La Direction générale des finances publiques (DGFiP) a confirmé, le 14 août 2026, qu’environ 678 000 particuliers et professionnels ont vu leurs données fiscales dérobées. L’intrusion date du 26 juin. Un pirate a récupéré l’identifiant et le mot de passe d’un agent, puis a accédé via VPN aux outils internes. Revenus, identité, historiques administratifs et données cadastrales d’environ 200 000 comptes se retrouvent sur le marché. Pour les contribuables, la consigne reste la même : vigilance et patience.

Le vol n’a été rendu public que le 12 août, quand le butin a été mis en vente sur un forum du dark web. Amélie Verdier, directrice générale, a présenté ses excuses. C’est le deuxième incident de l’année : entre fin janvier et mi-février, des identifiants d’un fonctionnaire avaient déjà permis d’entrer dans le fichier FICOBA des comptes bancaires.

Une intrusion qui aurait commencé par un compte interne

Selon les éléments communiqués par la DGFiP, l’attaque aurait permis à un acteur malveillant de compromettre les identifiants d’un agent, puis de progresser jusqu’à un accès VPN donnant sur certains outils internes. Le site impots.gouv.fr et les espaces personnels des usagers n’auraient pas été directement compromis, précise toutefois l’administration.

Le périmètre serait néanmoins considérable : 678 000 particuliers et professionnels seraient concernés. Pour certains particuliers, les informations exposées comprendraient notamment nom et prénom, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. Des données cadastrales concernant environ 200 000 comptes auraient également été touchées. La DGFiP affirme avoir coupé les accès concernés dès la détection des compromissions et prévenu les organismes compétents.

Deux piratages en six mois, un État qui se dédouane

C’est ici que l’affaire pose une question particulièrement gênante pour une administration qui exige des citoyens une exactitude absolue. L’intrusion remonterait au 26 juin. Elle n’aurait été confirmée publiquement que le 13 août, après qu’un acteur malveillant aurait revendiqué le vol et proposé les données sur un forum spécialisé. Le 14 août, la directrice générale des finances publiques, Amélie Verdier, aurait présenté ses excuses.

Ce délai ne signifie pas nécessairement que la DGFiP serait restée inactive : les investigations et les mesures de confinement peuvent expliquer une partie de la chronologie. Mais il laisse une question centrale : à quel moment les contribuables concernés auraient-ils dû être informés, alors que leurs données fiscales constituent précisément l’un des patrimoines administratifs les plus sensibles ?

L’épisode serait d’autant plus préoccupant qu’il ne s’agirait pas du premier incident de 2026. Entre le 29 janvier et le 13 février, des identifiants attribués à un fonctionnaire auraient déjà permis d’accéder au fichier FICOBA, qui recense les comptes bancaires.

L’État peut sanctionner le contribuable qui commet une erreur dans sa déclaration ; lorsqu’une faille de son propre système expose des centaines de milliers de personnes, la réponse annoncée serait essentiellement administrative : notification, vigilance, plainte et excuses.C’est toute l’asymétrie du rapport de force qui apparaît ici. Les excuses d’Amélie Verdier ne changent rien au fait que les contribuables exposés n’ont, à ce stade, ni réparation ni garantie tangible. L’administration fiscale continue d’opérer comme si sa propre défaillance relevait de la force majeure, tandis que la moindre erreur du contribuable se paie cash.

Écrit par