’intrusion, restée indétectée pendant plus de six semaines, a été confirmée par le ministère de l’Économie le 13 août 2026, au lendemain de la mise en vente des données revendiquée par le pirate sur un forum spécialisé. Les personnes concernées seront notifiées individuellement par la DGFiP.
Ce que revendique le pirate « ZeroBytes »
C’est sur un forum cybercriminel qu’est apparue, le 12 août 2026, l’annonce revendiquant l’extraction de données de la DGFiP. Le pirate, se présentant sous le pseudonyme ZeroBytes, affirme avoir compromis des serveurs internes de l’administration fiscale avant de récupérer un accès VPN, puis d’utiliser cet accès pour interroger massivement un outil interne de recherche destiné, en théorie, à un usage individuel et encadré par les agents. Selon son propre récit, l’extraction — automatisée — se serait poursuivie jusqu’à ce que l’accès soit coupé fin juin 2026, lors d’un contrôle interne. Le ministère de l’Économie n’a pas confirmé publiquement les détails techniques donnés par le pirate lui-même ; ce mode opératoire reste donc, à ce stade, une version non vérifiée de manière indépendante.
Quelles données ont été volées ?
Selon le pirate et plusieurs médias spécialisés ayant consulté un échantillon des données mises en vente, les 678 438 lignes extraites comprennent les identités complètes, dates de naissance, adresses postales, numéros de téléphone, revenus fiscaux de référence et taux de prélèvement à la source des personnes concernées, particuliers comme professionnels. Ce type de données, sans être aussi immédiatement exploitable que des identifiants bancaires, permet des usurpations d’identité ciblées et des tentatives de phishing (« hameçonnage ») très personnalisées — un faux courrier des impôts citant le bon revenu fiscal de référence est nettement plus crédible qu’un message générique.
Comment l’intrusion a eu lieu, et pourquoi elle est passée inaperçue six semaines
Le ministère de l’Économie situe le début de l’accès illégitime à fin juin 2026 — le pirate revendique précisément la date du 26 juin — et indique que cet accès a été coupé lors d’un contrôle interne, également fin juin. Entre cette interruption et la confirmation publique du 13 août, près de six semaines se sont écoulées sans communication officielle, le temps, selon le ministère, d’évaluer précisément l’ampleur des données consultées avant de notifier les personnes concernées. Cette séquence — intrusion détectée et coupée en interne, mais rendue publique seulement après la revendication du pirate sur un forum — n’est pas propre à cet incident : elle avait déjà été observée lors du piratage du fichier Ficoba en janvier (voir plus bas).
Un hacker déjà identifié : la même signature que FFHandball, EVA.gg et Intermarché
Le pseudonyme ZeroBytes n’est pas nouveau sur les forums cybercriminels francophones. Le même pirate a revendiqué, le 10 août 2026, le vol des données de 1,36 million de licenciés de la Fédération française de handball, en exploitant un accès à l’outil de gestion des licences pour contourner les restrictions normalement limitées aux clubs. Il est également associé à une intrusion chez la plateforme de paris en ligne EVA.gg (plus de 20 000 comptes exposés) et à une précédente fuite chez Intermarché, qui avait touché plus de 287 000 clients du service Drive. Le profil qui se dégage est celui d’un acteur capitalisant sur des accès internes compromis (identifiants, VPN) plutôt que sur des failles techniques sophistiquées — un mode opératoire qui cible aussi bien des administrations que des entreprises privées et des plateformes grand public.
Deuxième violation fiscale de l’année après Ficoba
Cette fuite est la deuxième à toucher en 2026 le périmètre de la DGFiP. Fin janvier 2026, le ministère avait déjà reconnu un accès illégitime au fichier Ficoba (Fichier des comptes bancaires et assimilés), la base nationale recensant l’ensemble des comptes bancaires détenus en France. Un individu avait utilisé les identifiants détournés d’un agent disposant de droits d’accès liés aux échanges d’informations entre ministères, exposant les IBAN, identités, adresses et parfois numéros fiscaux de 1,2 million de comptes, avant que l’accès ne soit coupé. Deux incidents en sept mois, tous deux liés à des accès internes détournés plutôt qu’à des failles logicielles, posent la question de la robustesse des contrôles d’accès aux outils internes de l’administration fiscale.
