Piratage des impôts : ce que révèle le rapport de l’ANSSI, ce que peuvent faire les contribuables

Des identifiants d’agents dérobés sur des ordinateurs personnels, des portails dépourvus d’authentification forte, quatorze gigaoctets de données fiscales extraits sans qu’aucune alerte ne se déclenche : le rapport publié par l’ANSSI le 29 septembre 2026 décrit une compromission que l’agence qualifie elle-même de peu sophistiquée. Pour les contribuables dont les données ont été exposées, il éclaire aussi les risques à venir et les recours dont ils disposent, devant la banque comme devant le juge.

L’essentiel

• Le rapport de l’ANSSI, publié le 29 septembre 2026, conclut que le piratage de la DGFiP n’est pas la conséquence d’une attaque sophistiquée, mais de faiblesses dans la gestion des identités, l’architecture et la détection.
• L’attaquant a utilisé des identifiants d’agents probablement volés sur des ordinateurs non administrés par la DGFiP, sur des portails dépourvus d’authentification forte. Environ 14 Go ont été extraits sans qu’aucune alerte ne soit levée.
• Les données exposées sont des données d’identité, de coordonnées et de situation fiscale. Elles rendent plus crédibles les escroqueries au faux conseiller bancaire.
• En cas de fraude, la preuve de la négligence grave du client incombe à la banque, mais la négligence grave s’apprécie concrètement, au regard des circonstances de chaque espèce.

Que s’est-il passé à la DGFiP ?

Le 12 août 2026, un acteur se présentant sous le nom de Zerobytes a revendiqué sur un forum le vol de données de la plateforme impots.gouv.fr. Les investigations ont établi que l’exfiltration avait eu lieu sept semaines plus tôt¹. Le rapport de l’ANSSI, demandé par le Premier ministre, a été remis le 24 septembre et publié le 29 septembre 2026².

Le rapport ne relève aucune attaque par force brute : l’attaquant disposait déjà des mots de passe. Il a réuni en trois mois plusieurs dizaines d’identifiants d’agents, probablement dérobés par des logiciels espions installés sur des ordinateurs non administrés par la DGFiP, notamment personnels. Il s’en est servi pour atteindre, par le réseau interministériel de l’État et à partir d’infrastructures compromises du ministère de l’Éducation nationale, l’application E-Contact, qui sert aux échanges avec les usagers. Un second volet, portant sur les données cadastrales, est parti du poste compromis d’un géomètre-expert¹.

L’enquête du parquet de Paris a été confiée à l’Office anti-cybercriminalité. Un suspect de 18 ans a été mis en examen et placé en détention provisoire, ce que le parquet a annoncé le 4 septembre 2026⁴. Un second suspect, âgé de 16 ans, a été mis en examen et placé sous contrôle judiciaire, ce qu’il a confirmé le 29 octobre 2026⁵.

Chronologie du piratage des impôts

Ce que le rapport établit, ce qui reste revendiqué

Les dates, les comptes utilisés, les volumes et l’absence de détection résultent des investigations de la DGFiP et de l’ANSSI. Les chiffres de victimes appellent plus de prudence : Zerobytes annonçait 678 437 enregistrements, quand la synthèse du rapport retient que les données publiées concernent près de 353 000 particuliers et 252 000 professionnels. Pour le cadastre, le chiffre de 2 millions de personnes est celui de l’attaquant, que le rapport mentionne sans le reprendre à son compte. L’origine du vol des identifiants, enfin, n’est qu’« probable »¹.

Selon le ministère de l’Économie, les données qui ont pu être consultées sont l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et la liste des messages échangés avec la DGFiP. Les espaces Finances publiques des usagers n’ont pas été compromis³.

Les failles relevées par l’ANSSI

Deux portails, dont l’un donnait accès à des ressources sensibles, ne comportaient aucune authentification multifacteur, de sorte qu’un mot de passe volé suffisait. Sur le portail réservé aux partenaires, le second facteur était un code envoyé par courriel, que la compromission du poste du géomètre-expert a permis de contourner. Les applications sensibles étaient en outre accessibles sans cloisonnement depuis le réseau interministériel¹.

La détection a fait défaut. Le portail utilisé pour l’exfiltration n’était pas supervisé par le SOC de la DGFiP, et aucun mécanisme n’a corrélé les connexions nocturnes, les volumes anormaux et les adresses IP malveillantes. Le 24 juin, la réinitialisation du mot de passe du compte utilisé n’a interrompu ni la session ni l’exfiltration, qui s’est poursuivie jusqu’au lendemain à 2 h 31. L’ANSSI reconnaît que ses propres dispositifs n’ont rien détecté¹.

Le rapport recommande notamment de proscrire les appareils personnels pour l’accès aux ressources professionnelles, de généraliser l’authentification multifacteur avec un second facteur résistant à la compromission du premier, et de révoquer les sessions actives lors de toute réinitialisation de mot de passe¹.

