Depuis la mi-août, l’administration fiscale française fait face à l’une des fuites de données les plus sensibles jamais confirmées sur ses systèmes. Deux intrusions distinctes, revendiquées par un même groupe se faisant appeler ZeroBytes, ont permis l’extraction de centaines de milliers de dossiers de particuliers et de professionnels.

Voici ce que l’on sait, à ce stade, de la chronologie des faits, des auteurs présumés et des mesures annoncées par le gouvernement.

Chronologie : de l’intrusion à la communication des faits

Fin juin 2026 : une première intrusion vise le système d’information de la DGFiP. Selon le récit du pirate rapporté par FrenchBreaches, l’accès aurait été obtenu via l’usurpation d’un identifiant permettant de se connecter à un VPN normalement réservé aux agents du fisc pour se connecter à distance à leurs outils internes. Cela lui aurait donné accès à un outil interne de recherche sur les particuliers et les professionnels, à partir duquel il affirme avoir lancé une extraction automatisée de données. L’accès est coupé avant que l’extraction ne soit complète, l’attaquant expliquant avoir été repéré pendant l’exfiltration.

12 août 2026 : près d’un mois et demi après les faits, un message apparaît sur un forum cybercriminel très fréquenté. Sous le pseudonyme ZeroBytes, son auteur revendique une intrusion sur impots.gouv.fr et propose à l’achat un extrait de la base de données qu’il dit avoir récupérée, soit 678 438 lignes. C’est le site spécialisé FrenchBreaches, qui suit quotidiennement ce type de revendications, qui repère et documente en premier la publication, avant que l’affaire n’éclate publiquement. C’est cette publication, et non une communication officielle, qui déclenche l’affaire au grand jour.

13 août 2026 : le ministère de l’Économie et des Finances confirme officiellement l’intrusion dans un communiqué. Bercy évoque un « accès illégitime », obtenu par usurpation d’identité, ayant permis la consultation et l’extraction de données de particuliers et de professionnels. Le nombre exact de personnes concernées n’est alors pas précisé.

14 août 2026 : la DGFiP communique un premier bilan chiffré, à savoir environ 678 000 comptes concernés. Le même jour, ZeroBytes revendique une seconde intrusion, distincte de la première, ciblant cette fois le Serveur professionnel de données cadastrales (SPDC), qui donne accès aux informations sur les propriétés immobilières. Le groupe affirme avoir contourné l’authentification à plusieurs facteurs et récupéré plus de 250 000 lignes, avant d’interrompre lui-même le téléchargement, jugé trop lent. Cette seconde attaque, survenue fin juillet, est confirmée par la DGFiP le soir même.

16-17 août 2026 : face à l’ampleur de l’affaire, Matignon annonce la tenue d’une cellule interministérielle de crise réunie par le Premier ministre Sébastien Lecornu pour organiser l’information des victimes. C’est également à partir dui 17 août que les 678 000 usagers concernés doivent commencer à être contactés individuellement, afin d’être mis en garde contre d’éventuelles escroqueries ciblées. Le parquet de Paris confirme de son côté avoir ouvert une enquête, notamment pour extraction frauduleuse de données et association de malfaiteurs. Des faits pour lesquels les auteurs encourent jusqu’à sept ans de prison.

Au total, sur la seule première intrusion, la DGFiP dénombre environ 678 000 personnes touchées, dont près de 393 000 particuliers et 286 000 professionnels. Parmi les particuliers, plusieurs milliers déclarent des revenus fiscaux de référence supérieurs à 100 000 € et une poignée dépasse les 10 millions €. La seconde intrusion, sur les données cadastrales, concernerait selon ZeroBytes plus de deux millions de propriétaires.

Que contiennent les données volées ?

Selon les éléments recueillis et publiés par FrenchBreaches, les échantillons diffusés par les pirates mêlent état civil complet (noms, prénoms, dates et lieux de naissance), coordonnées (adresses postales, e-mails, numéros de téléphone), situation familiale et informations fiscales à proprement parler : identifiant fiscal interne, revenu fiscal de référence, nombre de parts fiscales, taux de prélèvement à la source, ainsi que l’historique de certaines démarches effectuées auprès des services fiscaux.

La DGFiP a toutefois précisé que les espaces personnels « Finances publiques » des usagers, avec leurs identifiants et mots de passe, n’ont pas été compromis : il s’agit d’un accès aux bases de l’administration, pas d’une prise de contrôle des comptes individuels des contribuables.

Qui est ZeroBytes ?

Le pseudonyme ZeroBytes n’est pas nouveau dans le paysage des fuites de données françaises. Le même acronyme a déjà été associé à plusieurs revendications antérieures visant notamment Intermarché Drive, la plateforme Eva ou encore la Fédération française de handball.

