Le piratage de la DGFiP pourrait avoir une portée bien plus large que les 678 000 particuliers et professionnels officiellement concernés. Dans une interview accordée à FrenchBreaches, ZeroBytes revendique un accès à un outil fiscal contenant 6 366 056 demandes, avec des informations personnelles et des échanges avec les services des impôts. Le pirate affirme également avoir mené une seconde intrusion portant sur des données cadastrales associées à plus de 2 millions de propriétaires. Ces chiffres et cette seconde compromission ne sont toutefois pas confirmés par l'administration française.
Le piratage de la DGFiP pourrait dépasser largement les 678 000 victimes annoncées
La communication officielle donne une première mesure de l'incident. Le 14 août 2026, la Direction générale des Finances publiques a reconnu que des accès illégitimes à son système d'information avaient permis de consulter et d'extraire des données concernant environ 678 000 particuliers et professionnels.
Les intrusions se seraient déroulées en juin et juillet 2026 à la suite d'usurpations d'identifiants appartenant à un agent de la DGFiP et à un tiers habilité. L'administration assure avoir interrompu les accès après leur détection.
Mais l'enquête publiée par FrenchBreaches, média spécialisé dans les fuites de données animé par Seblatombe, dévoile les revendications de ZeroBytes et un périmètre potentiellement beaucoup plus important.
Le cybercriminel affirme avoir eu accès à un outil interne de la DGFiP comprenant 6 366 056 demandes adressées aux services fiscaux. Les éléments communiqués à FrenchBreaches montrent notamment des fiches d'usagers et des historiques de demandes.
Attention toutefois à ce chiffre. Il correspond, selon ZeroBytes, au nombre de demandes présentes dans l'environnement auquel il pouvait accéder. Rien ne permet actuellement d'affirmer que ces 6,36 millions de demandes ont toutes été téléchargées ou consultées.
Cette différence entre données accessibles et données effectivement volées reste centrale dans l'affaire.
Des données fiscales et des échanges avec les impôts apparaissent dans les éléments transmis
Les captures obtenues par FrenchBreaches donnent surtout une idée du niveau d'information auquel ZeroBytes affirme avoir eu accès.
Une interface de suivi des demandes par usager permettrait de retrouver des informations telles que le numéro fiscal, les nom et prénom, la date et le lieu de naissance, les adresses, la situation familiale, le nombre de parts fiscales, le revenu fiscal de référence ou encore le taux de prélèvement à la source.
Des coordonnées comme le numéro de téléphone et l'adresse électronique apparaissent également dans l'exemple étudié par FrenchBreaches.
L'accès revendiqué ne se limiterait pas à ces données structurées. Les captures montrent également un historique des demandes envoyées aux services fiscaux et, dans certains cas, le contenu des messages transmis par les usagers.
Un exemple concernant une entreprise permet ainsi de voir des échanges relatifs à une dette de TVA, des paiements et une demande de remise de pénalités. Des pièces jointes sont également visibles dans l'interface.
Ces éléments apportent une nuance importante à la communication officielle.
La DGFiP indique que les espaces Finances publiques des particuliers et professionnels n'ont pas été compromis et que leurs identifiants et mots de passe ne sont pas concernés. ZeroBytes conteste néanmoins la manière dont le périmètre de l'incident est présenté.
La DGFiP affirme que les données n'appartiennent pas à impots.gouv.fr et ne sont pas liées à des comptes. Trompeur.
Le pirate poursuit en affirmant avoir accédé à un outil fiscal de la DGFiP contenant des demandes soumises par des contribuables.
Cela ne démontre cependant pas une compromission technique directe des comptes impots.gouv.fr. Un accès frauduleux à un outil interne utilisé par les agents pour consulter des informations issues des démarches des contribuables constitue un scénario différent.
ZeroBytes revendique une seconde fuite concernant plus de 2 millions de propriétaires
L'affaire pourrait ne pas s'arrêter à l'accès déjà reconnu par la DGFiP.
ZeroBytes affirme à FrenchBreaches avoir compromis séparément le Serveur Professionnel de Données Cadastrales, ou SPDC.
Le pirate revendique l'extraction de 252 149 lignes de données qui correspondraient, selon ses calculs, à 2 041 778 propriétaires en raison de la présence possible de plusieurs titulaires pour une même parcelle.
Cette seconde compromission n'a pas été confirmée par la DGFiP dans les éléments fournis à FrenchBreaches.
Les échantillons présentés comporteraient des noms, prénoms, dates et lieux de naissance, adresses, identifiants fonciers, communes, sections cadastrales, numéros de parcelle et informations relatives aux droits associés aux biens.
Le croisement de ces informations constitue l'un des aspects les plus sensibles de la revendication. Il pourrait permettre d'associer précisément l'identité d'une personne à des références concernant son patrimoine immobilier.
ZeroBytes va encore plus loin en affirmant que le système aurait permis de rechercher les informations d'environ 20 millions de personnes.
