Impôts.gouv.fr : un pirate revendique le vol de 678 000 données fiscales, silence de la DGFiP

Un individu se présentant sous le pseudonyme ZeroBytes affirme avoir extrait 678 438 lignes de données fiscales depuis un outil interne de la Direction générale des Finances publiques (DGFiP). Trois semaines après l'intrusion présumée, remontée au 26 juin, Bercy n'a toujours ni confirmé ni démenti les faits — un silence qui, si l'incident est avéré, pose une vraie question de conformité au RGPD.

Ce qui s'est passé

Le 12 août 2026, ZeroBytes a publié sur un forum du dark web une revendication qui a fait l'effet d'une bombe dans le monde de la cybersécurité française : l'extraction de 678 438 lignes de données fiscales depuis un outil interne de la DGFiP, l'administration qui gère impots.gouv.fr.

Selon son propre récit, relayé par le site spécialisé FrenchBreaches, l'intrusion remonterait au 26 juin 2026 — soit près de sept semaines avant sa divulgation publique. ZeroBytes affirme avoir compromis plusieurs serveurs avant d'obtenir un accès VPN à un outil métier permettant d'effectuer des recherches sur les particuliers et les professionnels dans les bases de l'administration fiscale. Il dit avoir lancé une extraction automatisée avant que son accès ne soit coupé, et prétend que l'outil aurait pu, en théorie, exposer les données de plusieurs dizaines de millions de contribuables.

Pour crédibiliser sa revendication, il a publié un échantillon de 1 126 enregistrements. On y trouve état civil complet, date et lieu de naissance, adresse fiscale, situation familiale, revenu fiscal de référence, taux de prélèvement à la source, identifiant fiscal interne, e-mail, téléphone, et même l'historique de certaines démarches effectuées auprès des services fiscaux. Un ensemble de champs particulièrement sensible, qui donne du poids au récit sans pour autant en prouver l'authenticité complète.

À ce jour, la DGFiP et le ministère de l'Économie et des Finances n'ont ni confirmé ni démenti les faits.

Pourquoi c'est important

Si l'incident est confirmé, le calendrier pose déjà un problème de conformité : l'article 33 du RGPD impose de notifier la CNIL dans les 72 heures après la découverte d'une violation — pas après sa révélation publique par l'attaquant. Une intrusion datée du 26 juin et non signalée à ce jour interrogerait directement le dispositif de détection interne de la DGFiP, indépendamment de la question de savoir si l'attaque est réelle.

Ce dossier s'inscrit aussi dans une tendance plus large que Leto suit depuis le début de l'année : l'administration publique française est devenue une cible de choix. Après le piratage du portail ANTS au printemps, la DGFiP elle-même avait déjà reconnu, entre le 29 janvier et le 13 février 2026, un accès frauduleux à FICOBA (Fichier national des comptes bancaires) via les identifiants compromis d'un agent — 1,2 million de comptes bancaires consultés illégalement. La CNIL a d'ailleurs explicitement fait du secteur public une priorité de ses contrôles 2026, après une vague d'incidents similaires.

Autre signal à ne pas négliger : selon FrenchBreaches, ZeroBytes serait également lié à deux fuites déjà traitées dans cette veille, celle d'Intermarché et celle de la Fédération française de handball. Un même acteur capable de frapper tour à tour un distributeur, une fédération sportive et l'administration fiscale illustre à quel point les failles d'hygiène numérique — accès VPN mal cloisonnés, outils internes trop permissifs — restent transversales, tous secteurs confondus.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cette affaire — même non confirmée à ce stade — rappelle trois priorités concrètes. D'abord, l'audit des outils internes à fort accès (recherche client, recherche contribuable, CRM) : ce sont rarement les systèmes exposés sur Internet qui cèdent en premier, mais les applications métier accessibles via VPN, souvent moins surveillées que le périmètre public. Ensuite, la vitesse de qualification d'un incident : qu'une revendication soit fondée ou non, une communication rapide (même pour la démentir) limite l'exposition réputationnelle et évite le vide d'information dans lequel prospèrent le phishing et les tentatives d'ingénierie sociale usurpant l'administration.

Enfin, cette affaire illustre l'intérêt de surveiller les canaux spécialisés (forums, sites de threat intelligence) pour détecter une fuite avant qu'elle ne devienne virale — un réflexe que Leto recommande d'intégrer au registre des violations, aux côtés de la procédure classique de notification. Les organisations qui pensent pouvoir être concernées, ou qui veulent structurer leur propre procédure de réponse, peuvent s'appuyer sur notre guide sur la violation de données, qui détaille les étapes de qualification, de notification CNIL et d'information des personnes concernées.

Ce que Leto pense de cette affaire

Que la revendication de ZeroBytes soit exacte ou exagérée, le silence prolongé de la DGFiP est en soi révélateur. Une administration qui détient les données fiscales de plusieurs dizaines de millions de Français ne peut pas se permettre le même délai de réaction qu'une PME confrontée à un incident mineur : l'enjeu de confiance publique est trop élevé. Nous pensons que cette affaire devrait accélérer, au-delà du cas DGFiP, une remise à plat de la gouvernance des accès aux outils internes dans l'ensemble des grandes administrations — la répétition des incidents (ANTS, FICOBA, et potentiellement impots.gouv.fr) démontre que le sujet dépasse largement un cas isolé.

Sources : JustGeek, « Impots.gouv.fr : les données de 678 438 contribuables auraient été volées », 13 août 2026 — DemarchesAdministratives.fr