Il aura fallu qu’un pirate se vante publiquement de son coup pour que Bercy sorte du silence. Près de deux mois après les faits, le ministère reconnaît que le système d’information du fisc a été forcé et que des données de particuliers comme d’entreprises en sont ressorties. Sur le volume exact, l’administration ne dit rien — d’autres parlent à sa place.
Sommaire
Piratage des impôts : ce que Bercy confirme
Le ministère de l’Économie et des Finances a publié son communiqué le jeudi 13 août 2026. Il y reconnaît que le système d’information de la Direction générale des Finances publiques (DGFiP) a subi fin juin 2026 un « accès illégitime ».
La formulation retenue est nette sur le principe, muette sur l’ampleur : cet accès « a néanmoins permis la consultation et l’extraction de données concernant des particuliers et des professionnels ». Bercy ne précise ni la nature des données concernées, ni le nombre de contribuables touchés, et indique que « des investigations approfondies se poursuivent afin de déterminer précisément les données et le nombre d’usagers concernés ».
Le déclencheur de cette communication n’est pas la découverte de la faille, mais sa publicité. Le communiqué le dit explicitement : « Mercredi, un acteur malveillant a revendiqué un accès illégitime au système d’information de la Direction générale des Finances publiques. » La confirmation officielle est donc intervenue le lendemain de la revendication par le pirate, et près de deux mois après l’intrusion elle-même.
Une intrusion par usurpation d’identité
Le mode opératoire décrit par Bercy est celui d’une usurpation d’identité, et non d’une prouesse technique contre les défenses périmétriques. L’accès s’est fait, selon le communiqué, « après une usurpation d’identité » — autrement dit en se faisant passer pour un utilisateur légitime du système.
Un point du communiqué mérite l’attention : l’accès « avait été coupé fin juin dans le cadre du contrôle opéré ». La DGFiP avait donc détecté et interrompu l’anomalie à l’époque, sans mesurer — ou sans rendre publique — l’étendue de l’extraction déjà réalisée. Ce n’est qu’après la revendication d’août que l’administration indique avoir « immédiatement mis en œuvre de nouvelles mesures de restriction permettant d’y mettre fin et de prévenir de nouveaux accès illégitimes ».
| Élément | Ce que dit Bercy |
|---|---|
| Date de l’intrusion | Fin juin 2026 |
| Mode opératoire | Accès illégitime après usurpation d’identité |
| Revendication | Mercredi 12 août 2026, par « un acteur malveillant » |
| Confirmation officielle | Jeudi 13 août 2026 |
| Données concernées | Particuliers et professionnels — nature non précisée |
| Nombre d’usagers | Non communiqué, investigations en cours |
Les chiffres avancés hors de Bercy
Le silence de l’administration sur les volumes laisse le terrain aux estimations extérieures. Le site spécialisé French Breaches, qui documente les cyberattaques commises en France, a fait état sur X d’un total de 678 437 personnes concernées, dont 392 867 particuliers — le solde correspondant à des professionnels. De son côté, le média actu.fr rapporte que le pirate revendique le vol de données appartenant à plus de 650 700 Français.
Ces chiffres appellent une réserve explicite : ils émanent d’une revendication et de son analyse par des tiers, et la DGFiP ne les a pas confirmés. Ils donnent un ordre de grandeur, pas un bilan. L’écart entre les deux estimations disponibles illustre d’ailleurs à lui seul l’incertitude qui règne tant que les investigations officielles n’ont pas abouti.
Le deuxième incident en six mois à la DGFiP
Cet épisode n’est pas isolé. En février 2026, la DGFiP avait déjà rendu publics des accès illégitimes au FICOBA, le fichier national des comptes bancaires et assimilés. Selon le communiqué diffusé alors, un acteur malveillant avait, à compter de la fin janvier 2026, usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de ses fonctions.
Le parallèle est frappant : dans les deux cas, la brèche ne vient pas d’une vulnérabilité logicielle exploitée de l’extérieur, mais du détournement d’un accès légitime. C’est le maillon humain et la gestion des identités qui cèdent, pas le pare-feu. Pour une administration qui centralise les données fiscales et bancaires de l’ensemble des contribuables français, la répétition du même scénario en six mois pose une question de fond sur le cloisonnement des habilitations et la détection des usages anormaux.
Ce que risquent les contribuables et les entreprises
La conséquence immédiate d’une fuite de données fiscales n’est généralement pas le vol direct, mais le hameçonnage ciblé. Un fraudeur qui connaît le nom, l’adresse et des éléments de situation fiscale d’un contribuable peut produire un faux message d’apparence très convaincante — prétendu remboursement d’impôt, régularisation urgente, avis de mise en recouvrement.
