678 000 comptes de contribuables aspirés, et un butin que ses auteurs disent déjà monnayé. Le groupe ZeroBytes affirme à l’AFP avoir cédé les fichiers dérobés à la direction générale des Finances publiques (DGFiP) à « deux personnes » pour quelques « milliers d’euros », et assure que la marchandise reste disponible. Une revendication invérifiable à ce stade, que ni Bercy ni la DGFiP n’ont confirmée, et qui fait entrer le piratage du fisc dans sa phase la plus dangereuse pour les contribuables : celle de l’hameçonnage.
Deux acheteurs. Une somme chiffrée en milliers d’euros. C’est le prix que le groupe ZeroBytes dit avoir obtenu pour les fichiers extraits des serveurs de la DGFiP. Contactés par l’AFP via Telegram, à partir de coordonnées laissées sur un forum du dark web spécialisé dans la revente de données volées, les pirates refusent de nommer leurs clients. Ils précisent que l’affaire n’est pas close. « Les données sont toujours en vente », affirment-ils, une même base pouvant être copiée et cédée autant de fois qu’il se présente d’acheteurs. Sur leurs motivations, la réponse tient en trois mots : « l’argent, j’imagine ».
Rien de tout cela n’est vérifié. Les cybercriminels sont ici les seules sources de leurs propres déclarations, et aucune transaction n’a été confirmée à ce stade par la DGFiP ni par le ministère de l’Économie. ZeroBytes se présente comme un duo de Français. Le groupe avait déjà revendiqué des intrusions chez Intermarché et à la Fédération française de handball, mais aussi chez un opérateur télécoms et un groupe hôtelier, ces deux dernières attaques n’ayant pas été confirmées par les entreprises concernées.
Un compte d’agent, et sept semaines de silence
La première intrusion remonte à fin juin 2026. Une seconde a suivi fin juillet. Personne ne s’en est aperçu avant le 12 août, jour où le pirate a revendiqué publiquement son coup sur un forum criminel. Bercy a confirmé la fuite le lendemain.
Le 14 août, la directrice générale de la DGFiP, Amélie Verdier, a détaillé le mécanisme devant la presse. La compromission du compte d’un agent, puis celle d’un tiers habilité, ont suffi. L’intrus a avancé « en testant, en opérant sur de petits volumes », par explorations manuelles et espacées, sous les seuils de détection. « C’est grave, la Cnil est déjà saisie », a déclaré la directrice générale, qui a présenté les excuses de son administration. Entre la première extraction et l’annonce publique, sept semaines se sont écoulées.
Le revenu fiscal, le quotient familial, l’adresse
Le vol porte sur 678 000 comptes de particuliers et de professionnels, auxquels s’ajoutent environ 200 000 comptes présents dans les fichiers cadastraux, selon les chiffres communiqués par la DGFiP. Pour les particuliers : nom, prénom, adresse, revenu fiscal de référence, quotient familial, taux de prélèvement à la source. Pour les entreprises : raison sociale et numéro Siren.
L’administration insiste sur un point. Les espaces personnels d’impots.gouv.fr n’ont pas été forcés, et les identifiants et mots de passe des contribuables ne figurent pas parmi les données extraites. Reste que ce qui est parti relève de l’état civil et de la situation fiscale. De quoi dresser, pour chaque personne concernée, un portrait financier assez précis pour rendre un faux message parfaitement crédible.
Bercy écrit à ses contribuables, les escrocs aussi
La DGFiP a commencé à contacter les personnes concernées à partir du lundi 17 août, par courrier ou par courriel. Le risque est là : un contribuable prévenu d’une fuite est un contribuable qui attend un message de l’administration.
Les recommandations officielles tiennent en quelques gestes. La Cnil conseille de ne pas ouvrir les pièces jointes ni cliquer sur les liens contenus dans un message inattendu, et de se rendre directement sur le site officiel en saisissant l’adresse dans le navigateur. Elle recommande de changer les mots de passe des comptes sensibles, messagerie, impôts, banque et commerce en ligne, de ne pas les réutiliser d’un service à l’autre, et d’activer l’authentification à plusieurs facteurs. Jamais de coordonnées bancaires transmises à la suite d’un lien reçu par message.
En cas de soupçon d’usurpation d’identité, la Cnil renvoie vers cybermalveillance.gouv.fr, le dépôt de plainte, l’alerte immédiate à sa banque, la vérification auprès de la Banque de France et la consultation du fichier Ficoba, accessible depuis impots.gouv.fr, pour s’assurer qu’aucun compte n’a été ouvert à son nom. Les SMS suspects se signalent au 33700.
Sept ans, sur le papier
Le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs. Les faits sont passibles de sept ans de prison. Le Premier ministre, Sébastien Lecornu, a convoqué une réunion de crise interministérielle. La Cnil, saisie par la DGFiP, examine les conditions de la violation et le délai de notification, alors que le règlement européen sur la protection des données impose en principe une alerte sous soixante-douze heures.
Amélie Verdier a résumé la situation à sa manière. « On a quelqu’un qui manifestement joue un peu en donnant au fur et à mesure les choses ».
L’administration fiscale sait à l’euro près ce que gagne chaque Français. Elle apprend cette semaine à quel prix cela se revend : quelques milliers d’euros, selon les pirates.