{"id":31046,"date":"2026-08-14T20:01:04","date_gmt":"2026-08-14T18:01:04","guid":{"rendered":"https:\/\/monde25.info\/index.php\/2026\/08\/14\/dgfip-piratee-les-donnees-fiscales-de-678-000-francais-volees-par-le-meme-hacker-que-la-fuite-ffhandball\/"},"modified":"2026-08-14T20:01:04","modified_gmt":"2026-08-14T18:01:04","slug":"dgfip-piratee-les-donnees-fiscales-de-678-000-francais-volees-par-le-meme-hacker-que-la-fuite-ffhandball","status":"publish","type":"post","link":"https:\/\/monde25.info\/index.php\/2026\/08\/14\/dgfip-piratee-les-donnees-fiscales-de-678-000-francais-volees-par-le-meme-hacker-que-la-fuite-ffhandball\/","title":{"rendered":"DGFiP pirat\u00e9e : les donn\u00e9es fiscales de 678 000 Fran\u00e7ais vol\u00e9es par le m\u00eame hacker que la fuite FFHandball"},"content":{"rendered":"
\n
\n \"\ud83d\udd12\" Vie Priv\u00e9e<\/span><\/p>\n
14 ao\u00fbt 2026<\/div>\n<\/div>\n
\n \"\ud83d\udea8\" Deuxi\u00e8me fuite fiscale de l’ann\u00e9e.<\/strong> Un pirate revendique le vol de 678 438<\/strong> lignes de donn\u00e9es aupr\u00e8s de la DGFiP \u2014 identit\u00e9s, adresses, revenus fiscaux de r\u00e9f\u00e9rence. Le minist\u00e8re confirme l’intrusion, rest\u00e9e invisible pendant plus de six semaines.\n<\/div>\n
\n \"\ud83d\udccb\" Sommaire<\/strong><\/p>\n
    \n
  1. Que s’est-il pass\u00e9 avec la cyberattaque contre impots.gouv.fr ?<\/a><\/li>\n
  2. Ce que revendique le pirate \u00ab ZeroBytes \u00bb<\/a><\/li>\n
  3. Quelles donn\u00e9es ont \u00e9t\u00e9 vol\u00e9es ?<\/a><\/li>\n
  4. Comment l’intrusion a eu lieu, et pourquoi elle est pass\u00e9e inaper\u00e7ue six semaines<\/a><\/li>\n
  5. Un hacker d\u00e9j\u00e0 identifi\u00e9 : la m\u00eame signature que FFHandball, EVA.gg et Intermarch\u00e9<\/a><\/li>\n
  6. Deuxi\u00e8me violation fiscale de l’ann\u00e9e apr\u00e8s Ficoba<\/a><\/li>\n
  7. La r\u00e9ponse du minist\u00e8re et les mesures pour les contribuables<\/a><\/li>\n
  8. Quels risques concrets, et comment se prot\u00e9ger<\/a><\/li>\n
  9. Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n<\/div>\n
    \n Le 12 ao\u00fbt 2026<\/strong>, un individu utilisant le pseudonyme ZeroBytes<\/strong> a publi\u00e9 sur un forum cybercriminel une annonce revendiquant le vol de 678 438<\/strong> lignes de donn\u00e9es extraites d’un outil interne de la Direction g\u00e9n\u00e9rale des Finances publiques (DGFiP), l’administration qui g\u00e8re l’imp\u00f4t en France. Le lendemain, le minist\u00e8re de l’\u00c9conomie a confirm\u00e9 \u00ab un acc\u00e8s ill\u00e9gitime \u00bb \u00e0 son syst\u00e8me d’information, remontant \u00e0 fin juin 2026. C’est la deuxi\u00e8me violation majeure de donn\u00e9es fiscales fran\u00e7aises identifi\u00e9e en 2026, apr\u00e8s le piratage du fichier Ficoba en janvier. Le m\u00eame pseudonyme \u00ab ZeroBytes \u00bb a par ailleurs revendiqu\u00e9, ces derniers jours, des intrusions chez la F\u00e9d\u00e9ration fran\u00e7aise de handball, la plateforme de paris EVA.gg et l’enseigne Intermarch\u00e9.\n<\/div>\n

    \"\ud83d\udd0e\" Que s’est-il pass\u00e9 avec la cyberattaque contre impots.gouv.fr ?<\/h2>\n

    Un pirate a extrait, fin juin 2026, les donn\u00e9es de 678 438<\/strong> lignes depuis un outil interne de recherche de la DGFiP utilis\u00e9 pour consulter les dossiers de particuliers et de professionnels. L’intrusion, rest\u00e9e ind\u00e9tect\u00e9e pendant plus de six semaines, a \u00e9t\u00e9 confirm\u00e9e par le minist\u00e8re de l’\u00c9conomie le 13 ao\u00fbt 2026<\/strong>, au lendemain de la mise en vente des donn\u00e9es revendiqu\u00e9e par le pirate sur un forum sp\u00e9cialis\u00e9. Les personnes concern\u00e9es seront notifi\u00e9es individuellement par la DGFiP.<\/p>\n

