"L'État vous met une cible dans le dos" : que risquent les Français concernés par le piratage du site des impôts

Le 13 août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé une cyberattaque d'ampleur sans précédent : 678 000 particuliers et professionnels ont vu leurs données fiscales dérobées et mises en vente sur le darknet. Une intrusion survenue fin juin via l'usurpation d'identifiants légitimes, qui expose désormais des centaines de milliers de Français à des risques majeurs d'usurpation d'identité et d'arnaques ultra-ciblées. Le hacker se faisant appeler "ZeroBytes" revendique le vol et propose à la vente des informations sensibles qui transforment chaque victime en proie facile pour les cybercriminels.

L'intrusion dans le système d'information de la DGFiP a eu lieu le 26 juin 2026, selon les premières investigations. Le mode opératoire repose sur une technique devenue classique mais redoutablement efficace : l'usurpation des identifiants de deux comptes légitimes, celui d'un agent de la DGFiP et celui d'un tiers habilité à accéder au système. Une fois à l'intérieur, le pirate a pu extraire massivement des données fiscales concernant 678 438 lignes de données, un chiffre qui donne le vertige. Pour les particuliers, les informations volées comprennent les noms, prénoms, adresses, coordonnées téléphoniques, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. Pour les entreprises, les données concernent principalement le numéro de Siren, l'adresse de l'entreprise et les informations du mandataire.

Le ministère de l'Économie et des Finances a tenté de rassurer en précisant que ces données personnelles volées "ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr". Une maigre consolation face à l'ampleur des risques réels. Car si les hackers ne peuvent pas directement vider les comptes bancaires des victimes, ils disposent désormais d'un arsenal d'informations permettant de mener des campagnes d'arnaques d'une précision chirurgicale. Le revenu fiscal de référence, l'adresse d'un bien immobilier, le quotient familial : autant d'éléments qui rendent un message frauduleux particulièrement crédible. Les experts en cybersécurité s'accordent à dire qu'avec de telles données, un escroc peut se faire passer pour l'administration fiscale avec un degré de personnalisation jamais atteint.

Phishing ultra-ciblé et usurpation d'identité : les nouveaux cauchemars des victimes

Les risques concrets pour les 678 000 victimes sont multiples et inquiétants. Premier danger : le phishing personnalisé. Imaginez recevoir un e-mail qui mentionne votre revenu fiscal exact, votre adresse précise et votre situation familiale réelle, vous demandant de "régulariser" un supposé problème fiscal. La tentation de cliquer sur le lien frauduleux devient immense. Deuxième menace : l'usurpation d'identité facilitée. Avec l'état civil complet, les coordonnées et le profil financier, un criminel peut tenter d'ouvrir des comptes bancaires, de souscrire des crédits ou de réaliser des achats en ligne au nom de la victime. Les données fiscales dérobées permettent également un ciblage facilité : connaître le niveau de revenus d'une personne permet aux escrocs de calibrer leurs arnaques en conséquence.

La section cyber du parquet de Paris a ouvert une enquête préliminaire dès l'annonce de la fuite. Les autorités tentent de remonter la piste de "ZeroBytes", le hacker qui a revendiqué l'attaque et mis les données en vente sur les forums clandestins du darknet. Mais pour les victimes, l'enquête judiciaire ne suffit pas à les protéger des conséquences immédiates. La CNIL et les services de l'État multiplient les recommandations pour limiter les dégâts. Premier conseil : une vigilance maximale face aux communications prétendument officielles. Tout e-mail, SMS ou appel téléphonique évoquant un problème fiscal doit être systématiquement vérifié en se connectant directement sur impots.gouv.fr, sans jamais cliquer sur un lien reçu par message.

Les recours des victimes : entre mesures préventives et actions juridiques

Les autorités recommandent aux victimes notifiées officiellement par la DGFiP de prendre des mesures immédiates. Il s'agit d'abord d'informer sa banque pour placer son profil sous surveillance renforcée, afin de détecter rapidement toute tentative d'ouverture de compte ou d'opération suspecte. L'activation de l'authentification à deux facteurs sur tous les services en ligne devient une priorité absolue. Les experts conseillent également de surveiller régulièrement ses relevés bancaires et fiscaux pour repérer toute anomalie. En cas de réception de messages suspects, il faut les signaler immédiatement sur la plateforme Pharos ou au numéro 33700 pour les SMS frauduleux.

Pour les victimes d'usurpation d'identité avérée, le parcours se complique. Il faut déposer plainte au commissariat et contacter la CNIL pour faire valoir ses droits. La plateforme cybermalveillance.gouv.fr propose un accompagnement personnalisé gratuit pour les victimes de cyberattaques. Certains cabinets d'avocats spécialisés évoquent déjà la possibilité d'actions collectives pour obtenir réparation du préjudice subi. Car au-delà de l'aspect technique, c'est bien la responsabilité de l'État dans la sécurisation des données de ses citoyens qui est questionnée. Comment une administration régalienne aussi sensible que la DGFiP a-t-elle pu laisser usurper les identifiants de ses agents et laisser extraire près de 700 000 dossiers fiscaux sans déclencher d'alerte ?

Cette cyberattaque s'inscrit dans une série noire de fuites massives de données en France. En 2026, le piratage de l'ANTS avait déjà exposé 19 millions de Français, tandis que le fichier FICOBA concernait 1,2 million de personnes. À chaque fois, le même schéma : des données sensibles confiées à l'État, censées être protégées par les plus hauts standards de sécurité, qui se retrouvent sur les marchés clandestins du darknet. Les victimes du piratage des impôts doivent désormais vivre avec cette épée de Damoclès : leurs informations fiscales les plus intimes circulent librement entre les mains de cybercriminels prêts à tout pour en tirer profit. Dans un contexte où les arnaques par intelligence artificielle se multiplient et se perfectionnent, disposer du revenu fiscal de référence et de l'adresse d'un contribuable équivaut à placer une cible dans son dos. L'État, qui devait protéger ces données, a failli. Reste aux 678 000 victimes à redoubler de vigilance, peut-être pour des années, face à des menaces qui évoluent chaque jour.