Since mid-August, France’s tax administration, the DGFiP, has been dealing with one of the most sensitive data leaks ever confirmed on its systems. Two separate intrusions, both claimed by a group calling itself ZeroBytes, allegedly led to the extraction of hundreds of thousands of records belonging to individuals and businesses.

The first incident dates back to late June 2026. According to the attacker’s account relayed by FrenchBreaches, access was gained by impersonating credentials used to connect to a VPN reserved for tax agents working remotely. That access reportedly opened an internal search tool covering both private individuals and professionals, from which the attacker says he launched an automated data extraction. The operation was cut short after the intruder was detected during exfiltration.

The case became public only after a post appeared on 12 August 2026 on a major cybercrime forum. Under the ZeroBytes alias, the author claimed to have breached impots.gouv.fr and offered for sale a database sample of 678,438 lines. FrenchBreaches, which monitors such claims daily, was first to identify and document the post. The French government confirmed the intrusion the next day, describing it as an “illegitimate access” obtained through identity theft. On 14 August, the DGFiP gave an initial estimate of around 678,000 affected accounts.

That same day, ZeroBytes claimed a second, distinct intrusion, this time targeting the Serveur professionnel de données cadastrales (SPDC), which provides access to property information. The group said it had bypassed multi-factor authentication and obtained more than 250,000 lines before stopping the download because it was too slow. The DGFiP confirmed that second attack, which it said had taken place in late July, the same evening.

By 16-17 August, the scale of the incident had prompted Matignon to convene an interministerial crisis unit under Prime Minister Sébastien Lecornu to coordinate victim notification. From 17 August, the 678,000 affected users were to begin receiving individual warnings about possible targeted scams. The Paris prosecutor’s office also confirmed an investigation, notably for fraudulent data extraction and criminal conspiracy, offences carrying up to seven years in prison.

For the first intrusion alone, the DGFiP says about 678,000 people were affected, including nearly 393,000 individuals and 286,000 professionals. Among the individuals, several thousand reportedly declared a reference tax income above €100,000, and a handful exceeded €10 million. The second intrusion, involving cadastral data, would concern more than two million property owners, according to ZeroBytes.

The stolen data appears to include full civil identity details — surnames, first names, dates and places of birth — as well as contact information such as postal addresses, email addresses and phone numbers, family status, and tax-related data including internal tax identifiers, reference tax income, number of tax shares, withholding tax rate, and the history of certain interactions with the tax authorities. The DGFiP stressed, however, that users’ personal “Finances publiques” accounts, including their login credentials and passwords, were not compromised: this was an intrusion into administrative databases, not a takeover of individual taxpayer accounts.

ZeroBytes is not an unknown name in French leak circles. The same alias has previously been linked to claims involving Intermarché Drive, the Eva platform and the French Handball Federation. Contacted on Telegram by AFP using details posted on the dark-web forum where the attack was announced, the group said it consisted of two French individuals whose real identities remain unknown. It also claimed to have already sold part of the loot to two buyers for several thousand euros in total, while noting that the same files could be resold to others later — assertions that cannot be verified.

Cybersecurity expert Clément Domingo, known as Saxx, independently confirmed the existence of a two-person team and told TF1 he had recently been in contact with one of them. Based on what he gathered, that person was reportedly looking for work and had even applied for a job in IT while carrying out illicit activity. Technically, the group’s method appears to rely on abusing legitimate access rather than exploiting a classic software flaw: stolen credentials from an agent and then from an authorised third party in the first case, and bypassing multi-factor authentication in the second.

ZeroBytes also appears to have other claims to its name, including alleged thefts from a national telecom operator and a hotel group, though those companies have not confirmed any breach. FrenchBreaches has also attributed to the group several other compromises in France in recent months across sectors ranging from retail and sport to education abroad. The DGFiP case fits into a broader wave of attacks on French public bodies in 2026, following the spring breach at the Agence nationale des titres sécurisés (ANTS) and an earlier fraudulent access to the DGFiP’s FICOBA banking file in February, also linked to credential theft.

Authorities have announced the usual response measures, though critics say they are too little, too late. Bercy says every affected user will receive a personalised message detailing what data may have been accessed or extracted and what precautions to take. Those messages will come only from the administration, via an @dgfip.finances.gouv.fr address or by post, and no action will be requested from recipients. The DGFiP says it has strengthened monitoring and access security, without disclosing technical details. It has notified the CNIL, which says it has already been informed of the breaches and that individual complaints on this specific case are no longer necessary. The ministry has filed a complaint, and the Paris prosecutor’s office has opened a criminal investigation.

The response has not silenced criticism over the delay in reacting. The Solidaires Finances Publiques union says it warned management as early as June about the risks of identity theft and targeted phishing linked to this kind of incident. Legally, the state’s data-processing systems are exempt, by law, from the administrative sanctions the CNIL could impose on a private company in the same situation.

