Un cybercriminel affirme avoir extrait 678 438 lignes de données fiscales appartenant à des contribuables français. La revendication, publiée le 12 août sur un forum spécialisé, situe l’intrusion initiale au 26 juin, plusieurs semaines avant sa divulgation publique.
Un accès VPN obtenu via des serveurs internes
Selon le récit de l’attaquant, l’opération aurait débuté par une compromission de serveurs internes de la Direction générale des Finances publiques. Cet accès lui aurait ensuite permis de récupérer un identifiant VPN donnant les clés d’un outil de recherche interne, utilisé habituellement pour consulter les dossiers de particuliers comme de professionnels, selon des informations rapportées par le site FrenchBreaches, qui a analysé un échantillon de la base.
L’auteur affirme avoir automatisé la collecte jusqu’à ce que sa connexion soit coupée, une interruption qu’il attribue à une détection de son intrusion par les équipes de sécurité de l’administration. Sur les 678 438 lignes récupérées, 392 867 concerneraient des particuliers et 285 570 des professionnels, un chiffre qui ne correspond pas nécessairement au même nombre de personnes distinctes, plusieurs enregistrements pouvant renvoyer à un même contribuable.
Des données allant bien au-delà de l’identité
L’échantillon consulté par FrenchBreaches, composé de 1 126 lignes, contiendrait l’état civil complet des personnes concernées : nom, date et lieu de naissance, adresse, mais aussi des éléments strictement fiscaux comme le revenu fiscal de référence, le taux de prélèvement à la source ou la composition du foyer. Certaines fiches iraient jusqu’à conserver un historique d’échanges avec l’administration fiscale. Le dernier échange visible dans cet échantillon remonterait au 24 juin, soit deux jours avant la date d’intrusion revendiquée.
Ce niveau de détail expose les personnes concernées à des risques de fraude ciblée : de faux messages de remboursement ou de régularisation, construits à partir d’informations exactes, pourraient être utilisés pour tromper les victimes. Aucune validation indépendante de l’authenticité complète de la base n’a toutefois été apportée à ce stade.
La DGFiP n’a pas confirmé l’incident
Contactée, la DGFiP n’a émis aucune communication officielle sur cette revendication. L’administration avait déjà été visée en février 2026 par une intrusion confirmée touchant le fichier des comptes bancaires Ficoba, qui avait exposé les données de 1,2 million de personnes après une usurpation d’identifiants d’agents. Cet antécédent, bien que d’une nature différente, montre la vulnérabilité récurrente des systèmes internes de l’administration fiscale face à des tentatives d’intrusion.
Le pirate présente les 678 438 lignes obtenues comme une extraction partielle, affirmant que l’outil compromis donnerait potentiellement accès aux dossiers de plusieurs dizaines de millions de citoyens. Il reconnaît toutefois ne pas être parvenu à réaliser une extraction complète avant la coupure de son accès. En l’absence de confirmation officielle, la prudence reste de mise quant à l’ampleur réelle de la fuite.
