678 438 lignes en vente après la cyberattaque des impôts

La cyberattaque des impôts confirmée par Bercy le 13 août 2026 a exposé bien plus qu'une liste de noms : identité complète, adresse, numéro fiscal, revenu fiscal de référence et taux de prélèvement à la source. Un pirate qui se fait appeler ZeroBytes revendique l'extraction de 678 438 lignes de données du système de la Direction générale des Finances publiques, et annonce vouloir les revendre.

L'intrusion, elle, ne date pas d'août. D'après la revendication publiée le 12 août sur un forum du dark web spécialisé dans les bases volées, l'accès remonte au 26 juin. Bercy évoque de son côté un accès illégitime survenu fin juin après une usurpation d'identité, coupé dès la fin du même mois lors d'un contrôle. Entre la fermeture de la brèche et l'alerte publique, six semaines se sont écoulées.

Pour un contribuable, le risque immédiat n'est pas qu'on lui vide son compte. C'est la qualité du dossier désormais constitué sur lui. Avec un revenu fiscal de référence exact, un taux de prélèvement à jour et l'historique de ses démarches, un escroc n'a plus besoin de paraître crédible : il l'est déjà. C'est ce qui rend cette fuite particulièrement pénible.

Ce que le pirate affirme avoir emporté

L'échantillon diffusé publiquement, environ 1 126 enregistrements, contient l'identité complète, la date et le lieu de naissance, l'adresse, la situation familiale, le nombre de personnes à charge, le numéro fiscal, l'adresse e-mail et le téléphone. S'y ajoute un élément rarement vu dans ce type de fuite : l'historique des démarches auprès de l'administration, avec service concerné, date, motif, statut et jusqu'au nom des agents ayant traité le dossier.

Le site French Breaches, qui recense les fuites visant la France, estime à près de 678 437 le nombre de personnes concernées, dont 392 867 particuliers, le reste relevant de professionnels. ZeroBytes affirme par ailleurs que l'outil interne auquel il a accédé, via des identifiants VPN, permettait d'interroger les données de plusieurs dizaines de millions de Français. Aucun élément public n'étaye cette affirmation.

Ce que Bercy confirme, et ce qu'il ne dit pas

Un acteur malveillant a revendiqué un accès illégitime au système d'information de la Direction générale des Finances publiques (DGFiP), intervenu fin juin 2026, après une usurpation d'identité.

Le communiqué reconnaît la consultation et l'extraction de données concernant des particuliers et des professionnels, sans détailler les champs touchés. L'administration annonce le dépôt d'une plainte, une notification à la CNIL, un travail conjoint avec l'ANSSI et de nouvelles restrictions d'accès. Elle promet aussi de prévenir individuellement les usagers concernés, une fois le périmètre exact établi. Ce chiffrage n'existe pas encore.

Pourquoi ces données se revendent si bien

Un numéro fiscal ne se change pas

Un mot de passe compromis se remplace en trente secondes. Le numéro fiscal, lui, vous suit à vie. Une fois dans la nature, il reste exploitable des années, y compris pour ouvrir des démarches à votre nom ou pour crédibiliser un appel prétendument officiel. C'est la différence de fond entre une fuite de mots de passe et une fuite d'identifiants administratifs.

Le revenu fiscal de référence est une clé

Ce montant sert de sésame à une bonne partie des aides et tarifs sociaux : bourses, aides au logement, tarifs de cantine, dispositifs énergie. Il donne aussi une idée précise de votre niveau de vie. Croisé avec un taux de prélèvement à la source, il permet de trier les cibles par capacité à payer, et donc de calibrer une arnaque.

L'historique des démarches rend l'escroquerie crédible

C'est le détail le plus inconfortable. Si un message vous cite la date exacte de votre dernière réclamation, son motif et son statut, le réflexe de méfiance saute. Les campagnes de faux remboursements d'impôts, jusqu'ici grossières, peuvent devenir chirurgicales. C'est précisément l'usage attendu de ce type de base par les acheteurs.

La cyberattaque des impôts n'est pas un cas isolé

Selon le site spécialisé JustGeek, la DGFiP a déjà subi un incident distinct entre le 29 janvier et le 13 février 2026, portant sur environ 1,2 million de comptes bancaires, à partir d'identifiants d'agents compromis. Deux fois en un an, le point d'entrée n'a donc pas été une faille technique spectaculaire, mais un accès légitime détourné. Rapportée aux fuites de 2024 chez Viamedis et Almerys, puis à France Travail, qui se comptaient en dizaines de millions de personnes, celle-ci est modeste en volume mais bien plus riche en contenu.

Ce qu'il faut surveiller dès maintenant

Aucune démarche préventive ne récupérera vos données. En revanche, quelques réflexes limitent nettement les dégâts dans les mois qui viennent :

• Ne cliquez jamais sur un lien de remboursement d'impôts reçu par e-mail ou SMS ; l'administration ne réclame ni coordonnées bancaires ni paiement par ces canaux.
• Passez par votre espace personnel en saisissant vous-même l'adresse du site des impôts, jamais depuis un message.
• Activez la double authentification et changez le mot de passe de votre espace, surtout s'il est réutilisé ailleurs.
• Signalez les SMS frauduleux au 33700 et conservez les messages reçus.
• Surveillez vos relevés bancaires et tout courrier annonçant un compte ou un crédit que vous n'avez pas ouvert.

Les prochaines semaines diront l'ampleur réelle : la DGFiP doit publier un périmètre chiffré et notifier les usagers touchés. En attendant, considérez que toute sollicitation fiscale non demandée est suspecte, même parfaitement informée. C'est justement ce qui a changé avec cette cyberattaque des impôts : l'escroc en sait désormais autant que vous sur votre dossier.