Impôts : 678 000 comptes touchés, les victimes prévenues cette semaine

La Direction générale des Finances publiques a confirmé le 13 août avoir subi un accès illégitime à son système d’information. L’intrusion remonte à la fin du mois de juin. Le parquet de Paris a ouvert une enquête le 15 août.

Amélie Verdier, directrice générale des Finances publiques, a précisé le lendemain sur BFMTV que 678 000 comptes de particuliers et de professionnels étaient concernés. Les personnes touchées devaient être contactées individuellement à partir de lundi, c’est-à-dire aujourd’hui.

Ce qui a été extrait

Bercy indique qu’un acteur malveillant a obtenu l’accès après une usurpation d’identité, sans détailler davantage. Ce n’est donc pas une faille technique exotique : ce sont les identifiants d’un accès légitime qui ont été utilisés.

Le pirate, sous le pseudonyme ZeroBytes, revendique précisément 678 438 lignes. Selon les relevés publiés par FrenchBreaches, la répartition serait de 392 867 particuliers et 285 570 professionnels.

Les données présentées dans l’échantillon comprennent les noms et prénoms, les dates et lieux de naissance, l’adresse d’envoi et l’adresse d’imposition, l’adresse électronique, les numéros de téléphone et la situation familiale. S’y ajoutent des éléments proprement fiscaux : revenus déclarés, taux de prélèvement à la source, nombre de personnes à charge.

La DGFiP tient à écarter une confusion répandue depuis la revendication : le portail impots.gouv.fr et les espaces personnels n’ont pas été compromis et ne sont pas le vecteur de l’extraction. L’administration précise avoir désactivé les accès associés aux comptes compromis et suspendu par précaution l’accès à plusieurs autres applications sensibles.

La chronologie, qui est le vrai sujet

Elle mérite d’être posée dans l’ordre, parce qu’elle raconte autre chose que l’incident lui-même.

26 juin : date d’intrusion revendiquée par l’attaquant. 29 juillet : seconde intrusion revendiquée, visant cette fois le Serveur professionnel de données cadastrales. Le pirate annonce 252 149 lignes extraites, représentant selon lui plus de deux millions de personnes, plusieurs titulaires pouvant être rattachés à une même parcelle. 12 août : revendication publique sur un forum cybercriminel. 13 août : confirmation officielle de Bercy, quelques heures plus tard. 14 août : chiffre de 678 000 comptes donné par la directrice générale. 15 août : ouverture d’une enquête par le parquet de Paris.

Deux éléments ressortent. Sept semaines se sont écoulées entre les faits et l’information du public, et c’est l’attaquant qui a parlé le premier. Surtout, si la seconde revendication est exacte, un nouvel accès a été obtenu un mois après le premier et avant que celui-ci ne soit rendu public.

Le précédent de février

Six mois plus tôt, le même ministère communiquait sur un incident au mode opératoire identique.

Le 18 février 2026, Bercy révélait des accès illégitimes au FICOBA, le fichier national des comptes bancaires, après l’usurpation des identifiants d’un fonctionnaire. Les données consultées et extraites pouvaient concerner 1,2 million de comptes.

L’affaire a donné lieu à une question écrite à l’Assemblée nationale, le député Hadrien Clouet évoquant une défaillance des systèmes de protection du ministère et demandant toute la transparence.

Rien ne permet à ce stade d’établir un lien entre les deux affaires, et nous ne l’affirmons pas. Mais le schéma est le même : un identifiant légitime détourné, dans le même ministère, à six mois d’intervalle.

Ce que ces données permettent, concrètement

C’est le point qui concerne directement les 678 000 personnes visées, et il est rarement expliqué.

Un escroc qui dispose de votre nom, de votre adresse d’imposition, de votre situation familiale, de votre revenu déclaré et de votre taux de prélèvement à la source peut construire un appel ou un courriel d’une crédibilité redoutable. Il ne demande pas d’informations : il les connaît déjà, et s’en sert pour établir sa légitimité avant de réclamer un virement, un remboursement ou un code.

Trois règles suffisent à s’en prémunir.

L’administration fiscale ne demande jamais de coordonnées bancaires par téléphone, par courriel ou par message. Un remboursement d’impôt se fait sur le compte déjà enregistré dans votre espace, sans démarche de votre part.

En cas d’appel, raccrochez et rappelez le numéro figurant sur votre avis d’imposition ou sur impots.gouv.fr. Ne composez jamais le numéro fourni par l’interlocuteur.

Ne cliquez sur aucun lien reçu à ce sujet. Connectez-vous en tapant vous-même l’adresse dans le navigateur.

Si vous constatez une opération frauduleuse, signalez-la sur cybermalveillance.gouv.fr et déposez plainte. Un prélèvement non autorisé peut être contesté auprès de votre banque dans un délai de treize mois.

Pourquoi ça compte

Nous avons documenté la fuite qui a précédé de cinq jours la fermeture de Bloctel, en relevant que le fichier des personnes ayant demandé à ne pas être démarchées s’était retrouvé entre les mains de démarcheurs.

Le mécanisme est ici plus lourd. Il ne s’agit plus de numéros de téléphone mais de la matière première de l’escroquerie ciblée : ce qu’une personne gagne, avec qui elle vit et où elle habite.

Nous consacrons un second article à ce que cette série d’incidents dit de la sécurité des systèmes publics français, et un guide pratique aux démarches à effectuer après une fuite.

Les angles morts

La DGFiP ne confirme ni le chiffre de 678 438 lignes, ni la nature précise de l’ensemble des informations extraites. Le nombre de 678 000 comptes annoncé par sa directrice générale et celui revendiqué par l’attaquant coïncident, mais l’administration ne valide pas la ventilation publiée par FrenchBreaches.

La seconde revendication, celle du cadastre, n’a pas fait l’objet d’une confirmation officielle à notre connaissance. Le chiffre de deux millions de personnes émane du pirate et repose sur son propre décompte.

Le mode d’obtention des identifiants n’est pas documenté : hameçonnage, réutilisation de mot de passe, compromission d’un poste, l’administration n’en dit rien. C’est pourtant l’élément déterminant pour évaluer si l’incident était évitable.

Enfin, nous ignorons si un accès résiduel subsiste. Les mesures de restriction annoncées ont été prises après la revendication du 12 août, soit sept semaines après la première intrusion.