Près de 680 000 particuliers et professionnels ont été victimes du piratage des sites de la Direction générale des finances publiques (DGFiP). Trois attaques successives, menées en juin, juillet et août, ont permis à des cybercriminels de dérober des données personnelles et fiscales. Le gouvernement présente ses excuses et promet un renforcement de la cybersécurité, mais les questions demeurent sur la protection des données des citoyens.
Ce que les victimes doivent savoir après le piratage des impôts
Le ministre de l'Action et des Comptes publics a présenté ses excuses le mardi 18 août, près d'une semaine après la revendication du piratage. La directrice générale des finances publiques, Amélie Verdier, a détaillé en conférence de presse les trois vagues d'attaques qui ont visé l'administration fiscale. Le parquet de Paris a ouvert une enquête pour « extraction frauduleuse de données » et « association de malfaiteurs ».
Au total, 678 000 personnes sont concernées, dont 350 000 contribuables. La DGFiP a commencé à envoyer des courriers aux victimes dès le lundi 17 août. Ces courriers précisent la nature des données consultées ou volées, ainsi que les précautions à prendre. Le processus d'information s'étale dans le temps, les services devant recouper les profils individuellement.
Quelles données ont été volées lors des trois attaques ?
La première attaque, survenue fin juin, est la plus importante. Les pirates ont pu consulter et extraire des données telles que l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale, le revenu fiscal de référence, le nombre de personnes à charge et le taux de prélèvement à la source. Pour les professionnels, les données volées comprennent le numéro SIREN et les adresses de l'entreprise ou du mandataire.
La deuxième attaque, en juillet, a visé les données cadastrales du Serveur professionnel de données cadastrales (SPDC). Les cybercriminels ont revendiqué le vol de données de deux millions de personnes, mais la DGFiP a identifié « maximum 433 485 particuliers et 1 082 professionnels » concernés.
Une troisième fuite, liée aux données de succession, a été rapidement « coupée » selon Amélie Verdier. Son ampleur reste limitée par rapport aux deux premières attaques.
Malgré ces piratages, les cybercriminels n'ont pas réussi à s'introduire dans un compte fiscal, ni à récupérer des codes d'accès aux comptes sécurisés des contribuables, a assuré la directrice générale de la DGFiP.
Comment les hackers ont-ils pu pénétrer les systèmes du fisc ?
L'attaque est « plus sophistiquée que ce qu'on avait vu par le passé », selon Amélie Verdier. Les cybercriminels ont évité les requêtes massives, facilement détectables, et ont compromis le compte d'un agent de l'administration en exploitant une faille de sécurité. L'accès a été fermé immédiatement après la découverte, mais les investigations n'ont pas permis de déterminer précisément ce qui s'est passé.
Le groupe ZeroBytes, composé de deux hackers français, a revendiqué les attaques. Le duo communique sur X et promet de ne pas s'arrêter là : « Les impôts, ce n'était que le début », a-t-il annoncé le 16 août. Le groupe cible les services de l'État, vendant les données volées au plus offrant sur le dark web. « Leur service était mal sécurisé, c'est tout », explique-t-il à BFMTV.
Quelles mesures l'État compte-t-il prendre pour renforcer la cybersécurité ?
Le gouvernement a réuni une cellule interministérielle le 17 août. Le ministre des Comptes publics David Amiel a reconnu que les « systèmes d'information comportent des faiblesses », malgré les « plus de 100 emplois » dédiés à la cybersécurité et les « plus de 5 300 informations » de la DGFiP.
Le plan d'action prévoit la lutte contre la compromission des comptes des agents, un renforcement de la formation cyber, l'utilisation de « token USB » pour les connexions sécurisées, et l'intensification des campagnes internes de lutte contre l'hameçonnage.
L'État avait déjà annoncé en avril 2026 un plan de sécurisation numérique avec la création de l'autorité « Ariane », un investissement de 200 millions d'euros dans la cybersécurité et l'IA, et l'obligation pour chaque ministère d'allouer 5 % de son budget au cyber dès 2027. Selon RMC, l'hypothèse d'un doublement du budget informatique annuel, évalué à 489,9 millions d'euros en 2025, est sur la table, ce qui pourrait porter l'enveloppe à près d'un milliard d'euros.
Les victimes du piratage des impôts doivent-elles porter plainte ?
Les victimes peuvent porter plainte auprès des autorités compétentes, le parquet de Paris ayant ouvert une enquête pour « extraction frauduleuse de données » et « association de malfaiteurs ». Il est recommandé de conserver les courriers de la DGFiP et de surveiller ses comptes bancaires et fiscaux pour détecter toute activité suspecte.
Le site des impôts est-il sûr désormais ?
La DGFiP affirme avoir fermé l'accès compromis et renforcé ses systèmes de surveillance. Les investigations se poursuivent pour déterminer l'étendue exacte des dégâts. Les contribuables sont invités à rester vigilants face aux tentatives d'hameçonnage qui pourraient utiliser les données volées.