Contacté sur Telegram par l’AFP à partir de coordonnées publiées sur le forum du dark web où l’attaque a été annoncée, le groupe s’est présenté comme composé de deux personnes se disant françaises, dont l’identité réelle reste à ce jour inconnue.

Les pirates ont indiqué à l’agence de presse être satisfaits d’avoir déjà écoulé une partie de leur butin, évoquant deux acheteurs pour une somme de plusieurs milliers d’euros au total, tout en ajoutant que rien n’empêche de revendre encore les mêmes fichiers à d’autres clients par la suite. Ces déclarations demeurent invérifiables en l’état.

L’existence d’un binôme a également été confirmée de façon indépendante par l’expert en cybersécurité Clément Domingo, connu sous le pseudonyme Saxx, qui a indiqué sur TF1 avoir été récemment en contact avec l’un des deux membres du groupe. D’après les éléments qu’il a pu recueillir, l’individu concerné serait en recherche d’emploi et aurait tenté, en parallèle de ses activités illicites, de candidater à un poste dans le secteur informatique.

Sur le plan technique, le mode opératoire décrit par le groupe repose sur le détournement d’accès légitimes plutôt que sur une faille technique classique : usurpation des identifiants d’un agent puis d’un tiers habilité pour la première intrusion, contournement de l’authentification à plusieurs facteurs pour la seconde.

ZeroBytes ne semble pas en être à son coup d’essai. Le duo revendique également, sans que les entreprises visées ne l’aient à ce stade confirmé, des vols de données touchant un opérateur téléphonique national et un groupe hôtelier.

Plusieurs autres compromissions survenues en France au cours des derniers mois lui sont par ailleurs attribuées par FrenchBreaches, dans des secteurs très variés allant de la grande distribution au sport en passant par l’enseignement à l’étranger.

Ce dossier s’inscrit par ailleurs dans une série plus large de piratages visant des administrations et opérateurs publics français en 2026, après notamment celui de l’Agence nationale des titres sécurisés (ANTS) au printemps, et un précédent accès frauduleux au fichier bancaire FICOBA de la DGFiP en février 2026, déjà lié à une usurpation d’identifiants.

Le gouvernement impuissant et ses « mesurettes »

Face à l’ampleur de la fuite, les autorités ont annoncé une série de mesures, pour l’essentiel classiques dans ce type de dossier mais renforcées par la tenue d’une cellule de crise interministérielle :

Information individuelle des personnes concernées : Bercy s’est engagé à ce que chaque usager touché reçoive un message personnalisé précisant les données qui ont pu être consultées ou extraites, ainsi que les mesures de vigilance à adopter. Ces messages doivent provenir exclusivement de l’administration, via une adresse en @dgfip.finances.gouv.fr ou par courrier postal, sans qu’aucune démarche ne soit demandée aux personnes concernées.

Renforcement de la sécurité des systèmes : l’administration indique avoir renforcé la surveillance et la sécurisation de ses accès à la suite de la découverte de l’intrusion, sans détailler publiquement les mesures techniques précises mises en œuvre

Cellule interministérielle de crise : convoquée à l’initiative de Matignon, sous la présidence de Sébastien Lecornu, elle vise à coordonner la communication de crise et l’organisation de l’information aux victimes à l’échelle interministérielle..

Notification à la CNIL : la DGFiP a indiqué avoir saisi la Commission nationale de l’informatique et des libertés, qui confirme de son côté avoir été notifiée des violations de données et être d’ores et déjà saisie du dossier;  précisant qu’il n’est donc plus utile de lui adresser des plaintes individuelles sur ce sujet précis.

Dépôt de plainte et enquête judiciaire : le ministère a annoncé le dépôt d’une plainte, et le parquet de Paris a confirmé l’ouverture d’une enquête portant notamment sur des faits d’extraction frauduleuse de données et d’association de malfaiteurs, infractions passibles de sept ans de prison.

Ces annonces n’effacent toutefois pas les critiques sur le délai de réaction. Le syndicat Solidaires Finances Publiques a indiqué avoir alerté la direction générale dès le mois de juin sur les risques d’usurpation d’identité et d’hameçonnage ciblé liés à ce type d’incident.

Sur le plan juridique, il faut relever que les traitements de données mis en œuvre par l’État échappent, par exception légale, au régime des sanctions administratives que la CNIL peut prononcer contre une entreprise placée dans la même situation.

Ce qui reste incertain

Plusieurs éléments demeurent à ce stade non confirmés de façon indépendante : l’ampleur exacte des données auxquelles les pirates disent avoir eu accès (ils évoquent un environnement comprenant plusieurs millions de demandes fiscales et, pour le volet cadastral, plus de deux millions de propriétaires), la méthode précise d’obtention des identifiants détournés, ainsi que l’éventuelle persistance d’un accès aux systèmes de l’administration.

The post Piratage de la DGFiP : ce que l’on sait vraiment appeared first on Silicon.fr.