Fin juin 2026, un acteur malveillant s’est introduit dans le système d’information de la Direction générale des Finances publiques.
L’intrusion n’a été rendue publique que le 13 août, quand le cybercriminel sous le pseudonyme de « ZeroBytes » l’a revendiquée sur un forum du dark web. 678 438 lignes de données fiscales auraient été extraites. Voilà le cadre brut de ce que l’on appelle désormais le piratage impôt gouv 2026.
Si vous êtes concerné, voici ce qu’il faut savoir avant d’envisager de porter plainte.
1. Comment l’intrusion s’est produite
Une usurpation d’identifiants, pas un forçage technique classique
L’attaque n’a pas exploité une faille logicielle spectaculaire. L’accès a reposé sur l’usurpation des identifiants d’un agent de la DGFiP, combinés à ceux d’un tiers habilité par l’administration.
Autrement dit, le pirate s’est connecté comme s’il était un fonctionnaire légitime. Ce type d’attaque, dit par « credential stuffing » ou vol d’identifiants, est précisément conçu pour contourner les contrôles d’accès habituels, ce qui explique que les systèmes de détection n’aient rien signalé en temps réel.
La DGFiP a confirmé dans son communiqué de presse du 14 août 2026 que les intrusions, survenues en juin et juillet, avaient été revendiquées publiquement les 12 et 13 août. Dès la détection, l’administration a coupé l’accès de l’ensemble des comptes concernés. Trop tard pour empêcher l’extraction.
Le FICOBA touché dès janvier 2026
Un épisode distinct, moins médiatisé, avait précédé. À compter de fin janvier 2026, un autre acteur malveillant avait accédé au fichier national des comptes bancaires (FICOBA), en usurpant les identifiants d’un fonctionnaire disposant d’accès dans le cadre des échanges interministériels.
Ce fichier recense l’ensemble des comptes ouverts dans les établissements bancaires français et contient des données personnelles: coordonnées bancaires (RIB/IBAN), identité du titulaire, adresse. La DGFiP a précisé, dans une mise à jour du 27 février 2026, que l’identifiant fiscal des usagers n’avait pas été consulté lors de cet accès illégitime à FICOBA. Deux incidents distincts, donc, sur deux fichiers différents, en l’espace de six mois.
Pour une vision plus large de vos droits en cas de fuite de données, notre article sur les responsabilités pénales en cas de fuite de données peut aussi vous éclairer. Cette affaire n’est d’ailleurs pas isolée : elle fait suite à la fuite du fichier FICOBA en février 2026 et à celle de l’ANTS en avril 2026.
2. Trois intrusions, pas une seule
C’est le point le plus souvent minimisé dans la couverture médiatique de cette affaire : l’incident d’août 2026 est en réalité une série de trois compromissions distinctes, sur des systèmes différents.
- Fin juin — le système fiscal. Accès à un outil interne de consultation des dossiers fiscaux, revendiqué le 12-13 août. C’est l’incident officiellement confirmé, portant sur 678 000 particuliers et professionnels.
- 29 juillet — le serveur cadastral SPDC. Une seconde intrusion, sur le Serveur Professionnel de Données Cadastrales, a été revendiquée le 14 août — deux jours seulement après la première. Le pirate affirme avoir extrait environ 252 000 lignes correspondant, selon lui, à plus de 2 millions de propriétaires. Ce chiffre provient de la revendication du pirate et n’a pas été confirmé dans cette proportion par la DGFiP à ce stade.
- 17 août — le portail des successions vacantes. Une troisième faille, de nature différente : pas d’identifiants volés cette fois, mais une vulnérabilité technique permettant un accès sans authentification préalable à un service qui répertorie les successions non réclamées. La DGFiP a confirmé l’accès et l’a coupé le jour même. Les informations concernées ici sont particulièrement sensibles pour l’ingénierie sociale : identités, adresses, dates et lieux de décès, situation matrimoniale — de quoi construire une arnaque crédible en se faisant passer pour un héritier ou un notaire.
