Le 12 août 2026, un cybercriminel sous le pseudonyme ZeroBytes a revendiqué le piratage de systèmes de la Direction générale des Finances publiques (DGFiP). Selon sa publication, il aurait extrait les données de plus de 678 000 personnes en juin 2026, avant que son accès ne soit interrompu.Les informations revendiquées sont d’une extrême sensibilité :
identifiants fiscaux, revenus fiscaux de référence, taux de prélèvement à la source, noms, dates et lieux de naissance, adresses, numéros de téléphone, e-mails, situation familiale et d’autres éléments liés aux dossiers fiscaux.
Cette revendication a été analysée et relayée par FrenchBreaches, plateforme de référence en France sur les fuites de données, figure reconnue de l’OSINT et de la cybersécurité. L’échantillon examiné et le modus operandi décrit (infiltration de serveurs internes, obtention d’un accès VPN, extraction via un outil de recherche interne) rendent l’alerte particulièrement crédible aux yeux des spécialistes.
Pourtant, à l’heure où ces lignes sont écrites, ni la DGFiP, ni le ministère de l’Économie, ni le gouvernement n’ont publié le moindre communiqué. Ni confirmation, ni démenti, ni même un simple « nous vérifions ».
Silence total.
Un silence qui interroge
Selon le pirate lui-même, l’intrusion aurait été détectée pendant l’exfiltration des données, fin juin 2026. Si cette information est exacte, l’administration fiscale aurait donc connaissance de l’incident depuis près d’un mois et demi. Dans ces conditions, l’absence totale de communication publique pose de sérieuses questions.Le RGPD est clair : en cas de violation de données à risque élevé, le responsable de traitement doit notifier la CNIL dans les 72 heures et informer les personnes concernées sans délai injustifié.
Les données fiscales combinées à des coordonnées personnelles entrent précisément dans cette catégorie de risque élevé (phishing ciblé, usurpation d’identité, fraudes, ingénierie sociale…).
Ce n’est pas la première fois que la DGFiP est concernée. L’incident FICOBA de début 2026 (1,2 million de comptes bancaires) avait déjà montré des délais de communication. Aujourd’hui, face à une nouvelle alerte portant sur des données encore plus sensibles, le mutisme est d’autant plus frappant.
Les Français ont le droit de savoir
Pendant que l’État reste muet, les données circulent déjà ou sont proposées à la vente sur des forums cybercriminels.
Les risques concrets pour les personnes concernées sont réels : campagnes de phishing ultra-ciblées se faisant passer pour les Impôts, tentatives d’usurpation, fraudes financières…
Dans un contexte où les fuites touchant des organismes publics se multiplient (ANTS, INSEE, Éducation nationale, etc.), ce silence nourrit un sentiment légitime de défiance.
Les citoyens sont en droit d’exiger de la transparence, surtout lorsqu’il s’agit de leurs données fiscales les plus intimes.
Ce que l’on attend maintenant
Une réaction claire et rapide de la DGFiP et de Bercy est indispensable :
- Confirmation ou démenti argumenté
- Précisions sur la date de détection et les mesures prises
- Information des personnes potentiellement concernées si la fuite est avérée
- Bilan transparent sur les failles exploitées
Tant que l’administration ne s’exprime pas, les 678 000 Français potentiellement touchés restent dans l’ignorance, exposés à des risques qu’ils ne peuvent même pas anticiper.
La cybersécurité de l’État ne peut plus se contenter de déclarations d’intention.
Elle exige de la transparence, de la réactivité et du respect des obligations légales envers les citoyens.
Le silence, face à une alerte de cette gravité, n’est pas une option.