Un pirate a accédé à la plateforme des impôts, des données fiscales compromises
La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.
La Direction générale des Finances publiques (DGFiP), qui gère les impôts en France, a officiellement confirmé le 13 août 2026 qu’un pirate informatique avait accédé illégalement à sa plateforme fiscale. Cette intrusion remonte à fin juin 2026, mais elle n’a été rendue publique que le 12 août, après que le pirate a revendiqué son acte sur les réseaux sociaux. L’accès a été bloqué dès la fin juin par les équipes de la DGFiP, mais le pirate avait déjà consulté et extrait des données concernant des particuliers et des professionnels. La nature exacte et l’étendue de ces données n’ont pas encore été précisées.
Pour s’introduire dans le système, le pirate a utilisé une usurpation d’identité, une technique courante en cybersécurité où un individu se fait passer pour une autre personne ou entité pour accéder à des informations protégées. Dans ce cas, il a probablement exploité des identifiants volés ou des failles dans les procédures d’authentification. Une fois à l’intérieur, il a pu consulter et exfiltrer des données sans être détecté immédiatement. L’enquête, menée par la DGFiP avec l’aide du Haut fonctionnaire de défense et de sécurité (SHFDS) et de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), vise à comprendre comment cette intrusion a été possible et à identifier les failles exploitées.
Les données concernées par ce piratage incluent des informations fiscales de particuliers et de professionnels. Bien que leur nature exacte ne soit pas détaillée, elles pourraient comprendre des noms, adresses, numéros de sécurité sociale, revenus déclarés, ou encore des informations sur les entreprises (chiffres d’affaires, effectifs, etc.). Les personnes concernées recevront une notification individuelle précisant quelles données ont été consultées ou extraites. La DGFiP a indiqué qu’aucun mot de passe n’a été compromis, mais cela ne garantit pas l’absence de risques, comme des tentatives d’usurpation d’identité ou de fraude.
Face à cette faille, la Commission nationale de l’informatique et des libertés (CNIL) a été informée de l’incident, comme l’exige la réglementation européenne sur la protection des données (RGPD). Une plainte a également été déposée pour poursuivre les investigations et identifier les responsables. Les autorités insistent sur la nécessité de vigilance pour les personnes concernées, bien que les risques exacts ne soient pas encore évalués. La DGFiP a promis de communiquer de nouveaux éléments au fur et à mesure de l’avancée de l’enquête, qui pourrait prendre plusieurs semaines.
L’un des aspects les plus critiqués dans cette affaire est le **délai de deux mois** entre la découverte de l’intrusion (fin juin) et l’annonce publique (13 août). Les internautes et commentateurs soulignent que cette latence pourrait aggraver les risques pour les personnes concernées, notamment en cas d’utilisation frauduleuse des données. La CNIL pourrait être amenée à sanctionner la DGFiP pour ce retard, bien que les conséquences exactes restent à déterminer. Cette situation rappelle d’autres fuites récentes, comme celle de **Bloctel**, où des centaines de milliers de numéros de téléphone avaient été exposés.
