Consulter Masquer le sommaire
- Le piratage de la DGFiP prend une tournure judiciaire
- Aucune complicité n’est démontrée à ce stade
- Comment les pirates ont-ils pu récupérer autant de données ?
- 678 000 particuliers et professionnels concernés
- Pourquoi la piste d’une aide interne apparaît-elle maintenant ?
- Agent, prestataire ou compte piraté : trois scénarios très différents
- Le véritable danger pourrait maintenant arriver par SMS ou e-mail
- Un faux message des impôts peut désormais connaître votre situation
- La justice doit maintenant comprendre qui a réellement « ouvert la porte »
Le piratage de la DGFiP prend une tournure judiciaire
L’affaire était déjà importante. Elle devient désormais beaucoup plus intrigante.
Le 26 août, l’association AC !! Anti-corruption a déposé une plainte contre X auprès du Parquet national financier. Elle vise notamment l’extraction frauduleuse de données, la violation du secret fiscal mais aussi la corruption.
L’objectif affiché est notamment de déterminer si les auteurs de la cyberattaque ont pu bénéficier d’un acte individuel de complicité « au sein ou à proximité » de l’administration fiscale.
Autrement dit : quelqu’un disposant d’un accès légitime aurait-il volontairement facilité l’intrusion ?
Aucune complicité n’est démontrée à ce stade
C’est la précaution essentielle.
Aucun fonctionnaire ou prestataire n’est actuellement publiquement identifié comme complice des hackers. La plainte demande précisément aux enquêteurs de vérifier cette possibilité.
La version officielle de la DGFiP reste différente. L’administration explique que les accès frauduleux reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité.
Un identifiant usurpé peut être récupéré à l’insu de son propriétaire, par exemple après une tentative d’hameçonnage ou la compromission d’un appareil.
Il existe donc une différence fondamentale entre un compte volé et une personne qui aurait volontairement ouvert la porte aux pirates. C’est désormais l’un des points que la justice pourrait avoir à éclaircir.
Comment les pirates ont-ils pu récupérer autant de données ?
Les intrusions se sont produites principalement en juin et juillet 2026. Elles n’ont été pleinement mesurées qu’après la revendication publique des cybercriminels en août.
Lorsque les accès suspects ont été détectés, la DGFiP affirme avoir bloqué les comptes concernés. Mais ses premiers contrôles n’avaient pas permis de constater que des données avaient déjà été extraites, en raison de la sophistication de l’attaque.
Des investigations supplémentaires ont ensuite révélé l’ampleur du vol.
678 000 particuliers et professionnels concernés
Au total, environ 678 000 personnes et entreprises ont vu certaines de leurs informations consultées ou récupérées.
Pour les particuliers, les données concernées peuvent comprendre l’identifiant fiscal, l’état civil, les coordonnées, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, la raison sociale et le numéro SIREN figurent notamment parmi les informations potentiellement exposées. Des données cadastrales portant sur les adresses et les surfaces de biens immobiliers ont aussi été consultées.
Bonne nouvelle toutefois : les espaces personnels sur impots.gouv.fr n’ont pas été compromis et les mots de passe des contribuables n’ont pas été volés dans cette attaque.
Pourquoi la piste d’une aide interne apparaît-elle maintenant ?
Le dépôt de plainte ne repose pas sur la découverte publique d’un agent corrompu.
L’association estime plutôt que l’ampleur de l’intrusion justifie d’examiner toutes les possibilités : identifiants simplement dérobés, compte d’un prestataire compromis ou éventuelle aide volontaire d’une personne disposant déjà d’un accès.
Agent, prestataire ou compte piraté : trois scénarios très différents
Dans une grande administration, tous les accès ne viennent pas nécessairement d’un fonctionnaire travaillant directement pour l’État.
Des prestataires ou tiers habilités peuvent également accéder à certains outils.
C’est d’ailleurs l’un des éléments intéressants de l’affaire : la DGFiP a confirmé qu’un des comptes usurpés appartenait à un tiers habilité.
La plainte demande également que soient examinées les dépenses engagées ces dernières années pour la maintenance, la modernisation et la sécurisation du système informatique de la DGFiP, ainsi que certaines missions confiées au secteur privé.
L’enjeu dépasse donc la simple recherche du pirate. Il s’agit aussi de comprendre comment des accès suffisamment puissants ont pu être exploités sans que l’extraction massive soit immédiatement détectée.
Le véritable danger pourrait maintenant arriver par SMS ou e-mail
Pour les contribuables touchés, le piratage informatique est déjà terminé. Mais l’exploitation des données peut commencer des semaines ou des mois plus tard.
C’est ce qui rend ce type de fuite particulièrement dangereux.
Un escroc connaissant votre véritable nom, votre adresse, votre téléphone et certaines informations fiscales peut rédiger un message beaucoup plus crédible qu’un simple spam.
Un faux message des impôts peut désormais connaître votre situation
Imaginez recevoir un courriel annonçant une régularisation de prélèvement à la source et contenant votre véritable nom et plusieurs informations correctes.
Le premier réflexe peut être de lui faire confiance.
C’est précisément ce que recherchent les cybercriminels. Des informations exactes permettent de rendre une tentative d’hameçonnage ou d’usurpation d’identité beaucoup plus convaincante.
La DGFiP a commencé à prévenir individuellement les personnes concernées à partir du 17 août, par e-mail ou par courrier lorsque l’administration ne dispose pas d’adresse électronique.
En cas de message inhabituel, le plus sûr reste de ne pas cliquer directement sur le lien reçu et de rejoindre son espace fiscal depuis le site officiel.
La justice doit maintenant comprendre qui a réellement « ouvert la porte »
Une première enquête avait déjà été ouverte par le parquet de Paris après la révélation du piratage, notamment pour extraction frauduleuse de données et association de malfaiteurs.
La nouvelle plainte ajoute désormais une interrogation supplémentaire.
Un compte a-t-il simplement été volé ? Une faiblesse dans les procédures de sécurité a-t-elle facilité l’opération ? Un prestataire a-t-il été compromis ? Ou une personne disposant d’un accès a-t-elle volontairement aidé les pirates ?
Pour l’instant, seule l’utilisation d’identifiants usurpés est officiellement établie.
Mais après le vol de données concernant près de 678 000 particuliers et professionnels, la façon dont les cybercriminels ont obtenu puis exploité ces accès pourrait devenir l’élément central de toute l’affaire.
