Cyberattaque à la DGFiP : données personnelles dérobées, confirmation du ministère

Les faits

Mercredi 12 août 2026, un message posté sur un forum cybercriminel revendique un accès illégitime au système d’information de la Direction générale des Finances publiques. Le pirate affirme que l’intrusion date de fin juin. Il exhibe un fichier d’environ 678 000 lignes — mêlant particuliers et professionnels — et diffuse un échantillon d’environ 1 100 lignes comme preuve.

Le site spécialisé Fuites Infos, qui recense les fuites de données en France, repère l’affaire et la classe au statut « revendiquée ». Faute de confirmation officielle à ce moment-là.

Moins de vingt-quatre heures plus tard, l’administration fiscale réagit. Le ministère de l’Action et des Comptes publics publie un communiqué : « Mercredi 12 août 2026, un acteur malveillant a revendiqué un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP), intervenu fin juin 2026, après une usurpation d’identité. Les premières investigations confirment que cet accès, qui avait été coupé fin juin dans le cadre du contrôle opéré, a néanmoins permis la consultation et l’extraction de données concernant des particuliers et des professionnels. »

L’accès a donc été coupé fin juin — mais les données avaient déjà été consultées et extraites. Combien d’usagers sont touchés ? Le ministère ne le dit pas. Les informations dérobées comprennent le prénom, le nom, l’adresse et le numéro fiscal.

Le contexte

D’après Fuites Infos, l’intrusion a commencé par la compromission d’un VPN interne. Ce VPN donnait accès à un applicatif permettant de rechercher les contribuables. L’extraction des données a été interrompue par une déconnexion. Voilà qui recoupe la mention du communiqué sur un accès coupé « dans le cadre du contrôle opéré ».

Le traitement judiciaire

Aucune poursuite pénale n’a été annoncée à ce stade. Le ministère indique que « les premières investigations » sont en cours, sans préciser leur nature. L’identité de l’auteur de la revendication reste inconnue. Le nombre exact de personnes touchées ? Pas déterminé.