Pour les professionnels, dont Bercy confirme que les données figurent parmi celles extraites, le risque se double d’une exposition à la fraude au virement : une entreprise dont les coordonnées et les éléments fiscaux circulent devient une cible plus crédible pour une usurpation de fournisseur ou de dirigeant.
La règle de prudence reste la même quelle que soit la sophistication de l’attaque initiale : l’administration fiscale ne réclame jamais de coordonnées bancaires ou d’identifiants par courriel ou par SMS, et tout remboursement se vérifie en se connectant directement à son espace personnel plutôt qu’en suivant un lien reçu. Cette vigilance rejoint celle imposée par la montée des sollicitations frauduleuses, que le durcissement récent des règles sur le démarchage téléphonique cherche précisément à endiguer.
CNIL, plainte et information individuelle
La DGFiP a annoncé le triptyque procédural habituel en pareil cas : elle notifiera l’incident à la CNIL, déposera plainte et communiquera de nouveaux éléments à mesure de l’avancement des investigations.
Surtout, Bercy s’engage sur un point concret pour les intéressés : « les usagers concernés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter ». Cette notification individuelle est une obligation du RGPD lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour les personnes concernées.
Dans l’intervalle, aucun calendrier n’a été communiqué. Les contribuables et les entreprises qui redoutent d’être concernés n’ont donc, à ce stade, pas d’autre recours que d’attendre ce courrier — et de traiter avec la plus grande méfiance toute sollicitation se réclamant du fisc, à commencer par celles qui invoqueraient cette fuite pour paraître crédibles. Le secteur privé n’est pas mieux loti : les grandes entreprises européennes, de la distribution à l’industrie, encaissent elles aussi des cyberattaques aux conséquences financières durables.
Bercy a confirmé le 13 août 2026 un « accès illégitime » au système d’information de la DGFiP survenu fin juin, ayant permis l’extraction de données de particuliers et de professionnels. Le ministère ne communique ni la nature des données ni le nombre d’usagers concernés ; les estimations de 678 437 personnes circulant hors de l’administration ne sont pas confirmées par la DGFiP. L’intrusion s’est faite par usurpation d’identité, comme celle qui avait touché le fichier FICOBA en février 2026 — deuxième incident de ce type en six mois. La DGFiP saisira la CNIL, déposera plainte et informera individuellement les usagers concernés, sans calendrier annoncé. D’ici là, la vigilance s’impose face au hameçonnage se réclamant du fisc.
Questions fréquentes
Que s’est-il passé exactement sur le site des impôts ?
Le système d’information de la DGFiP a subi fin juin 2026 un accès illégitime, obtenu après une usurpation d’identité. Cet accès, coupé fin juin dans le cadre d’un contrôle, avait néanmoins permis la consultation et l’extraction de données de particuliers et de professionnels. Bercy l’a confirmé le 13 août 2026, au lendemain de la revendication publique de l’intrusion par un acteur malveillant.
Combien de contribuables sont concernés par le piratage des impôts ?
Bercy n’a pas communiqué de chiffre et indique que les investigations se poursuivent pour déterminer précisément le nombre d’usagers concernés. Le site spécialisé French Breaches évoque 678 437 personnes, dont 392 867 particuliers, et le pirate revendiquerait plus de 650 700 Français selon actu.fr. Ces estimations ne sont pas confirmées par l’administration.
Quelles données fiscales ont été extraites ?
Le ministère n’a pas précisé la nature des données concernées. Il indique seulement qu’elles portent sur des particuliers et des professionnels, et que les usagers touchés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites.
Comment savoir si je suis concerné par la fuite de données de la DGFiP ?
Bercy s’est engagé à adresser une information individuelle aux usagers concernés, précisant les données susceptibles d’avoir été consultées et, le cas échéant, les mesures de vigilance à adopter. Aucun calendrier n’a été annoncé pour ces notifications. Il n’existe pas, à ce stade, d’outil public permettant de vérifier soi-même si l’on figure parmi les personnes touchées.
Est-ce le premier piratage de la DGFiP en 2026 ?
Non. En février 2026, la DGFiP avait déjà signalé des accès illégitimes au FICOBA, le fichier national des comptes bancaires et assimilés. Selon le communiqué diffusé alors, un acteur malveillant avait usurpé, à compter de fin janvier 2026, les identifiants d’un fonctionnaire disposant d’accès dans le cadre de ses fonctions. Le mode opératoire est comparable à celui de l’incident de juin.