3. Quelles données ont été exposées ?
Des informations fiscales très précises
Selon les éléments publiés par le cybercriminel et analysés par des chercheurs en sécurité, l’échantillon revendiqué contient des noms, dates de naissance, adresses, identifiants fonciers, parcelles cadastrales et informations sur les biens immobiliers. Des revenus fiscaux de référence et des taux de prélèvement à la source figureraient également dans les données. Ce niveau de détail dépasse largement ce qu’une simple fuite de coordonnées représente: avec un revenu fiscal et une adresse, un escroc peut construire un message d’hameçonnage très ciblé.
678 000 personnes notifiées individuellement
Le 18 août, la DGFiP a annoncé avoir informé individuellement les contribuables concernés. Le chiffre retenu par l’administration est de 678 000 particuliers et professionnels, auxquels s’ajoutent environ 200 000 comptes présents dans les fichiers cadastraux. Les personnes touchées ont reçu un courriel précisant la nature de l’attaque et les données potentiellement consultées. Le portail impots.gouv.fr et les espaces personnels des usagers n’ont pas été compromis directement, selon la DGFiP.
Une vulnérabilité supplémentaire découverte le 17 août
Le 17 août, une vulnérabilité technique distincte a été identifiée sur le portail des successions vacantes. Ce portail ne contient que des données publiques, ce qui limite la portée de cette découverte, mais son timing a alimenté les inquiétudes sur l’état général de la sécurité des systèmes fiscaux.
Comment savoir si vous êtes concerné ?
Vous n’avez aucune démarche à faire pour le savoir : la DGFiP contacte individuellement, par email ou courrier, chaque personne dont les données ont été consultées — cette notification a débuté le 17 août 2026. Le message authentique porte un objet du type « consultation illégitime de vos informations fiscales », détaille précisément les données concernées, et ne contient aucun lien cliquable. Tout message vous demandant de cliquer « pour vérifier votre situation » est une tentative de phishing exploitant l’actualité.
4. Ce que cela implique pour les contribuables concernés
Le risque concret: l’hameçonnage ciblé
Recevoir un courriel de la DGFiP mentionnant votre taux de prélèvement à la source exact, votre adresse et votre revenu fiscal de référence peut sembler parfaitement légitime. C’est précisément ce que rend possible ce type de fuite. Les données volées permettent de construire des tentatives d’escroquerie très personnalisées, bien au-delà du phishing générique habituel. La DGFiP a d’ailleurs alerté sur ce risque dans les communications envoyées aux personnes concernées.
48 jours entre l’intrusion et la communication publique
L’intrusion remonte à fin juin. La confirmation officielle date du 13 août, soit environ 48 jours plus tard, et uniquement parce que le pirate avait lui-même rendu l’affaire publique. Le RGPD impose en principe une notification à la CNIL dans les 72 heures suivant la détection d’une violation de données. La question de savoir à quel moment la DGFiP a réellement « détecté » l’incident reste ouverte. Une particularité notable: l’État échappe aux amendes administratives que la CNIL peut infliger aux entreprises privées pour ce type de manquement.
5. Que faire si vous êtes concerné
Changer les mots de passe des services en ligne liés à vos finances reste une précaution utile, même si le portail impots.gouv.fr n’a pas été directement compromis. Méfiez-vous des courriels ou SMS qui citent des données fiscales précises: la DGFiP ne demande jamais de virement ou de coordonnées bancaires par message. Signalez tout contact suspect sur signal.spam.fr ou via cybermalveillance.gouv.fr. Ce piratage révèle surtout une faille structurelle: l’accès par identifiants partagés entre ministères, sans authentification renforcée, constitue un vecteur d’attaque que les administrations publiques devront traiter bien au-delà de cet incident précis.
Comment vous protéger des cyberattaques et piratages ?
- Ne cliquez sur aucun lien reçu par email ou SMS prétendant venir des impôts, même si le message cite des données exactes vous concernant. Tapez vous-même impots.gouv.fr dans votre navigateur.
