Piratage du fisc en juin : 678 000 contribuables français exposés, Bercy confirme l’intrusion deux mois après

Le ministère de l’Économie confirme qu’un acteur malveillant a consulté et extrait des données fiscales de particuliers et professionnels fin juin, après usurpation d’identité d’un agent.

L’annonce intervient près de deux mois après les faits. Bercy reconnaît jeudi 13 août un « accès illégitime » au système d’information de la Direction générale des Finances publiques, détecté fin juin. L’intrusion a suivi l’usurpation d’identité d’un agent, permettant la consultation et l’extraction de données concernant des particuliers et des professionnels. Le ministère reste muet sur la nature exacte des informations dérobées et le nombre de contribuables touchés.

La confirmation du ministère suit de quelques heures la revendication publique de l’attaque par un cybercriminel se présentant sous le pseudonyme ZeroBytes. Ce dernier affirme avoir compromis des serveurs internes, obtenu un accès VPN puis exploité un outil de recherche sur les particuliers et les professionnels.

678 437 lignes de données revendiquées

French Breaches, site spécialisé dans le recensement des fuites de données, avance jeudi matin un chiffre précis : 678 437 personnes concernées, dont 392 867 particuliers. Le collectif s’appuie sur la publication d’un échantillon de données structurées attribuées à un outil interne de l’administration fiscale. Le cybercriminel prétend mettre en vente cette base partielle, qu’il présente comme une fraction seulement des informations accessibles lors de l’intrusion.

Ce chiffre ne correspond pas nécessairement à autant de contribuables uniques. Plusieurs enregistrements peuvent concerner une même personne ou différentes démarches administratives. Le nombre réel de Français exposés reste à déterminer, tout comme l’ampleur exacte de la fuite.

Selon la revendication publiée le 12 août sur un forum cybercriminel, l’acteur malveillant aurait conduit l’attaque le 26 juin. Il revendique l’accès à des données fiscales sensibles : revenus fiscaux, taux d’imposition, identités, adresses. L’intrusion aurait permis de consulter un volume bien supérieur aux lignes effectivement extraites^[5].

Bercy promet une information individuelle aux usagers

Le ministère assure que « les usagers concernés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter ». Aucun calendrier n’est communiqué. Les investigations en cours visent à évaluer l’ampleur réelle de la compromission.

Comme le veut la procédure, la DGFiP notifiera l’incident à la Commission nationale de l’informatique et des libertés, déposera plainte et communiquera de nouveaux éléments à mesure de l’avancée des enquêtes. Le délai de près de deux mois entre l’intrusion de fin juin et la confirmation publique du 13 août interroge, alors que la directive NIS2, transposée en France depuis janvier 2025, impose une notification aux autorités compétentes sous 24 heures après détection d’un incident affectant une entité essentielle.

Pourquoi la sécurité de l'administration fiscale pose question

Usurpation d'identité interne

L'attaquant a compromis les identifiants d'un agent de la DGFiP pour accéder aux outils internes. Un schéma identique à celui du piratage FICOBA de février.

Détection tardive

Près de deux mois séparent l'intrusion de fin juin et la confirmation publique du 13 août. La directive NIS2 impose pourtant une notification sous 24 heures après détection.

Sixième incident de l'année

Après FICOBA, France Titres, BANATIC et Santé publique France, cette nouvelle fuite confirme une vulnérabilité systémique de l'administration française.

Données fiscales sensibles

Le cybercriminel revendique l'accès à des revenus fiscaux, taux d'imposition, identités et adresses. Bercy ne précise pas la nature exacte des informations dérobées.

Information individuelle promise

Les usagers concernés recevront une notification précisant les données compromises et les mesures de vigilance. Aucun calendrier communiqué.

Un précédent de grande ampleur en février

Cette nouvelle fuite survient six mois après le piratage du FICOBA, fichier national des comptes bancaires et assimilés. Le 18 février, Bercy avait confirmé qu’un acteur malveillant, après usurpation d’identité d’un agent, avait consulté les données de 1,2 million de comptes bancaires entre le 28 janvier et le 13 février. Les informations compromises comprenaient coordonnées bancaires complètes (RIB et IBAN), identité des titulaires et adresses postales^[2].

L’administration fiscale avait alors souligné que seize jours de consultation active s’étaient écoulés avant détection. Un délai jugé alarmant pour un fichier contenant des données financières sur une portion significative de la population française. L’épisode actuel semble reproduire le même schéma : usurpation d’identité interne, accès prolongé, détection tardive.

Source : Shattered.ioCyberattaque.org

Un mode opératoire récurrent

ZeroBytes, l’auteur présumé de la revendication du 12 août, serait déjà associé à plusieurs intrusions visant des entités françaises : Intermarché, Eva GG, la Fédération française de handball. Le procédé reste identique : compromission de serveurs internes, obtention d’un accès VPN, exploitation d’outils de gestion ou de recherche normalement réservés aux agents.

La multiplication des incidents en 2026 dessine une vulnérabilité systémique. L’attaque de France Titres, détectée le 15 avril, demeure la plus massive : 11,7 millions de comptes confirmés par le ministère de l’Intérieur, 18 à 19 millions selon le hacker breach3d. Un suspect mineur de 15 ans avait été arrêté le 4 mai à l’issue d’une enquête de l’Office Anti-Cybercriminalité. Le piratage de BANATIC, plateforme du ministère de l’Intérieur, revendiqué le 20 juillet, a exposé plus de 91 000 élus et responsables de collectivités.

En attendant les résultats de l’enquête, les autorités recommandent la vigilance habituelle face aux courriels et SMS se réclamant de l’administration fiscale. Les cybercriminels exploitent systématiquement ce type d’annonces pour monter des campagnes de phishing ciblées, en se faisant passer pour Bercy ou la DGFiP. Aucune procédure officielle ne demande jamais de communiquer identifiants, mots de passe ou coordonnées bancaires par courriel ou SMS.