Le piratage des impôts confirme le faible niveau de sécurité des services de l’État

Un fiasco national ! 678 000 particuliers et professionnels vont avoir des nuits blanches ! Leurs données personnelles (nom, date de naissance, revenu fiscal, quotient familial, adresse, données cadastrales…) ont été récupérées par un collectif de pirates appelé ZeroBytes qui a réussi à s’infiltrer dans le réseau informatique de la Direction générale des Finances publiques (DGFiP).

« Mercredi 12 et jeudi 13 août 2026, un acteur malveillant a revendiqué des accès illégitimes au système d’information de la Direction générale des Finances publiques (DGFiP), intervenus en juin et juillet 2026 », peut-on lire dans le communiqué officiel de la DGFIP.

Quelques jours après cette intrusion (c’est le collectif de pirates qui a révélé cette attaque alors que les services informatiques de l’État n’avaient rien vu…), une réunion organisée par Sébastien Lecornu a accouché d’un nouveau plan avec des « moyens renforcés » et 200 millions d’euros « débloqués pour la cybersécurité interministérielle, l’intelligence artificielle et la sécurisation des ministères ».

Ce n’est pas la première fois (et pas la dernière…) qu’un service sensible de l’État se fait pirater. En mars dernier, cette même DGFIP avait reconnu le piratage de FICOBA, le fichier ultra‑sensible qui recense l’ensemble des comptes bancaires en France. L’intrusion a duré au total 16 jours, entre le 28 janvier et le 13 février 2026. Pendant tout ce temps-là, le pirate a pu se balader dans le réseau informatique sans être repéré ni bloqué !

Il n’est donc pas étonnant que le Premier ministère avoue ensuite que des ministères ne sont pas à la hauteur en termes de cybersécurité… Un comble car l’État tape régulièrement sur les doigts des entreprises parce qu’elles n’investissent pas assez dans la cybersécurité.

Pourquoi un tel fiasco national ? Contrairement à ce que prétend l’État, il ne s’agit pas d’attaques sophistiquées. Dans de nombreux cas, les pirates ont exploité des failles bien connues : la mauvaise gestion des accès et l’absence de cloisonnement des comptes.

En clair, en accédant au compte mal protégé (mot de passe trop faible, absence de double identification…) d’un fonctionnaire d’un ministère, ils ont eu accès aux données sensibles de son service ou d’un autre ministère.

Des erreurs grossières ont par exemple été à l’origine du piratage du ministère de l’Intérieur en décembre 2025 : les pirates avaient récupéré « des mots de passe, qui sont échangés en clair en dépit des règles de prudence qu’on répète régulièrement », expliquait Laurent Nuñez sur Franceinfo.

Vigilance

Quels sont les principaux risques pour les contribuables ? Les identifiants et mots de passe du site impots.gouv.fr n’ont pas été dérobés, il n’est donc pas nécessaire de les changer… sauf si votre mot de passe est trop faible (du genre « Paul1974 ») et dupliqué sur de nombreux comptes.

La DGFiP vous écrit elle-même : aucun lien à cliquer, aucun RIB ni Livret A à communiquer par téléphone. Enfin, en cas de fraude avérée exploitant ces données (faux changement de RIB, hameçonnage ciblé), portez plainte sous 72 heures pour ne pas perdre le bénéfice de votre assurance cyber.

Cependant, une liste de 27 000 victimes déclarant plus de 100 000 euros de revenus a été identifiée par les pirates et pourrait être achetée par le grand banditisme pour organiser des cambriolages ou des enlèvements.

Pour les autres particuliers, il y a deux risques majeurs. Premièrement, le faux remboursement. Un message qui cite votre revenu fiscal de référence exact et votre taux de prélèvement à la source, et vous annonce un trop-perçu. Vous vérifiez sur votre avis, les chiffres correspondent, vous donnez votre RIB. Un pirate peut l’utiliser pour faire des prélèvements ou des achats.

Le deuxième risque est le faux agent des finances publiques qui vous appelle au téléphone. Il connaît votre adresse, votre situation de famille, votre revenu. Il vous annonce une erreur de calcul et vous demande votre RIB.

Dans tous les cas, il convient d’être très vigilant. En cas de doute, vous devez appeler votre conseiller bancaire ou votre centre des impôts (vous pouvez aussi les contacter uniquement via la messagerie sécurisée du site officiel) en composant le numéro de téléphone que vous trouverez dans les Pages Jaunes et surtout pas celui qui s’affiche dans l’email envoyé soi-disant par les impôts.