Le ministère de l’Économie et des Finances a confirmé une intrusion dans le système d’information de la Direction générale des finances publiques, survenue fin juin 2026. Selon le site spécialisé French Breaches, au moins 678 437 personnes sont concernées, dont 392 867 particuliers et 285 570 professionnels. Le pirate revendique une seconde exfiltration portant sur près de deux millions de propriétaires fonciers et immobiliers.
L’accès illégitime remonte à la fin du mois de juin 2026. Il n’a pas été détecté par une alerte de sécurité, mais lors d’un contrôle de routine. Entre-temps, il aura permis la consultation et l’extraction de données sensibles concernant des particuliers et des entreprises.
Le vecteur est connu et redoutablement efficace : l’usurpation d’identité et de privilèges d’accès. Autrement dit, personne n’a forcé la porte. Quelqu’un est entré avec les clés de quelqu’un d’autre.
Bercy indique que la DGFiP a immédiatement mis en oeuvre de nouvelles mesures de restriction pour mettre fin à l’intrusion et prévenir de nouveaux accès illégitimes. L’Agence nationale de la sécurité des systèmes d’information et le service du Haut fonctionnaire de défense et de sécurité sont mobilisés.
Les données sont déjà en vente
Selon French Breaches, les données extraites ont été remises en vente sur le dark web. Identifiants fiscaux, données cadastrales, informations d’état civil : le contenu correspond exactement à ce qui permet de fabriquer de faux courriels administratifs crédibles.
C’est le second effet, moins visible, de ce type de fuite. Les 285 570 professionnels concernés deviennent des cibles pour des fraudes au président visant les services comptables. Les particuliers, eux, recevront des messages se réclamant de la DGFiP ou de la Commission nationale de l’informatique et des libertés, avec les bons numéros et les bonnes références.
La DGFiP avait pourtant généralisé l’authentification à double facteur pour les usagers lors de la campagne d’imposition 2026. La mesure protège les comptes des contribuables. Elle ne protège pas les comptes des agents.
La France, championne d’Europe de l’Ouest
La France est devenue en 2026 le pays d’Europe de l’Ouest le plus touché par les violations de données. Une explication structurelle revient dans les analyses : la centralisation des bases administratives françaises.
« La différence du nombre de compromissions entre l’Allemagne et la France vient du fait qu’en Allemagne, les systèmes informatiques publics sont moins centralisés du fait de l’administration par Länder », indiquait récemment à ZDNET Luís Costa, chercheur chez Surfshark.
Une base unique regroupant l’ensemble des contribuables d’un pays de 68 millions d’habitants constitue une cible d’un intérêt financier et stratégique sans équivalent. Elle constitue aussi un point de défaillance unique.
Free Mobile, Colis Privé, Pass’Sport, et maintenant le fisc
La fuite s’ajoute à une série de compromissions massives survenues ces derniers mois en France : Free Mobile, Colis Privé, Pass’Sport. Chacune alimente un vivier de données personnelles que les attaquants recoupent pour construire des scénarios d’ingénierie sociale de plus en plus crédibles.
Le principe est simple : plus un attaquant dispose d’informations exactes sur sa cible, moins son message a besoin d’être convaincant. Une adresse correcte, un numéro fiscal exact et une référence de parcelle suffisent souvent à emporter la décision.
Sur le plan défensif, les recommandations aux entreprises portent sur la sensibilisation au phishing fiscal, l’audit des identités et des accès privilégiés, et la surveillance des mouvements de comptes.
La DGFiP a sécurisé l’entrée des usagers et laissé ouverte celle des agents. Le fisc français savait tout de 68 millions de contribuables. Depuis fin juin, il n’est plus le seul.