Une revendication sur un forum, deux intrusions passées sous les radars pendant plusieurs semaines, puis des excuses ministérielles inédites : retour sur la chronologie d’une cyberattaque qui a exposé les données de 678 000 particuliers et professionnels.
Début août : les revendications
Les 12 et 13 août, un acteur malveillant publie sur un forum spécialisé la revendication d’un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP). Les informations relayées par FrenchBreaches indiquent que l’attaquant, qui se présente sous le pseudonyme ZeroBytes, annonce disposer de 678 438 lignes de données.
L’administration confirme le 14 août l’existence de cet accès illégitime :
Les investigations approfondies conduites depuis le 12 août 2026 ont permis d’établir que, préalablement à leur interruption, ces accès avaient été utilisés pour consulter et extraire certaines données concernant un total de 678 000 particuliers et professionnels
Communiqué de presse du Ministère de l’Action et des Comptes publics, publié le 14 août 2026.
Le détail d’une intrusion passée inaperçue
Le communiqué officiel du Ministère précise le mode opératoire : les accès reposent sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité, et sont intervenus en juin et juillet 2026.
Les investigations ont confirmé que les accès ont permis de consulter et d’extraire des données concernant près de 678 000 particuliers et professionnels. Du côté des particuliers, ce sont les données du revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source qui sont concernées. Côté professionnels, ce sont la raison sociale et le numéro SIREN qui ont été exposés.
ZeroBytes et ses revendications
Ce pseudonyme ZeroBytes est déjà associé à d’autres revendications comme celles liées aux intrusions dans les systèmes d’information d’Intermarché Drive ou de la fédération française de handball, pour ne citer que ces cas. L’AFP a réussi à joindre le groupe via Telegram. Les auteurs du piratage affirment avoir déjà revendu une partie des données volées, à deux clients distincts. Des informations difficiles à vérifier.
Le spécialiste en cybersécurité Clément Domingo, connu sous le pseudonyme SaxX, a lui aussi indiqué être parvenu à entrer en contact avec le groupe de pirates. “J’ai pu échanger avec ce cybercriminel français”, déclare le hacker éthique sur TF1. Selon les propos qu’il rapporte, l’appât du gain resterait la principale motivation du groupe de pirates qui serait formé de deux personnes. Mais l’élément le plus surprenant tient ailleurs : la cyberattaque contre la DGFiP n’aurait été en rien préméditée, mais purement fortuite. Tout serait parti d’identifiants trouvés par hasard, ce qui aurait ensuite poussé les pirates à s’en prendre à l’administration fiscale. Il faut également souligner que sans la revendication des pirates, la faille serait peut-être encore utilisée au moment où nous écrivons ces mots.
18 août : Bercy dresse le bilan et présente ses excuses
Lors d’une conférence de presse à Bercy, David Amiel le ministre de l’Action et des Comptes publics de France, a présenté les excuses du gouvernement, lit-on chez France Info. Amélie Verdier, directrice générale des Finances publiques a détaillé pour la première fois l’enchaînement des attaques ayant touché l’administration : la première survenue fin juin, concernant les données fiscales de particuliers : “La première attaque n’a été possible que par la combinaison de compromissions de comptes“, a expliqué Amélie Verdier. Elle a reconnu que les investigations menées après la fermeture des accès en juin avaient échoué à repérer le vol de données. La deuxième revendiquée le 13 août qui concernait le serveur professionnel de données cadastrales. Et enfin, une troisième fuite sur le portail public des successions vacantes, qualifiée de bien moindre ampleur au vu de la nature des données.
Fin août, plusieurs centaines de victimes du piratage ont rejoint une action collective contre l’État, révèle Me Jérémy Roche, avocat au barreau de Béziers, spécialisé en droit de la protection des données personnelles et à l’origine de cette démarche.
