Fuite de données des contribuables de la DGFiP (août 2026)

Le 14 août 2026, l'administration fiscale française — la Direction Générale des Finances Publiques (DGFiP) — a confirmé que des attaquants avaient pénétré ses systèmes d'information et dérobé des données appartenant à environ 678 000 contribuables. L'administration a divulgué l'incident après qu'un acteur malveillant a mis en vente une base de données volée sur un forum de piratage.

Ce qui s'est passé

Selon la DGFiP, l'intrusion reposait sur des identifiants volés ou usurpés appartenant à un agent de la DGFiP et à un tiers autorisé. L'accès non autorisé a eu lieu au cours des mois de juin et juillet 2026. La fuite a été mise au jour après qu'un acteur malveillant utilisant le pseudonyme « ZeroBytes » a revendiqué l'attaque et, le 12 août, mis en vente la base de données volée sur le forum PwnForums, en annonçant un nombre d'enregistrements bien supérieur à celui finalement confirmé par la DGFiP. L'administration a publié un communiqué confirmant la fuite le 14 août.

Les données dérobées concernaient environ 390 000 particuliers et 285 000 entreprises et comprenaient les noms, dates de naissance, adresses et informations cadastrales, ainsi que des données fiscales telles que le revenu fiscal de référence, les informations de quotient familial et les taux de prélèvement à la source.

De façon cruciale, la DGFiP a souligné que les comptes en ligne « Finances publiques » des contribuables n'ont pas été compromis, et que les identifiants et mots de passe des particuliers et des entreprises n'ont pas été exposés lors de l'incident.

Impact

• Des données personnelles et fiscales d'environ 678 000 particuliers et entreprises ont été volées.
• Les champs exposés — identité, adresse, données cadastrales et de revenus — créent un risque significatif de fraude et d'usurpation d'identité, ainsi qu'une base solide pour des campagnes de hameçonnage à thème fiscal visant les contribuables français.
• Les comptes fiscaux en ligne et les identifiants ont été signalés comme non affectés, limitant le risque de prise de contrôle directe des comptes.

Pourquoi c'est important

La fuite de la DGFiP rappelle que la compromission d'identifiants d'initiés et de tiers de confiance — et non un spectaculaire exploit logiciel — suffit souvent à atteindre les données citoyennes les plus sensibles d'un État. C'est aussi le deuxième incident majeur à toucher l'administration fiscale française en 2026, après une précédente fuite du registre des comptes bancaires FICOBA, ce qui souligne le ciblage persistant des systèmes fiscaux nationaux. Pour un organisme public détenant des données d'identité, de patrimoine et de revenus sur la quasi-totalité de la population adulte, même une fuite limitée à des données descriptives fournit aux criminels précisément les éléments nécessaires pour rendre convaincants leurs leurres d'usurpation et de fraude fiscale.