Piratage du fisc : Bercy confirme la fuite des données de 678 000 contribuables

Deux mois de silence, puis un aveu à demi-mot. Le 13 août 2026, les services de Bercy ont confirmé qu'un « accès illégitime » avait permis, fin juin, la consultation et l'extraction de données fiscales concernant des particuliers et des professionnels. Cette confirmation intervient un jour seulement après la revendication publique d'un pirate affirmant détenir 678 000 lignes de données extraites d'un outil interne de la DGFiP.

Ce qui s'est passé

Le 12 août 2026, un individu opérant sous le pseudonyme ZeroBytes revendiquait avoir extrait 678 438 lignes de données fiscales — état civil, adresse, revenu fiscal de référence, taux de prélèvement, identifiant fiscal — via une intrusion datée du 26 juin 2026. À l'époque, la DGFiP n'avait ni confirmé ni démenti l'incident.

Le 13 août, changement de ton : le ministère de l'Économie et des Finances confirme officiellement l'attaque. Selon Bercy, l'accès illégitime a résulté d'une « usurpation d'identité » et a permis la consultation et l'extraction de données concernant à la fois des particuliers et des professionnels — une précision qui élargit le périmètre au-delà des seuls 392 867 particuliers mentionnés dans la revendication initiale du pirate.

Bercy indique que la DGFiP va notifier l'incident à la CNIL, déposer plainte et communiquer de nouvelles informations à mesure que l'enquête progresse.

Pourquoi c'est important

L'écart entre la date de l'intrusion (26 juin) et sa confirmation publique (13 août) — près de sept semaines — pose une question centrale pour tout DPO : celle du point de départ du délai de 72 heures fixé par l'article 33 du RGPD. Ce délai court à compter du moment où le responsable de traitement a « pris connaissance » de la violation, et non à compter de sa communication publique. Si la DGFiP a bien notifié la CNIL en interne dès la détection de l'intrusion, le silence public prolongé n'est pas en soi une infraction — mais il illustre la tension entre l'obligation légale de notification à l'autorité et l'attente, légitime, d'information des personnes concernées au titre de l'article 34.

Ce cas s'inscrit dans une série de piratages visant des administrations et opérateurs publics français en 2026, après le piratage de l'ANTS en avril. Dans ce précédent, le ministère de l'Intérieur avait confirmé l'incident cinq jours seulement après sa détection — un contraste net avec le délai observé pour la DGFiP.

Ce que ça change pour les organisations

Bercy annonce que les contribuables concernés recevront une notification individuelle précisant les données susceptibles d'avoir été consultées ou extraites, ainsi que les mesures de vigilance à adopter. C'est l'application concrète de l'article 34 du RGPD, qui impose une communication aux personnes physiques lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés — usurpation d'identité en tête, compte tenu de la nature des données fiscales exposées.

Pour les DPO du secteur public comme privé, cet épisode rappelle trois réflexes à ancrer avant la prochaine attaque : documenter précisément la chronologie entre détection et notification CNIL, préparer en amont des modèles de communication individuelle conformes à l'article 34, et anticiper qu'une revendication publique par l'attaquant peut forcer la main d'une communication officielle avant même la fin de l'investigation technique. Notre guide sur la réaction à une violation de données détaille ces étapes pas à pas.

Les contribuables qui recevraient une notification — ou qui suspectent d'être concernés sans l'avoir encore reçue — trouveront la marche à suivre dans notre guide dédié aux démarches en cas de fuite de données personnelles.

Ce que Leto pense de cette décision

Sept semaines entre la détection d'un accès illégitime aux données fiscales de centaines de milliers de contribuables et sa reconnaissance publique, ce n'est pas anodin — et ce n'est certainement pas le rythme qu'on attendrait d'une administration soumise aux mêmes règles RGPD que n'importe quelle entreprise privée. Que la confirmation soit arrivée le lendemain de la revendication du pirate, plutôt qu'en amont par transparence proactive, en dit long sur la logique de gestion de crise à l'œuvre. Les organisations publiques ne bénéficient d'aucune dérogation à l'article 34 : si le risque pour les personnes est élevé, l'information doit suivre le rythme du risque, pas celui du calendrier médiatique.

Sources : Boursorama, Franceinfo