- Ne communiquez jamais vos identifiants, mot de passe ou coordonnées bancaires par téléphone, SMS ou email — la DGFiP ne les demande jamais par ces canaux.
- En cas de doute sur un appel, raccrochez et rappelez la DGFiP via un numéro trouvé sur impots.gouv.fr ou un avis d’imposition papier.
- Signalez tout SMS frauduleux en le transférant gratuitement au 33700, et utilisez le diagnostic gratuit de cybermalveillance.gouv.fr en cas de doute sur une tentative d’arnaque.
- Surveillez vos relevés bancaires, et prévenez immédiatement votre banque en cas d’opération inconnue.
- Si vous gérez ou attendez une succession, soyez particulièrement vigilant face à tout contact non sollicité se présentant comme un notaire, un héritier ou un service du Domaine.
- Activez la double authentification (2FA) partout où c’est possible, même si vos identifiants impots.gouv.fr n’ont pas été touchés.
- Conservez toutes les preuves — captures d’écran, numéros suspects, copie des messages reçus — elles seront utiles en cas de plainte.
Vous avez été notifié par la DGFiP, ou vous êtes victime d’une tentative d’escroquerie exploitant ces données ?
Maître Belhaouci, avocat en cybercriminalité, vous aide à sécuriser vos preuves, formuler une plainte précise et évaluer vos recours en indemnisation — indépendamment des suites que l’administration donnera, ou non, à ce dossier.
6. Quels sont vos recours ?
Recevoir la notification de la DGFiP établit que vous êtes une personne concernée — pas nécessairement l’étendue exacte du préjudice. Si vous constatez une conséquence concrète (tentative d’escroquerie, usurpation d’identité, opération bancaire non autorisée), plusieurs démarches sont possibles :
- Porter plainte en décrivant précisément les faits subis, plutôt qu’en renvoyant simplement à « la fuite DGFiP ». Notre guide sur comment porter plainte pour cybercriminalité détaille la marche à suivre.
- Demander réparation si un préjudice réel peut être démontré — la simple notification de la DGFiP ne suffit pas à elle seule, un accompagnement juridique permet de construire ce dossier. Voir aussi notre article sur les responsabilités pénales en cas de fuite de données.
- Vous méfier des offres commerciales apparues après la fuite, qui promettent de « vérifier votre présence dans la fuite » contre transmission de vos documents personnels — une nouvelle porte ouverte à la fraude.
FAQ : Vos questions sur Piratage impôt gouv 2026
Le piratage DGFiP, est-ce un seul incident ou plusieurs ?
Le piratage DGFiP, inclus trois intrusions distinctes ont eu lieu entre fin juin et le 17 août 2026 : le système fiscal, le serveur cadastral SPDC, et le portail des successions vacantes. Ce sont des systèmes et probablement des méthodes d’attaque différentes.
Toutes les données annoncées par le pirate sont-elles confirmées par la DGFiP ?
Non. La DGFiP confirme officiellement une liste précise de données (identité, RFR, quotient familial, taux de prélèvement, données cadastrales pour certains comptes). D’autres informations, plus détaillées, proviennent uniquement de la revendication du pirate et n’ont pas toutes été confirmées à ce stade.
Dois-je changer mon mot de passe impots.gouv.fr ?
Ce n’est pas indispensable pour cette raison précise : aucune des trois intrusions n’a compromis les identifiants ou mots de passe des usagers. Le faire par précaution générale reste néanmoins une bonne pratique.
La DGFiP peut-elle être sanctionnée comme une entreprise privée l’aurait été ?
Dans les faits, non — les administrations publiques échappent largement aux amendes que la CNIL peut infliger aux acteurs privés pour ce type de manquement. Cela ne remet en revanche pas en cause votre droit individuel à demander réparation si vous subissez un préjudice concret.
Maître Djamel Belhaouci est avocat en cybercriminalité au barreau de Marseille. Il intervient pour les victimes de fuites de données, d’usurpation d’identité et de piratage informatique dans toute la France.
Sources officielles : communiqué et FAQ de la DGFiP — impots.gouv.fr et communiqué du ministère de l’Économie.