Ce chiffre ne signifie pas que 20 millions de personnes ont été victimes d'un vol de données. Il s'agit uniquement d'une estimation du pirate concernant le volume potentiellement consultable. FrenchBreaches indique ne pas disposer d'éléments permettant de confirmer indépendamment cette estimation.
Le pirate affirme avoir contourné une authentification multifacteur
ZeroBytes livre également sa version de l'accès au système cadastral. Il affirme avoir réussi à contourner un mécanisme d'authentification multifacteur avant de conserver suffisamment longtemps son accès pour automatiser une partie de la récupération des données.
L'extraction aurait finalement été arrêtée en raison de sa lenteur. Selon le pirate, récupérer un volume beaucoup plus important aurait nécessité plusieurs mois.
Aucun de ces éléments techniques concernant le contournement de l'authentification multifacteur, la durée de l'accès ou la méthode employée n'est confirmé indépendamment dans les informations fournies par FrenchBreaches.
La DGFiP indique pour l'incident officiellement reconnu que les premiers contrôles n'avaient pas identifié de vol de données. Des investigations plus approfondies ont ensuite permis d'établir que certaines informations avaient bien été extraites.
L'administration attribue cette détection tardive à la sophistication de l'attaque.
ZeroBytes dit pirater avant tout pour revendre les données
L'interview de FrenchBreaches permet aussi d'en apprendre davantage sur celui qui revendique ces attaques.
ZeroBytes ne présente pas ses activités comme une opération politique contre l'État français. Sa motivation serait essentiellement financière.
L'argent est la principale motivation de toute personne ainsi que le désir de pouvoir.
Interrogé sur le choix de ses cibles, le pirate décrit une démarche opportuniste.
Je n'ai pas de motivations politiques comme certains peuvent le penser, je cherche, je trouve et je fais.
Les données récupérées seraient généralement destinées à la vente. ZeroBytes explique laisser les acheteurs lui proposer un prix avant de décider ou non de conclure la transaction.
Il affirme travailler avec une autre personne, formant ainsi une équipe de deux membres qui se répartiraient les différentes tâches nécessaires aux attaques.
Cette activité ne se limiterait pas aux services fiscaux français. ZeroBytes revendique également des compromissions concernant Intermarché Drive, EVA et le handball français, même si les éléments communiqués à FrenchBreaches ne permettent pas d'établir leur périmètre avec le même niveau de précision que pour la DGFiP.
Les victimes du piratage de la DGFiP risquent des arnaques très ciblées
Au-delà du nombre exact de données dérobées, leur nature représente le principal danger pour les particuliers et les professionnels concernés.
Un cybercriminel capable de combiner identité, coordonnées, situation fiscale et éventuellement informations immobilières dispose d'une matière particulièrement efficace pour fabriquer une tentative d'hameçonnage crédible.
La présence potentielle de véritables échanges avec les services fiscaux augmente encore ce risque. Un faux message peut devenir beaucoup plus convaincant lorsqu'il reprend des informations que seul le contribuable pense avoir communiquées à l'administration.
Une entreprise pourrait également recevoir une sollicitation frauduleuse faisant référence à une véritable démarche fiscale, à une réclamation ou à une situation administrative connue.
La prudence s'impose donc face aux courriels, SMS et appels prétendant provenir de la DGFiP, particulièrement lorsqu'ils demandent une action urgente, un paiement ou la communication d'informations supplémentaires.
La DGFiP prévoit de contacter individuellement les particuliers et professionnels identifiés comme concernés. Elle indique également avoir saisi la CNIL, travailler avec l'ANSSI et les services spécialisés des ministères économiques et financiers, tandis qu'une plainte doit être déposée.
L'enquête devra déterminer l'ampleur réelle des données volées à la DGFiP
Trois niveaux doivent désormais être clairement séparés pour comprendre ce piratage.
La DGFiP reconnaît officiellement l'extraction de données concernant environ 678 000 particuliers et professionnels.
ZeroBytes affirme parallèlement avoir eu accès à un environnement comprenant 6 366 056 demandes fiscales, sans que ce nombre corresponde nécessairement à autant de demandes effectivement volées.
Enfin, le pirate revendique une autre compromission du système cadastral avec 252 149 lignes extraites représentant, selon lui, 2 041 778 propriétaires. Cette seconde affaire reste à confirmer par l'administration.
Les captures et informations obtenues par FrenchBreaches apportent surtout un éclairage sur la profondeur de l'accès revendiqué, avec des fiches fiscales détaillées et des échanges entre contribuables, professionnels et services des impôts.
Les investigations devront maintenant déterminer précisément ce que ZeroBytes pouvait consulter, ce qu'il a réellement consulté et surtout ce qu'il est parvenu à extraire. Pour les contribuables, cette différence déterminera l'ampleur réelle du risque dans les semaines et mois qui suivent cette cyberattaque.
