DGFiP : 678 000 usagers piratés, l'administration sous le choc

678 437. C'est le nombre de contribuables et d'entreprises dont les données fiscales ont été dérobées lors de la cyberattaque contre la Direction générale des finances publiques (DGFiP). Un chiffre qui a doublé en quelques semaines — le premier bilan faisait état de 300 000 victimes. Mais les révélations ne s'arrêtent pas là. Noms, prénoms, quotient familial, revenu fiscal de référence, taux de prélèvement à la source : les pirates ont emporté un inventaire complet de la vie financière de centaines de milliers de Français.

L'intrusion

L’attaque a été détectée en juin 2026. Selon Sud Ouest, qui cite la directrice générale des finances publiques Amélie Verdier, « les services de Bercy ont détecté la compromission de l’accès au compte d’un agent et ont immédiatement coupé l’accès ». Sauf que sur le moment, l’administration n’avait pas identifié que l’attaquant avait pu récupérer des données. C’est plus tard, après des investigations internes, que l’ampleur du vol est apparue.

Les données dérobées concernent 392 867 particuliers et 285 570 professionnels, selon le bilan actualisé publié le 14 août 2026 par la DGFiP. Pour les particuliers : noms, prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. Les fichiers cadastraux ont également été détournés, exposant les propriétaires à des risques d’usurpation d’identité et de hameçonnage ciblé.

Amélie Verdier a présenté les excuses de l’administration. Elle précise qu’il s’agit « d’une attaque plus sophistiquée que ce qu’on avait vu par le passé ». France Info confirme que le mode opératoire était inhabituel : au lieu d’un bruteforce ou d’un phishing de masse, les assaillants ont utilisé un accès légitime — celui d’un agent — pour naviguer discrètement dans le système. Une technique qui rend la détection plus difficile. Et qui explique pourquoi l’administration n’a pas immédiatement mesuré l’étendue des dégâts.

Une cible de choix

La DGFiP est une administration tentaculaire. Dirigée par Amélie Verdier depuis le 4 mars 2024, elle compte près de 95 000 agents, répartis entre services centraux et réseau déconcentré (DRFiP, DDFiP). Elle gère la collecte de l’impôt sur le revenu, l’impôt sur les sociétés, la taxe foncière, la taxe d’habitation, et tient le fichier national des comptes bancaires (Ficoba). Autant dire que ses bases de données constituent une cible de choix pour les cybercriminels.

Et cette attaque n’est pas un incident isolé. En février 2026, l’administration avait déjà confirmé qu’un acteur malveillant, après avoir usurpé les identifiants d’un agent, avait consulté une partie du Ficoba — environ 1,2 million de personnes concernées. Quelques mois plus tôt, en avril 2026, l’Agence nationale des titres sécurisés (ANTS) avait subi une intrusion informatique compromettant 11,7 millions de comptes. Le Premier ministre de l’époque, Sébastien Lecornu, avait alors dévoilé un plan d’action pour renforcer la lutte contre les cyberattaques. Les faits sont têtus : les promesses n’ont pas empêché une nouvelle brèche, plus ciblée et plus sophistiquée.

Enquête en cours

Les autorités judiciaires n’ont pas encore communiqué officiellement sur l’état d’avancement des investigations. Selon les éléments rapportés par Sud Ouest et France Info, une enquête a été ouverte, confiée à la police judiciaire spécialisée dans la cybercriminalité. Mais les détails précis — identité des pirates, mode opératoire exact, utilisation des données volées — restent inconnus. La DGFiP affirme collaborer avec les forces de l’ordre et les autorités de régulation, notamment la CNIL. Aucune arrestation n’a été annoncée.

Les risques concrets pour les victimes sont multiples : usurpation d’identité, demandes de crédit frauduleuses, détournement de remboursements d’impôts. France Info souligne que les pirates pourraient utiliser les données pour monter des campagnes de hameçonnage extrêmement crédibles — les courriels frauduleux contiendraient des informations fiscales authentiques. Une menace que les contribuables doivent prendre au sérieux, mais que l’État semble peiner à anticiper.

Ce que ça dit de la France

Pourquoi cette cyberattaque contre la DGFiP — qui a compromis les données de 678 000 contribuables et entreprises — révèle-t-elle la vulnérabilité structurelle de l’administration française face à des risques numériques pourtant documentés ?

D’abord, la répétition des incidents. Depuis le début de l’année 2026, trois fuites majeures ont touché des organismes publics : ANTS, Ficoba, DGFiP. Chaque fois, le même scénario : un accès légitime détourné, une détection tardive, des excuses. L’administration française sait collecter l’impôt avec une efficacité redoutable — 95 000 agents, des systèmes centralisés, un taux de prélèvement parmi les plus élevés du monde développé. Protéger les données de ses contribuables ? C’est visiblement une autre paire de manches.

La question du coût est centrale. Combien d’argent public a-t-il été investi dans la cybersécurité de la DGFiP ? Les données vérifiées par Le Dossier indiquent que la fusion DGI-DGCP en 2008, censée moderniser l’administration, a été qualifiée de « réforme en trompe l’œil » par l’IFRAP. Les syndicats de Bercy dénoncent depuis des années le sous-effectif et le manque de moyens dans les services informatiques. Résultat : des systèmes vieillissants, des agents peu formés aux risques cyber, et une architecture qui permet à un seul compte compromis de mettre en danger des centaines de milliers de citoyens.

La comparaison internationale est éloquente. Au Royaume-Uni ou en Estonie, les administrations fiscales ont investi massivement dans l’authentification multi-facteurs, la segmentation des réseaux et la surveillance en temps réel. La France, elle, semble encore fonctionner sur un modèle de confiance hérité du XXe siècle — où un badge et un mot de passe suffisent pour accéder aux fichiers les plus sensibles du pays.

Et maintenant ? Les contribuables concernés doivent redoubler de vigilance face aux courriels et appels suspects. Mais la responsabilité première incombe à l’État. Le plan d’action annoncé après l’attaque de l’ANTS doit être évalué, chiffré, et surtout appliqué. Pas de nouvelles promesses — des actes. La DGFiP a promis de « déterminer précisément les données et le nombre d’usagers concernés » (01net). Elle l’a fait. Maintenant, il faut protéger les 95 000 agents et les 678 000 victimes, et empêcher que le prochain bilan atteigne le million.