Several points remain unverified: the exact scope of the data the attackers say they accessed, the precise method used to obtain the stolen credentials, and whether any access to the administration’s systems may still be active.

Depuis la mi-août, l’administration fiscale française fait face à l’une des fuites de données les plus sensibles jamais confirmées sur ses systèmes. Deux intrusions distinctes, revendiquées par un même groupe se faisant appeler ZeroBytes, ont permis l’extraction de centaines de milliers de dossiers de particuliers et de professionnels.

Voici ce que l’on sait, à ce stade, de la chronologie des faits, des auteurs présumés et des mesures annoncées par le gouvernement.

Chronologie : de l’intrusion à la communication des faits

Fin juin 2026 : une première intrusion vise le système d’information de la DGFiP. Selon le récit du pirate rapporté par FrenchBreaches, l’accès aurait été obtenu via l’usurpation d’un identifiant permettant de se connecter à un VPN normalement réservé aux agents du fisc pour se connecter à distance à leurs outils internes. Cela lui aurait donné accès à un outil interne de recherche sur les particuliers et les professionnels, à partir duquel il affirme avoir lancé une extraction automatisée de données. L’accès est coupé avant que l’extraction ne soit complète, l’attaquant expliquant avoir été repéré pendant l’exfiltration.

12 août 2026 : près d’un mois et demi après les faits, un message apparaît sur un forum cybercriminel très fréquenté. Sous le pseudonyme ZeroBytes, son auteur revendique une intrusion sur impots.gouv.fr et propose à l’achat un extrait de la base de données qu’il dit avoir récupérée, soit 678 438 lignes. C’est le site spécialisé FrenchBreaches, qui suit quotidiennement ce type de revendications, qui repère et documente en premier la publication, avant que l’affaire n’éclate publiquement. C’est cette publication, et non une communication officielle, qui déclenche l’affaire au grand jour.

13 août 2026 : le ministère de l’Économie et des Finances confirme officiellement l’intrusion dans un communiqué. Bercy évoque un « accès illégitime », obtenu par usurpation d’identité, ayant permis la consultation et l’extraction de données de particuliers et de professionnels. Le nombre exact de personnes concernées n’est alors pas précisé.

14 août 2026 : la DGFiP communique un premier bilan chiffré, à savoir environ 678 000 comptes concernés. Le même jour, ZeroBytes revendique une seconde intrusion, distincte de la première, ciblant cette fois le Serveur professionnel de données cadastrales (SPDC), qui donne accès aux informations sur les propriétés immobilières. Le groupe affirme avoir contourné l’authentification à plusieurs facteurs et récupéré plus de 250 000 lignes, avant d’interrompre lui-même le téléchargement, jugé trop lent. Cette seconde attaque, survenue fin juillet, est confirmée par la DGFiP le soir même.

16-17 août 2026 : face à l’ampleur de l’affaire, Matignon annonce la tenue d’une cellule interministérielle de crise réunie par le Premier ministre Sébastien Lecornu pour organiser l’information des victimes. C’est également à partir dui 17 août que les 678 000 usagers concernés doivent commencer à être contactés individuellement, afin d’être mis en garde contre d’éventuelles escroqueries ciblées. Le parquet de Paris confirme de son côté avoir ouvert une enquête, notamment pour extraction frauduleuse de données et association de malfaiteurs. Des faits pour lesquels les auteurs encourent jusqu’à sept ans de prison.

Au total, sur la seule première intrusion, la DGFiP dénombre environ 678 000 personnes touchées, dont près de 393 000 particuliers et 286 000 professionnels. Parmi les particuliers, plusieurs milliers déclarent des revenus fiscaux de référence supérieurs à 100 000 € et une poignée dépasse les 10 millions €. La seconde intrusion, sur les données cadastrales, concernerait selon ZeroBytes plus de deux millions de propriétaires.

Que contiennent les données volées ?

Selon les éléments recueillis et publiés par FrenchBreaches, les échantillons diffusés par les pirates mêlent état civil complet (noms, prénoms, dates et lieux de naissance), coordonnées (adresses postales, e-mails, numéros de téléphone), situation familiale et informations fiscales à proprement parler : identifiant fiscal interne, revenu fiscal de référence, nombre de parts fiscales, taux de prélèvement à la source, ainsi que l’historique de certaines démarches effectuées auprès des services fiscaux.

La DGFiP a toutefois précisé que les espaces personnels « Finances publiques » des usagers, avec leurs identifiants et mots de passe, n’ont pas été compromis : il s’agit d’un accès aux bases de l’administration, pas d’une prise de contrôle des comptes individuels des contribuables.

Qui est ZeroBytes ?

Le pseudonyme ZeroBytes n’est pas nouveau dans le paysage des fuites de données françaises. Le même acronyme a déjà été associé à plusieurs revendications antérieures visant notamment Intermarché Drive, la plateforme Eva ou encore la Fédération française de handball.