La réponse du ministère et les mesures pour les contribuables
Dans son communiqué du 13 août, le ministère de l’Action et des Comptes publics confirme « qu’un accès illégitime au système d’information de la DGFiP a bien eu lieu », ayant permis « la consultation et l’extraction de données ». La DGFiP indique que les usagers concernés recevront une information individuelle précisant les données potentiellement consultées ou extraites, ainsi que les mesures de vigilance à adopter. Aucun calendrier précis de notification n’a été communiqué au moment de la publication de cet article.
À noter
Le même jour que la confirmation de cette fuite, la presse spécialisée a également fait état d’un vol distinct de 80 000 fiches auprès de Santé publique France — un incident sans lien direct établi avec ZeroBytes, mais qui illustre la fréquence désormais quasi hebdomadaire des révélations de fuites de données touchant des organismes publics français à l’été 2026.
Quels risques concrets, et comment se protéger
Sans identifiants bancaires ni mots de passe, cette fuite n’expose pas directement à un vol d’argent immédiat. Le risque principal reste l’hameçonnage ciblé (« spear phishing ») : un message frauduleux mentionnant le bon revenu fiscal de référence ou le bon taux de prélèvement à la source est nettement plus convaincant qu’un message générique, et peut servir à extorquer des données bancaires dans un second temps. La DGFiP rappelle qu’elle ne demande jamais de coordonnées bancaires par SMS ou email, et recommande de vérifier systématiquement l’expéditeur avant de cliquer sur un lien reçu par courriel ou de rappeler un numéro inconnu.
- Ne jamais communiquer de coordonnées bancaires suite à un appel ou SMS se présentant comme émanant des impôts.
- Vérifier l’adresse exacte de l’expéditeur d’un email avant de cliquer sur un lien.
- En cas de doute, se connecter directement sur impots.gouv.fr en tapant l’adresse soi-même, jamais via un lien reçu.
- Signaler tout message suspect sur la plateforme officielle Signal Arnaques.
Questions fréquentes
Comment savoir si je suis concerné par cette fuite ?
La DGFiP a annoncé l’envoi de notifications individuelles aux personnes dont les données ont été consultées ou extraites. En l’absence de notification, aucune confirmation officielle du périmètre exact des 678 438 lignes concernées n’est disponible à ce stade.
Mes coordonnées bancaires ont-elles été volées dans cette fuite ?
Non, selon les informations disponibles à ce jour : les données revendiquées concernent l’identité, l’adresse, le téléphone et des informations fiscales (revenu de référence, taux de prélèvement), pas les IBAN ni les mots de passe.
Est-ce lié au piratage du fichier Ficoba de janvier 2026 ?
Aucun lien technique n’a été établi entre les deux incidents à ce stade : Ficoba concernait un accès par identifiants d’agent détournés sur un fichier différent (comptes bancaires), tandis que cette nouvelle fuite touche un autre outil interne de la DGFiP et est revendiquée par un pirate externe se présentant sous le nom ZeroBytes.
Conclusion
Deux fuites de données fiscales en sept mois, toutes deux liées à des accès internes détournés plutôt qu’à des failles logicielles complexes, dessinent une fragilité structurelle dans la gestion des habilitations au sein de l’administration fiscale française. Le fait que le même pseudonyme, ZeroBytes, enchaîne en quelques jours une fédération sportive, une plateforme privée et désormais une administration régalienne montre aussi que ces attaquants ne ciblent pas un secteur en particulier, mais des failles de processus qui se ressemblent d’une organisation à l’autre.
Rappel sur les limites de cet article
Le mode opératoire technique précis (compromission de serveurs, accès VPN) repose sur les déclarations du pirate lui-même, non confirmées de manière indépendante par le ministère à la date de publication. Le nombre exact de personnes physiques distinctes concernées peut différer du nombre brut de « lignes » revendiqué. Aucun lien technique n’a été établi entre cette fuite et le vol de données de Santé publique France signalé le même jour, ni avec le piratage du fichier Ficoba de janvier — leur proximité chronologique ne constitue pas une preuve de lien.
Sources
- iPhoneSoft — Cyberattaque DGFiP (impôts) : 678 000 contribuables concernés
- Cryptoast — Hack de la DGFiP, les données fiscales de 678 000 Français auraient été volées
- Univers-simu — Cyberattaque des impôts : la DGFiP confirme un vol de données
- economie.gouv.fr — Ficoba : tout savoir sur l’accès illégitime au fichier national des comptes bancaires
- ZATAZ — Impots.gouv.fr : un pirate revendique une intrusion
Source : Lire l’article original