Piratage de la DGFiP : des centaines de milliers de contribuables français exposés

Des pirates informatiques ont réussi à s’introduire dans le système informatique de la Direction générale des finances publiques (DGFiP) et à dérober des données fiscales appartenant à des centaines de milliers de Français. L’attaque, dont les contours précis ont été révélés le 18 août 2026, repose sur un mécanisme particulièrement redoutable : la combinaison des identifiants usurpés d’un agent de l’administration avec ceux d’un tiers habilité. Les pirates affirment avoir revendu les données volées, ce qui soulève une question immédiate et concrète pour chaque contribuable concerné : quels risques réels court-on quand ses informations fiscales atterrissent entre des mains criminelles ?

Une attaque qui contourne la sécurité par la porte de service

Ce qui frappe dans ce piratage, c’est la sophistication du vecteur d’entrée. Les hackers ne se sont pas contentés d’une attaque frontale contre les serveurs des impôts. Selon les informations communiquées aux victimes, ils ont exploité les identifiants d’un agent de la DGFiP, vraisemblablement obtenus par hameçonnage ou fuite préalable, puis les ont couplés à ceux d’un tiers habilité, c’est-à-dire un expert-comptable, un mandataire ou tout professionnel autorisé à se connecter au nom de ses clients. Cette double combinaison d’identifiants légitimes leur a permis d’agir à l’intérieur du système sans déclencher les alertes habituelles.

Ce type d’attaque, dit par « mouvement latéral » ou par compromission de comptes légitimes, est devenu l’un des vecteurs les plus efficaces contre les administrations publiques. Il ne s’agit plus de briser un mur, mais d’entrer avec la bonne clé. La question qui se pose naturellement est de savoir depuis combien de temps ces identifiants circulaient avant d’être utilisés, et si d’autres accès similaires ont pu être exploités sans être détectés.

Ce que les données fiscales révèlent sur vous

On sous-estime souvent la valeur d’un dossier fiscal volé. Un relevé d’impôt sur le revenu contient votre identité complète, votre adresse, votre numéro fiscal, le détail de vos revenus, la composition de votre foyer, parfois vos références bancaires si vous avez opté pour le prélèvement. C’est un profil suffisamment complet pour monter des arnaques par hameçonnage ultra-ciblé, simuler des remboursements fictifs ou tenter des usurpations d’identité auprès d’organismes financiers.

Le fait que les pirates affirment avoir revendu ces données aggrave considérablement la situation. Une fois les informations sur un marché noir, elles peuvent être achetées par plusieurs acteurs malveillants indépendants, multipliées et réutilisées pendant des années. Les victimes qui reçoivent aujourd’hui le courriel de la DGFiP ne sont donc pas au bout de leurs peines : la menace s’étale dans le temps.

« L’attaque a reposé sur l’utilisation d’identifiants usurpés : ceux d’un agent de la DGFiP ont été combinés à ceux d’un tiers habilité par l’administration. »
Extrait du courriel envoyé par la DGFiP aux contribuables concernés, 18 août 2026

Les deux camps du débat : État fautif ou risque inévitable ?

La réaction prévisible, et compréhensible, est de pointer la responsabilité de l’administration. Une administration fiscale qui brasse des données aussi sensibles sur des dizaines de millions de Français devrait disposer d’une sécurité de très haut niveau. L’existence d’un chemin d’intrusion passant par la combinaison d’identifiants internes et externes pose des questions légitimes sur la gestion des accès, les audits de sécurité et la détection des comportements anormaux.

De l’autre côté, certains spécialistes de la cybersécurité rappellent qu’aucun système connecté n’est intrinsèquement inviolable, et que la compromission préalable d’un agent (par hameçonnage par exemple) relève d’un risque humain difficile à éliminer totalement. L’enjeu n’est donc pas tant l’imperméabilité absolue que la capacité à détecter l’intrusion rapidement et à limiter l’étendue des dégâts. Sur ce point précis, le bilan reste à établir : on ignore à ce stade combien de temps les attaquants ont eu accès au système avant d’être repérés.

Ce qui est plus difficile à défendre, en revanche, c’est l’absence visible d’authentification à plusieurs facteurs robuste pour les agents accédant à des données aussi critiques. Si un mot de passe seul suffit à ouvrir la porte, le niveau de protection est structurellement insuffisant au regard du volume et de la sensibilité des données hébergées.

Ce que doivent faire les contribuables concernés

La DGFiP a commencé à notifier les personnes touchées par courriel. Si vous recevez ce message, plusieurs réflexes s’imposent immédiatement. Soyez en alerte maximale face à tout appel ou message prétendant provenir des impôts, d’un organisme bancaire ou d’un service public : les prochaines semaines seront propices aux arnaques exploitant les données volées. Ne cliquez sur aucun lien dans un courriel non sollicité, même s’il semble officiel.

Signalez toute tentative d’escroquerie sur la plateforme officielle cybermalveillance.gouv.fr et, si vous constatez une usurpation d’identité effective, déposez plainte auprès des services de police ou de gendarmerie. Sur le plan juridique, la CNIL a compétence pour être saisie : les contribuables dont les données ont été compromises sont fondés à signaler l’incident et à demander des comptes sur les mesures de protection mises en place.

Cet épisode devrait aussi relancer le débat sur la souveraineté numérique de l’État et les moyens réellement alloués à la cybersécurité des administrations publiques. En attendant, des centaines de milliers de Français vont devoir vivre avec l’incertitude de savoir exactement quelles données les concernant circulent désormais dans les circuits criminels, et pour combien de temps.