14 août 2026
Systèmes fiscaux DGFiP
Administration Finances / fiscalité
La DGFiP a confirmé le 14 août 2026 que deux incidents d’accès illégitime en juin et juillet avaient reposé sur des identifiants volés ou usurpés d’un agent DGFiP et d’un tiers habilité. Lorsque les intrusions ont été détectées, l’accès aux comptes en cause a été coupé. À ce moment, toutefois, la revue des accès n’avait pas identifié que des données avaient déjà été volées.
L’élément déclencheur est venu les 12 et 13 août, lorsqu’un acteur malveillant a publiquement revendiqué les intrusions. La DGFiP a alors rapproché ces revendications de ses journaux et établi que des données concernant un total de 678 000 particuliers et professionnels avaient été consultées et extraites avant la coupure des accès.
Faits datés dans le dossier public
Le compte d’un agent DGFiP est compromis ou usurpé (fin juin). L’accès est détecté et coupé. Le vol de données n’est alors pas identifié.
Un second incident d’accès illégitime survient en juillet avec les identifiants d’un tiers habilité, selon le communiqué ultérieur du ministère des Finances (jour exact non publié).
Un acteur malveillant revendique publiquement l’accès. La DGFiP lance une investigation plus poussée sur les journaux historiques.
Une revendication ou divulgation supplémentaire est faite par l’acteur malveillant.
Le ministère des Finances confirme 678 000 particuliers et professionnels dans le périmètre établi d’extraction ou de consultation. Les identifiants des espaces fiscaux usagers sont indiqués comme non compromis.
La presse française indique que la section cyber du parquet de Paris a ouvert une enquête et l’a confiée à l’OFAC.
La DGFiP prévoit de contacter chaque particulier ou professionnel concerné à compter de la semaine du 17 août, avec le détail des données susceptibles d’avoir été consultées ou extraites.
Comment cela s’est passé
Le récit officiel indique que les incidents ont reposé sur l’usurpation d’identifiants : un agent DGFiP et un tiers habilité. Le ministère des Finances n’a pas publié l’architecture d’authentification complète ni confirmé les revendications de l’attaquant sur des produits d’accès distant précis. La DGFiP a indiqué que le vol n’avait pas été identifié lors de la première réponse, l’attaque étant sophistiquée. La presse, s’appuyant sur un briefing de la directrice générale Amélie Verdier, ajoute que l’extraction était lente ou découpée selon des schémas qui ne ressemblaient pas à des requêtes massives évidentes.
Ce qui a été exposé
Le communiqué écrit du gouvernement fixe le périmètre combiné confirmé à 678 000 particuliers et professionnels. Il cite le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, la raison sociale et le SIREN, ainsi que des informations cadastrales relatives aux adresses et aux surfaces.
La couverture d’un briefing presse a séparément fait état d’une consultation cadastrale d’environ 200 000 comptes. Le communiqué écrit du 14 août n’en fait pas une seconde population de victimes à additionner ; ce chiffre n’est donc pas ajouté aux 678 000.
Ce qui n’était pas dans le périmètre
Le ministère des Finances a indiqué que les espaces particuliers et professionnels Finances publiques n’avaient pas été compromis, pas plus que les identifiants et mots de passe de ces espaces. Des données fiscales volées peuvent rendre une fraude extrêmement convaincante, mais elles ne donnent pas à elles seules l’accès à l’espace sécurisé d’un contribuable.
Ce que cela a changé concrètement
C’est l’un des jeux de données d’identité les plus sensibles du recueil, car il révèle à la fois l’identité personnelle et la situation financière. Un escroc qui connaît le revenu de référence, le quotient familial et le taux de prélèvement d’une victime peut usurper de façon convaincante l’administration fiscale, une banque, un expert-comptable ou un service de gestion de patrimoine. Pour les foyers à hauts revenus, la divulgation peut aussi créer des risques de ciblage et de sécurité physique au-delà de l’hameçonnage ordinaire.
Ce qui a suivi
La DGFiP a coupé les accès associés aux comptes compromis, puis procédé à des coupures préventives supplémentaires sur des systèmes sensibles après les découvertes d’août. Elle a notifié la CNIL, travaillé avec le SHFDS et l’ANSSI, prévu une information individuelle et annoncé une plainte pénale. Le 16 août, la presse indiquait qu’une enquête du parquet de Paris avait été ouverte et confiée à l’OFAC.
Ce que les suites ont modifié
Ce dossier évoluait encore à la clôture de la recherche. Des publications criminelles ont décrit un VPN et fait d’autres allégations sur le contournement des contrôles d’authentification ; ces revendications restent distinctes de la méthode officielle. Le communiqué écrit indique aussi que la nature et le volume exacts des données extraites, ainsi que le nombre définitif d’usagers concernés, étaient encore en investigation : le chiffre de 678 000 est donc le périmètre établi au 14 août, pas nécessairement le point d’arrivée de l’enquête.
Dans leurs mots
un total de 678 000 particuliers et professionnels
Ministère de l’Économie et des Finances, 14 août 2026
n’ont pas été compromis
Ministère de l’Économie et des Finances, 14 août 2026, à propos des espaces fiscaux sécurisés et des identifiants des usagers
Qu’est-ce que cela veut dire ?
- Hameçonnage
- Un message ou un appel qui imite une vraie organisation pour vous faire donner un mot de passe, un code ou un paiement.
- Identifiants
- Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.
- VPN
- Un tunnel privé vers le réseau d’une organisation, souvent utilisé pour que le personnel travaille hors du bureau.