Cyberattaque des impôts : ce que le pirate sait de vous

La cyberattaque des impôts révélée cette semaine n'a pas visé le site que vous utilisez pour déclarer vos revenus, mais un outil interne que le grand public ne voit jamais. D'après les éléments rassemblés par la presse spécialisée, l'intrus est passé par des serveurs internes, a récupéré des identifiants VPN, puis s'est servi du moteur de recherche qui permet aux agents de consulter le dossier d'un particulier ou d'une entreprise.

L'intrusion remonte à fin juin. Elle n'est sortie que le 12 août, quand un individu se présentant sous le pseudonyme ZeroBytes a publié sa revendication sur un forum fréquenté par des cybercriminels, repérée par le site Fuites Infos. Il affirme détenir 678 438 lignes de données fiscales. Le lendemain, la Direction générale des finances publiques a confirmé un accès illégitime à son système d'information, obtenu après une usurpation d'identité, ayant permis la consultation et l'extraction de données de particuliers et de professionnels.

Ce chiffre reste celui du pirate, pas celui de l'administration. La DGFiP n'a communiqué aucun volume et dit chercher encore combien d'usagers sont concernés. Le détail qui vous concerne est ailleurs : aucun mot de passe ni identifiant de connexion n'aurait fuité. En revanche, un mot de passe se change en trente secondes. Votre revenu fiscal de référence, non.

Ce que le pirate affirme avoir emporté

Les catégories décrites par les médias qui ont examiné l'échantillon publié dessinent un profil complet, du genre qu'aucun courtier en données ne vend légalement. Ce n'est pas une liste d'adresses e-mail : c'est un dossier administratif reconstitué, avec de quoi savoir qui vous êtes, où vous vivez et combien vous gagnez.

Votre identité et vos coordonnées

Nom complet, date et lieu de naissance, adresse postale, numéro de téléphone, adresse e-mail. S'y ajoutent la composition du foyer et les personnes à charge, ainsi que l'historique des échanges avec les services fiscaux. Ce dernier point est le plus perfide : un escroc qui sait de quoi vous avez déjà parlé avec le fisc devient très crédible au téléphone.

Votre argent, en clair

Le numéro fiscal à treize chiffres, le revenu fiscal de référence et le taux de prélèvement à la source figurent aussi dans les données décrites. Pour les professionnels, le numéro SIREN. Or le numéro fiscal et le revenu fiscal de référence font partie des éléments demandés lorsqu'on crée ou récupère un accès en ligne. Ce sont des clés, pas seulement des chiffres.

Ce qui ne figure pas dans le lot

Pas de coordonnées bancaires signalées à ce stade, pas de mots de passe, pas d'identifiants de connexion. C'est une vraie différence avec les fuites de comptes classiques : personne ne peut se connecter à votre espace avec ce qui a circulé. Le danger n'est pas l'accès direct, c'est la manipulation.

La cyberattaque des impôts, révélée par le pirate

Le calendrier interroge. L'intrusion date de fin juin, l'accès a été coupé à ce moment-là, et le public n'a rien su avant le 12 août. Autrement dit, ce sont les fanfaronnades de l'attaquant sur un forum qui ont déclenché l'information, pas une annonce spontanée. Le pirate assure même être revenu une seconde fois dans les quarante-huit heures, une affirmation qui n'est pas confirmée.

Depuis la publication, la DGFiP indique avoir restreint les accès concernés, poursuivre les investigations avec l'ANSSI et les services de Bercy, notifier l'incident à la CNIL et déposer plainte. Les usagers touchés recevront une information individuelle précisant les données consultées. Le pirate évoque de son côté un potentiel de dizaines de millions de contribuables : rien ne l'étaye pour l'instant.

Pourquoi ce fichier vaut si cher pour un escroc

Un numéro fiscal seul ne sert pas à grand-chose. Associé à votre adresse, à votre situation familiale et à votre revenu, il permet de fabriquer un message parfaitement calibré. Le classique « remboursement de 384 € en attente » devient redoutable quand le montant colle à votre profil et que l'expéditeur cite votre numéro fiscal. Le timing n'aide pas : c'est précisément la saison où les avis d'impôt arrivent et où certains remboursements tombent. Le tri entre le vrai et le faux n'a jamais été aussi difficile.

Après France Travail et Free, un dossier de plus

Cette cyberattaque des impôts s'inscrit dans une série longue. France Travail avait exposé les données de jusqu'à 43 millions de personnes début 2024, la plus grosse fuite jamais rendue publique en France ; la CNIL a sanctionné l'opérateur public de 5 millions d'euros en janvier 2026, avec une astreinte de 5 000 € par jour de retard sur les correctifs. Le même mois, Free Mobile et Free écopaient de 27 et 15 millions d'euros. Sur 2024-2025, plusieurs décomptes indépendants recensent plus de 145 millions d'enregistrements de Français exposés, tous secteurs confondus.

Ce que vous pouvez faire dès maintenant

• Ne cliquez sur aucun lien dans un SMS ou un e-mail parlant d'impôts : passez toujours par votre espace en ouvrant vous-même le site.
• Retenez que l'administration fiscale ne demande jamais vos coordonnées bancaires ni votre mot de passe par message.
• Signalez les SMS frauduleux au 33700 et les tentatives d'escroquerie sur la plateforme publique Cybermalveillance.
• Activez une authentification renforcée partout où votre e-mail et votre téléphone servent d'identifiant.
• Méfiez-vous des appels de « conseillers » qui connaissent déjà votre situation : raccrochez et rappelez le numéro officiel.

Attendez surtout la notification individuelle promise par la DGFiP : elle précisera ce qui vous concerne réellement, et son absence ne garantit rien tant que le périmètre n'est pas établi. Surveillez aussi les prochaines semaines du côté de la CNIL, qui devra dire si l'administration avait sécurisé correctement cet outil interne. Le vrai test viendra là.