Entre fin juin et mi-août 2026, l’administration fiscale française a subi deux cyberattaques majeures, exposant 678 000 particuliers et professionnels. Le groupe de hackers ZeroBytes a exploité des failles d’authentification pour extraire des données sensibles, révélant les fragilités structurelles de la sécurité informatique de l’État. Ce lundi 17 août, le Premier ministre Sébastien Lecornu préside une cellule interministérielle de crise pour coordonner la réponse gouvernementale.
Comment le piratage s’est déroulé
Fin juin 2026 : première intrusion via usurpation de compte VPN
L’attaque débute fin juin par une technique d’usurpation d’identité ciblant un compte VPN d’agent du fisc. Les cybercriminels accèdent ainsi aux systèmes internes sans déclencher les alertes habituelles. Selon Amélie Verdier, directrice générale de la DGFiP, « il s’agit d’une attaque plus sophistiquée que ce qu’on avait vu par le passé ». L’administration ne détecte pas immédiatement l’extraction de données, car les pirates évitent tout requêtage massif susceptible de lever un drapeau rouge dans les systèmes de surveillance.
Fin juillet 2026 : deuxième attaque ciblant le serveur cadastral
Un mois après la première intrusion, ZeroBytes lance une seconde offensive contre le Serveur professionnel des données cadastrales (SPDC). Les hackers contournent l’authentification multifacteur et extraient au minimum 250 000 lignes de données immobilières avant d’interrompre volontairement le téléchargement. Cette double offensive témoigne d’une stratégie méthodique visant différents segments de l’infrastructure fiscale.
12 août 2026 : ZeroBytes revendique et annonce la vente des données
Les cybercriminels sortent de l’ombre sur un forum spécialisé en publiant leur revendication : « Nous annonçons aujourd’hui avoir piraté le site impots.gouv.fr et vendre une partie de sa base de données. » Le groupe, composé de deux personnes selon leurs déclarations, met en vente les informations sur le dark web, transformant l’intrusion technique en menace commerciale.
13 août 2026 : annonce publique du ministère de l’Économie
Le ministère de l’Économie et des Finances confirme officiellement l’intrusion, soit près de deux mois après la première attaque. Ce délai suscite immédiatement des critiques sur la transparence gouvernementale. Le syndicat Solidaires Finances Publiques dénonce une communication tardive et réclame que la sécurité informatique devienne une priorité budgétaire.
15 août 2026 : confirmation de 678 000 victimes et ouverture d’enquête
La DGFiP précise le périmètre exact : 678 000 personnes concernées, dont « un peu moins de la moitié » sont des particuliers. Le parquet de Paris ouvre une enquête pour « extraction frauduleuse de données » et « association de malfaiteurs ». French Breaches, site spécialisé dans les fuites de données, affine le décompte à 393 000 particuliers et 285 000 professionnels.
17 août 2026 : cellule interministérielle de crise et début de notification
À partir de ce lundi, Sébastien Lecornu réunit une cellule interministérielle de crise en visioconférence sécurisée. Les victimes reçoivent une notification individuelle détaillant les données exposées et les mesures de vigilance à adopter. Le gouvernement applique sa doctrine « détecter et interrompre, poursuivre, informer, renforcer », formulée par Matignon pour les incidents de cybersécurité majeurs.
Les données exposées : inventaire complet
Données personnelles des particuliers : revenus, adresses, téléphones
Les informations compromises incluent les revenus fiscaux de référence, les adresses postales et les numéros de téléphone. Ces données ne permettent pas l’accès direct au compte sécurisé sur impots.gouv.fr, mais créent un risque majeur de phishing ciblé. Les cybercriminels peuvent désormais envoyer des courriels ou SMS imitant parfaitement les communications officielles du fisc, avec des informations personnelles authentiques renforçant leur crédibilité.
Données cadastrales : 250 000 lignes d’informations immobilières
La seconde attaque a visé spécifiquement les propriétaires immobiliers. Le SPDC contient des informations détaillées sur les biens fonciers, leur localisation, leur valeur cadastrale et leurs propriétaires. L’extraction de 250 000 lignes représente un échantillon substantiel exploitable pour des escroqueries immobilières ou des tentatives d’usurpation d’identité ciblant les détenteurs de patrimoine.
Segments spécifiques : 27 000 hauts revenus et 386 millionnaires
ZeroBytes a segmenté sa base de données par tranches de revenus. Parmi les victimes figurent 27 000 particuliers ayant un revenu fiscal de référence supérieur ou égal à 100 000 euros, dont 386 dépassent le million d’euros annuel. Cette stratification permet aux acheteurs potentiels sur le dark web de cibler précisément les profils à fort pouvoir d’achat pour des escroqueries sophistiquées.
Réaction gouvernementale et mesures d’urgence
La convocation d’une cellule interministérielle illustre la gravité politique de l’incident. Lecornu coordonne personnellement la réponse, associant les ministères concernés et les autorités de régulation comme la CNIL. Au Sénat, une commission d’enquête pourrait être créée pour examiner les responsabilités et les défaillances systémiques.
Cellule interministérielle de crise et protocole de notification
Le dispositif gouvernemental prévoit quatre axes : détection et interruption (déjà effectuées), poursuites judiciaires (enquête en cours), information des victimes (débutant ce 17 août) et renforcement des infrastructures. Chaque personne concernée reçoit un courrier personnalisé précisant exactement quelles données ont été exposées, accompagné de recommandations pour se protéger contre le phishing et l’usurpation d’identité.
Enquête judiciaire du parquet de Paris
L’enquête judiciaire vise à identifier les membres de ZeroBytes et à démanteler leur infrastructure. Le groupe revendique également d’autres cyberattaques majeures contre SFR, Intermarché et Accor, suggérant une capacité opérationnelle étendue. Les investigations mobilisent la brigade de lutte contre la cybercriminalité et collaborent avec des partenaires internationaux, car les serveurs hébergeant les données volées se trouvent probablement hors de France.
