Fuite massive de données fiscales : plus de 678 000 contribuables exposés, selon FrenchBreaches

La Direction générale des Finances publiques (DGFiP) a confirmé mardi 13 août une intrusion dans son système d’information, révélant une fuite de données sensibles concernant plus de 678 000 particuliers et professionnels. D’après FrenchBreaches, cette intrusion, survenue fin juin 2026, aurait permis l’accès et l’extraction de fichiers contenant des informations fiscales et personnelles détaillées. À ce stade, l’administration n’a pas communiqué publiquement sur l’incident.

Selon FrenchBreaches, cette intrusion s’inscrit dans une série d’attaques attribuées au même cybercriminel, déjà responsable de fuites chez Intermarché, Eva GG et la Fédération française de handball (FFHandball). Les données récupérées par l’attaquant incluent des éléments critiques pour des tentatives de phishing ou d’usurpation d’identité, combinant identité, situation fiscale et historique de démarches administratives.

Une intrusion de juin 2026 revendiquée par un cybercriminel

FrenchBreaches rapporte que le cybercriminel a revendiqué l’intrusion via un compte sur X (ex-Twitter), affirmant avoir accédé aux serveurs internes de la DGFiP à la fin du mois de juin 2026. Selon ses déclarations, l’accès aurait été obtenu après une usurpation d’identité, permettant la récupération d’un VPN interne et d’un outil de recherche utilisé par l’administration pour consulter les dossiers fiscaux.

Le pirate précise que son activité aurait été détectée pendant l’extraction des données, entraînant une interruption rapide de son accès. Il revendique avoir pu récupérer les informations de 678 437 personnes, dont la répartition entre particuliers et professionnels a été détaillée par FrenchBreaches. Parmi les particuliers, certains se distinguent par des revenus fiscaux élevés, avec 26 805 contribuables gagnant au moins 100 000 € par an, 386 dépassant le million d’euros, et 8 dépassant les 10 millions d’euros.

Des données d’une sensibilité extrême, idéales pour des attaques ciblées

Les fichiers exfiltrés contiennent des informations bien plus détaillées qu’une simple liste de coordonnées. FrenchBreaches a pu consulter un échantillon des données, révélant la présence de : noms, prénoms, dates et lieux de naissance, adresses postales, numéros de téléphone, adresses e-mail, identifiants fiscaux internes, revenus fiscaux de référence, taux de prélèvement à la source, situation familiale, nombre de personnes à charge, et parts fiscales.

En outre, l’historique des demandes adressées à la DGFiP est également accessible, avec des détails tels que le numéro de la demande, son objet, le service destinataire, son statut, les dates de création et de dernier message, et parfois le nom de l’agent ayant traité le dossier. Cette combinaison de données crée un profil très précis des contribuables, augmentant considérablement les risques de phishing sophistiqué ou d’ingénierie sociale.

« Un escroc disposant de véritables informations fiscales et connaissant l’existence d’une ancienne démarche auprès de la DGFiP pourrait construire un message frauduleux beaucoup plus crédible qu’un simple faux courriel générique. »
— FrenchBreaches, d’après l’analyse des données revendiquées

Un accès VPN et un outil interne compromis : les méthodes revendiquées

Le récit du cybercriminel, tel que rapporté par FrenchBreaches, décrit une infiltration en plusieurs étapes. Après avoir usurpé une identité, il affirme avoir accédé aux serveurs internes de la DGFiP, récupérant ainsi un accès VPN. Ce VPN lui aurait ensuite ouvert la porte à un outil interne permettant de rechercher et d’extraire des données sur des particuliers et des professionnels. Selon ses dires, il aurait commencé à automatiser l’extraction avant d’être déconnecté.

Cependant, ces affirmations n’ont pas été confirmées de manière indépendante. Le pirate évoque également la possibilité d’avoir accédé à des informations concernant plusieurs dizaines de millions de citoyens, bien qu’aucun élément publié ne permette de vérifier cette affirmation. L’interruption de l’accès, qu’il attribue à une détection par la DGFiP, expliquerait pourquoi seules les données de 678 437 personnes ont été récupérées.

Cette fuite survient dans un contexte où les cyberattaques contre les administrations publiques se multiplient, soulignant la nécessité de renforcer la cybersécurité des systèmes sensibles. Les victimes potentielles, en particulier celles dont les revenus sont élevés, pourraient être la cible de tentatives d’escroquerie ciblées dans les mois à venir.

Une absence de communication publique qui interroge

À ce jour, FrenchBreaches n’a identifié aucune communication officielle de l’État ou de la DGFiP concernant cette fuite de données. Pourtant, le RGPD impose des notifications spécifiques en cas de violation de données personnelles. Une violation susceptible d’engendrer un risque pour les droits et libertés des personnes doit être notifiée à la CNIL dans les 72 heures suivant sa détection. Si le risque est élevé, les personnes concernées doivent également être informées.

Cette absence de communication ne permet pas de conclure que la DGFiP n’a pas respecté ses obligations réglementaires. Elle soulève néanmoins des questions sur la transparence et la gestion de crise dans un dossier où la sensibilité des données est maximale. Les prochaines semaines pourraient apporter des éclaircissements sur les mesures prises par l’administration pour sécuriser les données et informer les victimes.

En attendant, les experts en cybersécurité recommandent aux contribuables concernés d’être particulièrement vigilants face à d’éventuelles tentatives de phishing ou d’usurpation d’identité, en vérifiant systématiquement la source des communications prétendant provenir de la DGFiP.