    \n

    \"\ud83d\udd75\" Ce que revendique le pirate \u00ab ZeroBytes \u00bb<\/h2>\n

    C’est sur un forum cybercriminel qu’est apparue, le 12 ao\u00fbt 2026<\/strong>, l’annonce revendiquant l’extraction de donn\u00e9es de la DGFiP. Le pirate, se pr\u00e9sentant sous le pseudonyme ZeroBytes<\/strong>, affirme avoir compromis des serveurs internes de l’administration fiscale avant de r\u00e9cup\u00e9rer un acc\u00e8s VPN, puis d’utiliser cet acc\u00e8s pour interroger massivement un outil interne de recherche destin\u00e9, en th\u00e9orie, \u00e0 un usage individuel et encadr\u00e9 par les agents. Selon son propre r\u00e9cit, l’extraction \u2014 automatis\u00e9e \u2014 se serait poursuivie jusqu’\u00e0 ce que l’acc\u00e8s soit coup\u00e9 fin juin 2026, lors d’un contr\u00f4le interne. Le minist\u00e8re de l’\u00c9conomie n’a pas confirm\u00e9 publiquement les d\u00e9tails techniques donn\u00e9s par le pirate lui-m\u00eame ; ce mode op\u00e9ratoire reste donc, \u00e0 ce stade, une version non v\u00e9rifi\u00e9e de mani\u00e8re ind\u00e9pendante.<\/p>\n

    \n

    \"\ud83d\udcc2\" Quelles donn\u00e9es ont \u00e9t\u00e9 vol\u00e9es ?<\/h2>\n

    Selon le pirate et plusieurs m\u00e9dias sp\u00e9cialis\u00e9s ayant consult\u00e9 un \u00e9chantillon des donn\u00e9es mises en vente, les 678 438<\/strong> lignes extraites comprennent les identit\u00e9s compl\u00e8tes, dates de naissance, adresses postales, num\u00e9ros de t\u00e9l\u00e9phone, revenus fiscaux de r\u00e9f\u00e9rence<\/strong> et taux de pr\u00e9l\u00e8vement \u00e0 la source<\/strong> des personnes concern\u00e9es, particuliers comme professionnels. Ce type de donn\u00e9es, sans \u00eatre aussi imm\u00e9diatement exploitable que des identifiants bancaires, permet des usurpations d’identit\u00e9 cibl\u00e9es et des tentatives de phishing<\/em> (\u00ab\u00a0hame\u00e7onnage\u00a0\u00bb) tr\u00e8s personnalis\u00e9es \u2014 un faux courrier des imp\u00f4ts citant le bon revenu fiscal de r\u00e9f\u00e9rence est nettement plus cr\u00e9dible qu’un message g\u00e9n\u00e9rique.<\/p>\n

    \n

    \"\ud83d\udd13\" Comment l’intrusion a eu lieu, et pourquoi elle est pass\u00e9e inaper\u00e7ue six semaines<\/h2>\n

    Le minist\u00e8re de l’\u00c9conomie situe le d\u00e9but de l’acc\u00e8s ill\u00e9gitime \u00e0 fin juin 2026<\/strong> \u2014 le pirate revendique pr\u00e9cis\u00e9ment la date du 26 juin<\/strong> \u2014 et indique que cet acc\u00e8s a \u00e9t\u00e9 coup\u00e9 lors d’un contr\u00f4le interne, \u00e9galement fin juin. Entre cette interruption et la confirmation publique du 13 ao\u00fbt<\/strong>, pr\u00e8s de six semaines se sont \u00e9coul\u00e9es sans communication officielle, le temps, selon le minist\u00e8re, d’\u00e9valuer pr\u00e9cis\u00e9ment l’ampleur des donn\u00e9es consult\u00e9es avant de notifier les personnes concern\u00e9es. Cette s\u00e9quence \u2014 intrusion d\u00e9tect\u00e9e et coup\u00e9e en interne, mais rendue publique seulement apr\u00e8s la revendication du pirate sur un forum \u2014 n’est pas propre \u00e0 cet incident : elle avait d\u00e9j\u00e0 \u00e9t\u00e9 observ\u00e9e lors du piratage du fichier Ficoba en janvier (voir plus bas).<\/p>\n

    \n

    \"\ud83c\udfaf\" Un hacker d\u00e9j\u00e0 identifi\u00e9 : la m\u00eame signature que FFHandball, EVA.gg et Intermarch\u00e9<\/h2>\n

