Entre juin et août 2026, la Direction générale des finances publiques (DGFiP) a subi trois cyberattaques distinctes. Au total, 678 000 particuliers et entreprises ont vu leurs informations fiscales compromises, auxquels s’ajoutent 1,8 million de dossiers cadastraux piratés. Le gouvernement a confirmé ces intrusions le 18 août, après que le groupe ZeroBytes a revendiqué les attaques sur le dark web.
Qu’est-ce qui a vraiment été volé ?
Fuite n°1 (juin) : les données fiscales, le profil financier complet de 600 000 Français
Fin juin 2026, les cybercriminels ont accédé aux dossiers fiscaux de 350 000 particuliers et 250 000 entreprises. Ces fichiers contenaient des informations hautement sensibles : identifiants fiscaux, état civil complet, coordonnées postales et téléphoniques, situation fiscale détaillée et historique des échanges avec l’administration. Concrètement, un pirate dispose désormais du portrait financier complet de 600 000 contribuables. Il connaît leurs revenus déclarés, leur situation familiale, leur adresse exacte et peut même consulter les demandes qu’ils ont formulées auprès du fisc. Selon Orange Actualités, cette première intrusion constitue la plus grave en termes de données personnelles exposées.
Fuite n°2 (juillet) : les cadastres, 1,8 million de plans de propriétés exposés
Fin juillet, une deuxième attaque a visé les fichiers cadastraux. Initialement évalué à 200 000 comptes compromis, le bilan a été révisé à la hausse : 1,8 million de dossiers ont été piratés. Les cadastres recensent l’ensemble des propriétés immobilières d’un territoire avec une précision redoutable. Plans détaillés, identification des parcelles, localisation exacte des biens, noms des propriétaires : tout y figure. Fanny de Coster, secrétaire générale de la CGT Finances publiques, s’alarme : « L’ampleur de ce piratage grandit tous les jours ». Ces informations permettent aux criminels de cartographier précisément qui possède quoi et où, ouvrant la voie à des cambriolages ciblés ou des usurpations d’identité immobilières.
Fuite n°3 (août) : les successions vacantes, un patrimoine orphelin devenu visible
Le 17 août 2026, comme l’a révélé Franceinfo, une troisième intrusion a touché le portail public des successions vacantes. Ce système recense les biens dont aucun héritier n’a été identifié : comptes bancaires oubliés, biens immobiliers sans successeur, patrimoine en déshérence. L’accès a été coupé le jour même de sa découverte. Amélie Verdier, directrice générale de la DGFiP, minimise : « Ce n’est pas du tout de la même ampleur car c’est un outil accessible à tous et l’attaquant a eu accès à un journal de demandes ». Néanmoins, ces informations révèlent l’existence de patrimoines non réclamés, une aubaine pour les escrocs spécialisés dans les fraudes successorales.
Qui sont les victimes ? 350 000 particuliers et 250 000 entreprises
Les particuliers représentent plus de la moitié des victimes de la première fuite. Leurs déclarations de revenus, leurs avis d’imposition, leurs demandes de délais de paiement ou de rectification : tout a été aspiré. Ces données permettent aux pirates de connaître le niveau de vie exact de chaque personne, son patrimoine déclaré, ses dettes fiscales éventuelles. Un contribuable gagnant 80 000 euros annuels devient une cible prioritaire pour du phishing personnalisé. Un autre en difficulté financière peut être approché par de faux conseillers fiscaux proposant des solutions frauduleuses.
Les entreprises touchées voient leurs bilans comptables, leurs structures juridiques et leurs relations avec l’administration fiscale exposés. TPE, PME, professions libérales : toutes sont concernées. Les cybercriminels disposent désormais d’informations stratégiques sur la santé financière de 250 000 sociétés françaises. Ces données facilitent l’espionnage industriel, les arnaques au faux fournisseur ou les usurpations d’identité d’entreprise. Un dirigeant peut recevoir un faux courriel de la DGFiP mentionnant précisément son numéro SIRET et sa situation fiscale réelle, rendant l’escroquerie quasi indétectable.
Quels risques pour vous ? Phishing personnalisé, usurpation d’identité, fraude bancaire
Les données volées constituent une mine d’or pour les escrocs. Premier scénario : le phishing ultra-personnalisé. Imaginez recevoir un courriel mentionnant votre numéro fiscal exact, votre adresse, votre dernière déclaration de revenus et vous demandant de « régulariser une erreur ». La crédibilité serait totale. Deuxième risque : l’usurpation d’identité. Avec état civil complet, adresse et situation fiscale, un criminel peut ouvrir des comptes bancaires, souscrire des crédits ou créer des sociétés en votre nom. Troisième menace : les cambriolages ciblés. Les fichiers cadastraux révèlent qui possède des biens de valeur et où ils se trouvent. Nous avions déjà alerté sur l’ampleur du vol de données des propriétaires.
Le gouvernement a annoncé un plan de sécurisation : généralisation de la double authentification, campagnes de sensibilisation interne et programme « bug bounty » pour détecter les failles. Mais pour les 678 000 victimes, le mal est fait. Les données circulent déjà sur le dark web. La vigilance reste le meilleur rempart : vérifier systématiquement l’expéditeur des courriels prétendument officiels, ne jamais communiquer ses identifiants par téléphone ou courriel, surveiller ses comptes bancaires et son dossier fiscal.
