Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

Le 14 août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé trois intrusions dans son système d’information fiscal. La première, en juin 2026, a permis d’accéder à des données de 350 000 particuliers et 250 000 professionnels, comme le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source. La deuxième, en juillet 2026, a concerné les données cadastrales de 433 000 personnes, incluant vendeurs, acheteurs et notaires. Enfin, une troisième intrusion a été détectée sur le portail des successions vacantes, permettant à l’attaquant d’accéder à un journal des demandes. Aucune de ces intrusions n’a permis d’accéder à des comptes fiscaux ou de récupérer des codes d’accès, selon Amélie Verdier, directrice générale de la DGFiP.

Les intrusions ont été rendues possibles par la compromission de comptes utilisateurs, notamment via Internet. Pour la fuite cadastrale, un compte avec double authentification (un système de sécurité nécessitant deux preuves d’identité) a été compromis. Pour les échanges fiscaux, une combinaison de compromissions a touché un prestataire externe et un agent des impôts, avec une brèche non précisée facilitant la passerelle entre les deux. Les attaquants ont d’abord effectué des tests manuels avant de massifier leurs actions, restant sous les seuils de détection des systèmes. La DGFiP a découvert ces intrusions le 12 août 2026, grâce à une alerte de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), concomitante à la revendication des pirates.

Face à ces intrusions, Bercy a organisé un comité interministériel de crise le 17 août 2026 et a présenté ses excuses aux victimes lors d’un point presse. Les mesures annoncées incluent la généralisation de l’authentification forte (un système de sécurité renforcé) pour tous les agents d’ici fin 2026, ainsi que la mise en place de quotas d’accès aux données et de capteurs sur les systèmes encore non protégés. Une formation cyber renforcée des agents et des campagnes de phishing fictif (simulations d’attaques par hameçonnage) sont également prévues. Le ministre David Amiel a demandé l’utilisation de l’intelligence artificielle pour tester les défenses du système. Un audit mené par l’ANSSI, dont les résultats sont attendus en septembre 2026, doit guider les prochaines étapes.

Bercy reconnaît une dette technique importante liée à l’ancienneté des systèmes d’information (appelés legacy), mais affirme travailler activement à leur modernisation. Le taux de conformité aux normes de sécurité est passé de 25 % en 2020 à plus de 50 % en 2026, avec 100 postes dédiés à la cybersécurité sur les 5 300 informaticiens du ministère. En 2025, 6 972 incidents et 57 compromissions de comptes ont été enregistrés. Pour limiter les risques, Bercy réduit les accès distants (comme l’utilisation des mails ou agendas personnels des fonctionnaires) et priorise la refonte des fichiers les plus sensibles, comme le Ficoba (fichier des comptes bancaires), déjà touché par une intrusion en début d’année 2026.

Les personnes concernées par les intrusions de juin et juillet 2026 seront informées par mail, avec un courrier détaillé expliquant les données potentiellement exposées. Pour les particuliers, cette campagne doit s’achever d’ici la fin de la semaine du 18 août 2026, tandis que la communication aux professionnels débutera la semaine suivante. La CNIL (Commission nationale de l’informatique et des libertés) a été informée et demande aux victimes de ne pas la saisir individuellement, sauf si elles disposent d’éléments utiles aux enquêtes. La DGFiP insiste sur l’absence de données bancaires ou de mots de passe parmi les informations exfiltrées.