PIratage de la DGFiP : une troisième fuite révélée

En trois mois, le fisc français a perdu le contrôle de 678 000 dossiers personnels et entreprises. Pour les victimes, c'est une facture d'angoisse qui pourrait devenir une facture tout court : fraudes bancaires, usurpations d'identité, cambriolages ciblés. Les données dérobées entre juin et août 2026 constituent une mine d'or pour les cybercriminels, capable de générer des millions d'euros de préjudices financiers.

Trois cyberattaques, trois fortunes en données volées

Juin 2026 : 600 000 profils fiscaux exposés aux fraudeurs

Fin juin 2026, la première brèche révèle l'ampleur du désastre. Les pirates ont dérobé les données fiscales de 350 000 particuliers et 250 000 entreprises, soit 600 000 profils au total. Identifiants fiscaux, état civil, coordonnées postales, situation fiscale détaillée, historique des échanges avec l'administration : l'intégralité du parcours contributif se retrouve entre des mains malveillantes. Pour un fraudeur, ces informations valent de l'or. Elles permettent de reconstituer un profil économique complet, d'identifier les cibles solvables, de connaître précisément les revenus déclarés. Un particulier gagnant 80 000 euros annuels devient une proie de choix pour des demandes de crédit frauduleuses ou des arnaques au faux conseiller bancaire.

Juillet 2026 : 1,8 million de dossiers cadastraux

La deuxième attaque, survenue fin juillet, change de nature mais pas de gravité. Les cybercriminels ont compromis 1,8 million de comptes cadastraux, un chiffre neuf fois supérieur aux 200 000 initialement annoncés. Plans de propriétés, documents administratifs identifiant précisément les biens immobiliers : les voleurs disposent désormais d'une carte au trésor nationale. Pour les propriétaires de résidences secondaires ou de biens de valeur, le risque est tangible. Un cambrioleur peut croiser les données cadastrales avec les informations fiscales pour identifier une villa vide six mois par an, appartenant à un contribuable aisé. Fanny de Coster, secrétaire générale de la CGT Finances publiques, alerte : « L'ampleur de ce piratage grandit tous les jours. » Le patrimoine immobilier français, évalué à plusieurs milliers de milliards d'euros, se retrouve partiellement exposé.

Août 2026 : les successions vacantes

Le 17 août 2026, une troisième intrusion cible le portail public des successions vacantes. L'accès a été identifié et coupé le jour même, selon Amélie Verdier, directrice générale de la DGFiP. « Ce n'est pas du tout de la même ampleur car c'est un outil accessible à tous et l'attaquant a eu accès à un journal de demandes », précise-t-elle. Néanmoins, les données concernent des patrimoines successoraux non réclamés par les ayants droit. Pour les escrocs, une opportunité en or : se faire passer pour un héritier légitime, monter des arnaques ciblées auprès de notaires ou de familles.

Quel est votre risque réel d'usurpation d'identité et de fraude ?

Les données compromises : identifiants, revenus, coordonnées bancaires

Les cybercriminels disposent désormais d'identifiants fiscaux uniques, de noms complets, d'adresses précises, de numéros de téléphone, de situations familiales et professionnelles. Surtout, ils connaissent les revenus déclarés, les montants d'impôts payés, les historiques de correspondance avec le fisc. Aucune intrusion dans les comptes fiscaux personnels n'a été confirmée, mais les données externes suffisent amplement. Un fraudeur peut reconstituer 80% du profil financier d'une victime sans jamais accéder à son espace sécurisé. Pour les 250 000 entreprises touchées, le risque inclut également l'espionnage industriel et la concurrence déloyale.

Phishing ciblé, faux crédits, demandes frauduleuses : les scénarios probables

Les experts en cybersécurité anticipent trois vagues de fraudes majeures. Premièrement, les campagnes d'hameçonnage ultra-personnalisées. Un courriel mentionnant votre identifiant fiscal exact, votre dernier montant d'impôt payé, votre adresse complète : le taux de réussite grimpe à 40%, contre 2% pour un phishing générique. Deuxièmement, les demandes de crédit frauduleuses. Avec état civil, revenus et adresse, un escroc peut souscrire un prêt de 15 000 euros en votre nom. Troisièmement, les cambriolages ciblés. Croiser cadastre et revenus permet d'identifier les victimes les plus lucratives. Le gouvernement a commencé l'envoi de courriels d'alerte aux victimes dès le 18 août au soir. Le coût moyen d'une usurpation d'identité réussie oscille entre 3 000 et 25 000 euros par victime, selon les données du ministère de l'Intérieur.

Le plan gouvernemental : double authentification et assurances cyber

David Amiel, ministre de l'Action et des Comptes publics, a présenté les excuses officielles : « Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français. » Le gouvernement annonce un plan de sécurisation en trois volets. D'abord, la généralisation de l'authentification à deux facteurs pour tous les accès aux systèmes sensibles de la DGFiP. Ensuite, des campagnes internes massives de sensibilisation aux risques cyber, après que les identifiants d'au moins trois personnes (un agent d'une autre administration, un employé de la DGFiP, et potentiellement un élu) aient été compromis. Enfin, le lancement d'un programme « bug bounty » rémunérant les chercheurs en sécurité qui identifieront des failles. Pour les victimes, aucune compensation financière directe n'est prévue à ce stade, mais le coût budgétaire global de cette crise pourrait atteindre plusieurs dizaines de millions d'euros en renforcement des infrastructures et en accompagnement juridique. Les 678 000 victimes devront, pour l'essentiel, assumer seules la vigilance accrue nécessaire pendant les mois à venir.