Un cybercriminel revendique depuis le 12 août 2026 avoir extrait les données fiscales de 678 438 contribuables français lors d’une intrusion dans les systèmes de la Direction générale des finances publiques (DGFiP) datant du 26 juin 2026. L’attaquant affirme avoir accédé à un outil de recherche interne via un accès VPN obtenu après infiltration de serveurs.
678 438 personnes touchées : une extraction massive de données
Sur un forum pirate, l’attaquant a détaillé son opération avec une précision troublante. Il prétend avoir extrait 678 438 lignes de données, réparties entre 392 867 particuliers et 285 570 professionnels. Parmi les contribuables exposés figureraient 26 805 personnes déclarant un revenu fiscal de référence supérieur ou égal à 100 000 euros, dont 386 dépassant le million d’euros annuel. Selon FrenchBreaches, qui a révélé l’affaire, l’extraction aurait été interrompue par une déconnexion que le pirate attribue à une détection par l’administration. Le cybercriminel, dont le compte créé en juillet 2026 affiche déjà une réputation de plus de 100 points sur le forum, s’est illustré récemment dans plusieurs fuites visant des entités françaises (Intermarché, FFHandball, Bureau Vallée, SFR, Accor).
Outil de recherche interne et accès VPN : les prétentions de l’attaquant
L’auteur de la revendication explique avoir obtenu son accès privilégié en « infiltrant les serveurs internes » de la DGFiP. « En infiltrant les serveurs internes, nous avons pu obtenir le VPN qui nous a donné accès à l’outil interne utilisé pour rechercher aussi bien des particuliers que des professionnels », précise-t-il dans son message. Cet outil aurait théoriquement permis de consulter les dossiers de plusieurs dizaines de millions de citoyens, affirme le pirate, sans que cette capacité soit vérifiable. ZATAZ souligne que la connexion VPN suggère une compromission profonde de l’infrastructure, bien au-delà d’une simple fuite de base de données.
Quels types de données sensibles ont été exposées ?
Les données exposées dépassent largement le simple montant des revenus. Chaque ligne contiendrait nom, prénoms, date et lieu de naissance, adresse postale complète, numéro de téléphone, adresse électronique, revenu fiscal de référence, taux de prélèvement à la source, situation familiale et nombre de personnes à charge. Plus préoccupant encore, certains enregistrements comporteraient un historique des demandes adressées à l’administration fiscale. « Les données observées ne se limitent pas aux informations présentes dans le dossier fiscal. Certains enregistrements comportent un historique de demandes adressées à l’administration fiscale », précise FrenchBreaches dans son analyse. Ce niveau de détail transforme ces données en munitions idéales pour des attaques de phishing extrêmement ciblées.
La distinction particuliers/professionnels dans l’extraction
La répartition entre 392 867 particuliers et 285 570 professionnels suggère que l’outil compromis permettait de distinguer les types de contribuables. Cette segmentation faciliterait l’exploitation frauduleuse des données, les professionnels étant particulièrement vulnérables aux arnaques fiscales sophistiquées. Un fraudeur disposant simultanément de l’identité, de la situation familiale, du revenu fiscal et d’échanges antérieurs avec l’administration pourrait élaborer des messages imitant avec précision une procédure fiscale réelle, alerte ZATAZ. Les contribuables à hauts revenus, surreprésentés dans l’échantillon, constituent des cibles privilégiées pour des escroqueries financières complexes.
Le précédent Ficoba de février 2026 : quand la DGFiP a été piratée
La crédibilité des allégations du cybercriminel se trouve renforcée par un précédent avéré. En février 2026, la DGFiP a confirmé une intrusion dans le fichier des comptes bancaires (Ficoba) ayant exposé les données de 1,2 million de personnes. Cette violation résultait d’une usurpation d’identifiants d’agents de l’administration fiscale, démontrant la vulnérabilité de l’infrastructure malgré sa sensibilité. L’incident Ficoba prouve que les systèmes de la DGFiP constituent une cible réaliste et que des compromissions sont techniquement possibles. Toutefois, comme le note Cyberattaque.org, l’absence de validation indépendante des données revendiquées le 12 août maintient un doute raisonnable. Sans échantillon vérifiable ou confirmation officielle, impossible d’établir avec certitude l’authenticité et l’ampleur exacte de cette nouvelle fuite présumée.