    Le pseudonyme ZeroBytes n’est pas nouveau sur les forums cybercriminels francophones. Le m\u00eame pirate a revendiqu\u00e9, le 10 ao\u00fbt 2026<\/strong>, le vol des donn\u00e9es de 1,36 million<\/strong> de licenci\u00e9s de la F\u00e9d\u00e9ration fran\u00e7aise de handball<\/a>, en exploitant un acc\u00e8s \u00e0 l’outil de gestion des licences pour contourner les restrictions normalement limit\u00e9es aux clubs. Il est \u00e9galement associ\u00e9 \u00e0 une intrusion chez la plateforme de paris en ligne EVA.gg (plus de 20 000 comptes expos\u00e9s) et \u00e0 une pr\u00e9c\u00e9dente fuite chez Intermarch\u00e9<\/a>, qui avait touch\u00e9 plus de 287 000 clients du service Drive. Le profil qui se d\u00e9gage est celui d’un acteur capitalisant sur des acc\u00e8s internes compromis (identifiants, VPN) plut\u00f4t que sur des failles techniques sophistiqu\u00e9es \u2014 un mode op\u00e9ratoire qui cible aussi bien des administrations que des entreprises priv\u00e9es et des plateformes grand public.<\/p>\n

    \n

    \"\ud83c\udfe6\" Deuxi\u00e8me violation fiscale de l’ann\u00e9e apr\u00e8s Ficoba<\/h2>\n

    Cette fuite est la deuxi\u00e8me \u00e0 toucher en 2026 le p\u00e9rim\u00e8tre de la DGFiP. Fin janvier 2026<\/strong>, le minist\u00e8re avait d\u00e9j\u00e0 reconnu un acc\u00e8s ill\u00e9gitime au fichier Ficoba<\/strong> (Fichier des comptes bancaires et assimil\u00e9s), la base nationale recensant l’ensemble des comptes bancaires d\u00e9tenus en France. Un individu avait utilis\u00e9 les identifiants d\u00e9tourn\u00e9s d’un agent disposant de droits d’acc\u00e8s li\u00e9s aux \u00e9changes d’informations entre minist\u00e8res, exposant les IBAN, identit\u00e9s, adresses et parfois num\u00e9ros fiscaux de 1,2 million<\/strong> de comptes, avant que l’acc\u00e8s ne soit coup\u00e9. Deux incidents en sept mois, tous deux li\u00e9s \u00e0 des acc\u00e8s internes d\u00e9tourn\u00e9s plut\u00f4t qu’\u00e0 des failles logicielles, posent la question de la robustesse des contr\u00f4les d’acc\u00e8s aux outils internes de l’administration fiscale.<\/p>\n

    \n

    \"\ud83d\udce2\" La r\u00e9ponse du minist\u00e8re et les mesures pour les contribuables<\/h2>\n

    Dans son communiqu\u00e9 du 13 ao\u00fbt, le minist\u00e8re de l’Action et des Comptes publics confirme \u00ab qu’un acc\u00e8s ill\u00e9gitime au syst\u00e8me d’information de la DGFiP a bien eu lieu \u00bb, ayant permis \u00ab la consultation et l’extraction de donn\u00e9es \u00bb. La DGFiP indique que les usagers concern\u00e9s recevront une information individuelle<\/strong> pr\u00e9cisant les donn\u00e9es potentiellement consult\u00e9es ou extraites, ainsi que les mesures de vigilance \u00e0 adopter. Aucun calendrier pr\u00e9cis de notification n’a \u00e9t\u00e9 communiqu\u00e9 au moment de la publication de cet article.<\/p>\n

    \n \"\u26a0\" \u00c0 noter<\/strong><\/p>\n

    Le m\u00eame jour que la confirmation de cette fuite, la presse sp\u00e9cialis\u00e9e a \u00e9galement fait \u00e9tat d’un vol distinct de 80 000<\/strong> fiches aupr\u00e8s de Sant\u00e9 publique France \u2014 un incident sans lien direct \u00e9tabli avec ZeroBytes, mais qui illustre la fr\u00e9quence d\u00e9sormais quasi hebdomadaire des r\u00e9v\u00e9lations de fuites de donn\u00e9es touchant des organismes publics fran\u00e7ais \u00e0 l’\u00e9t\u00e9 2026.<\/p>\n<\/div>\n

    \n

    \"\ud83d\udee1\" Quels risques concrets, et comment se prot\u00e9ger<\/h2>\n

    Sans identifiants bancaires ni mots de passe, cette fuite n’expose pas directement \u00e0 un vol d’argent imm\u00e9diat. Le risque principal reste l’hame\u00e7onnage cibl\u00e9<\/strong> (\u00ab\u00a0spear phishing\u00a0\u00bb) : un message frauduleux mentionnant le bon revenu fiscal de r\u00e9f\u00e9rence ou le bon taux de pr\u00e9l\u00e8vement \u00e0 la source est nettement plus convaincant qu’un message g\u00e9n\u00e9rique, et peut servir \u00e0 extorquer des donn\u00e9es bancaires dans un second temps. La DGFiP rappelle qu’elle ne demande jamais de coordonn\u00e9es bancaires par SMS ou email, et recommande de v\u00e9rifier syst\u00e9matiquement l’exp\u00e9diteur avant de cliquer sur un lien re\u00e7u par courriel ou de rappeler un num\u00e9ro inconnu.<\/p>\n