Contacté sur Telegram par l’AFP à partir de coordonnées publiées sur le forum du dark web où l’attaque a été annoncée, le groupe s’est présenté comme composé de deux personnes se disant françaises, dont l’identité réelle reste à ce jour inconnue.

Les pirates ont indiqué à l’agence de presse être satisfaits d’avoir déjà écoulé une partie de leur butin, évoquant deux acheteurs pour une somme de plusieurs milliers d’euros au total, tout en ajoutant que rien n’empêche de revendre encore les mêmes fichiers à d’autres clients par la suite. Ces déclarations demeurent invérifiables en l’état.

L’existence d’un binôme a également été confirmée de façon indépendante par l’expert en cybersécurité Clément Domingo, connu sous le pseudonyme Saxx, qui a indiqué sur TF1 avoir été récemment en contact avec l’un des deux membres du groupe. D’après les éléments qu’il a pu recueillir, l’individu concerné serait en recherche d’emploi et aurait tenté, en parallèle de ses activités illicites, de candidater à un poste dans le secteur informatique.

Sur le plan technique, le mode opératoire décrit par le groupe repose sur le détournement d’accès légitimes plutôt que sur une faille technique classique : usurpation des identifiants d’un agent puis d’un tiers habilité pour la première intrusion, contournement de l’authentification à plusieurs facteurs pour la seconde.

ZeroBytes ne semble pas en être à son coup d’essai. Le duo revendique également, sans que les entreprises visées ne l’aient à ce stade confirmé, des vols de données touchant un opérateur téléphonique national et un groupe hôtelier.

Plusieurs autres compromissions survenues en France au cours des derniers mois lui sont par ailleurs attribuées par FrenchBreaches, dans des secteurs très variés allant de la grande distribution au sport en passant par l’enseignement à l’étranger.

Ce dossier s’inscrit par ailleurs dans une série plus large de piratages visant des administrations et opérateurs publics français en 2026, après notamment celui de l’Agence nationale des titres sécurisés (ANTS) au printemps, et un précédent accès frauduleux au fichier bancaire FICOBA de la DGFiP en février 2026, déjà lié à une usurpation d’identifiants.

Le gouvernement impuissant et ses « mesurettes »

Face à l’ampleur de la fuite, les autorités ont annoncé une série de mesures, pour l’essentiel classiques dans ce type de dossier mais renforcées par la tenue d’une cellule de crise interministérielle :

Information individuelle des personnes concernées : Bercy s’est engagé à ce que chaque usager touché reçoive un message personnalisé précisant les données qui ont pu être consultées ou extraites, ainsi que les mesures de vigilance à adopter. Ces messages doivent provenir exclusivement de l’administration, via une adresse en @dgfip.finances.gouv.fr ou par courrier postal, sans qu’aucune démarche ne soit demandée aux personnes concernées.

Renforcement de la sécurité des systèmes : l’administration indique avoir renforcé la surveillance et la sécurisation de ses accès à la suite de la découverte de l’intrusion, sans détailler publiquement les mesures techniques précises mises en œuvre

Cellule interministérielle de crise : convoquée à l’initiative de Matignon, sous la présidence de Sébastien Lecornu, elle vise à coordonner la communication de crise et l’organisation de l’information aux victimes à l’échelle interministérielle..

Notification à la CNIL : la DGFiP a indiqué avoir saisi la Commission nationale de l’informatique et des libertés, qui confirme de son côté avoir été notifiée des violations de données et être d’ores et déjà saisie du dossier;  précisant qu’il n’est donc plus utile de lui adresser des plaintes individuelles sur ce sujet précis.

Dépôt de plainte et enquête judiciaire : le ministère a annoncé le dépôt d’une plainte, et le parquet de Paris a confirmé l’ouverture d’une enquête portant notamment sur des faits d’extraction frauduleuse de données et d’association de malfaiteurs, infractions passibles de sept ans de prison.

Ces annonces n’effacent toutefois pas les critiques sur le délai de réaction. Le syndicat Solidaires Finances Publiques a indiqué avoir alerté la direction générale dès le mois de juin sur les risques d’usurpation d’identité et d’hameçonnage ciblé liés à ce type d’incident.

Sur le plan juridique, il faut relever que les traitements de données mis en œuvre par l’État échappent, par exception légale, au régime des sanctions administratives que la CNIL peut prononcer contre une entreprise placée dans la même situation.

Ce qui reste incertain

Plusieurs éléments demeurent à ce stade non confirmés de façon indépendante : l’ampleur exacte des données auxquelles les pirates disent avoir eu accès (ils évoquent un environnement comprenant plusieurs millions de demandes fiscales et, pour le volet cadastral, plus de deux millions de propriétaires), la méthode précise d’obtention des identifiants détournés, ainsi que l’éventuelle persistance d’un accès aux systèmes de l’administration.

The post Piratage de la DGFiP : ce que l’on sait vraiment appeared first on Silicon.fr.