Vos données ont fuité : à quoi s’attendre

Selon le ministère, les conséquences de la fuite portent principalement sur des tentatives d’hameçonnage ou d’appels frauduleux, notamment au faux conseiller bancaire, rendus plus crédibles par la mention des données personnelles de la victime. Elles peuvent aussi servir à des tentatives d’usurpation d’identité, qui supposent toutefois que les fraudeurs se procurent une copie des pièces d’identité³ ; les recours en ce cas sont détaillés dans notre analyse consacrée à l’usurpation d’identité en ligne. L’escroc se présente comme un agent du service anti-fraude de la banque, usurpe parfois son numéro et demande, pour bloquer de prétendues opérations suspectes, des codes ou des validations sur l’application bancaire, qui servent en réalité à valider des opérations frauduleuses⁶.

L’administration fiscale ne demande jamais d’informations confidentielles par courriel, SMS ou téléphone³. Aucun conseiller bancaire ne demande d’effectuer des actions sur l’application pour faire échec à une prétendue fraude, et il est recommandé de ne jamais valider une opération dont on n’est pas à l’origine, même sous prétexte de l’annuler⁶. Lorsqu’un compte de messagerie ou de réseau social a été pris en main par un tiers, les démarches sont détaillées dans notre analyse consacrée au compte piraté.

Fraude après la fuite : la banque doit-elle rembourser ?

En cas d’opération de paiement non autorisée, la banque rembourse immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf soupçon de fraude du client communiqué par écrit à la Banque de France (article L. 133-18 du code monétaire et financier). Le client ne supporte l’intégralité des pertes qu’en cas de fraude ou de négligence grave de sa part (article L. 133-19, IV).

La preuve de cette négligence grave incombe à la banque (article L. 133-23) et ne peut se déduire du seul fait que les données de sécurité du client ont été utilisées^{7 8}. La négligence grave est en revanche retenue lorsque le client communique ses données en réponse à un message contenant des indices permettant à un utilisateur normalement attentif de douter de sa provenance⁷.

Face aux appels de faux conseillers, l’appréciation est concrète. La Cour de cassation a approuvé l’exclusion de la négligence grave lorsque le numéro de la banque s’affichait et que le client croyait valider une opération sécurisée⁹, ou lorsque l’escroc, appelant depuis un numéro usurpé, connaissait les opérations du jour¹⁰. Elle a en revanche censuré une cour d’appel qui avait exclu la négligence grave par principe, au motif que l’escroc connaissait l’adresse et le numéro de carte de la victime, sans examiner la communication volontaire de ses identifiants¹¹. La connaissance de données personnelles exactes par l’escroc est donc un élément d’appréciation, non une exonération automatique. Le dossier gagne à documenter précisément le déroulement de l’appel.

L’opération doit être signalée sans tarder, et au plus tard dans les treize mois suivant le débit (article L. 133-24). Lorsque la victime a elle-même ordonné le virement, la discussion porte d’abord sur le caractère autorisé de l’opération (article L. 133-6).

Porter plainte : contre qui, pour quoi ?

Le piratage d’un système de données personnelles mis en œuvre par l’État est puni de sept ans d’emprisonnement (articles 323-1 et 323-3 du code pénal), et de dix ans en bande organisée (article 323-4-1).

La victime d’un faux conseiller ou d’un faux agent des impôts est victime d’une escroquerie (article 313-1 du code pénal). Le ministère l’invite à signaler les faits sur cybermalveillance.gouv.fr puis à déposer plainte, le cas échéant en ligne³. Il est recommandé de conserver le numéro affiché, les messages, les ordres de virement et les relevés⁶. La constitution de partie civile suppose d’avoir personnellement souffert du dommage directement causé par l’infraction (article 2 du code de procédure pénale).

L’État, responsable de traitement

L’État échappe à l’amende de la CNIL (article 20, IV, 7°, de la loi du 6 janvier 1978) et à la responsabilité pénale des personnes morales (article 121-2 du code pénal), comme l’expose notre article sur la responsabilité pénale du dirigeant après une cyberattaque.

Il reste tenu de réparer le dommage causé par une violation du RGPD (article 82). À propos du piratage de l’administration fiscale bulgare, la Cour de justice de l’Union européenne a jugé qu’il appartient au responsable du traitement de prouver le caractère approprié de ses mesures de sécurité, qu’il ne s’exonère pas du seul fait que le dommage provient de tiers, et que la crainte d’un usage abusif des données peut constituer, à elle seule, un dommage moral¹². Une telle action relève en principe du juge administratif¹³, devant lequel les constats du rapport de l’ANSSI constitueraient des éléments de premier ordre.

Ce que le cabinet peut faire pour vous

Le cabinet intervient en cybercriminalité et droit pénal du numérique. Pour les victimes d’une fraude consécutive à la fuite, il conteste les opérations et le refus de remboursement, dépose plainte pour escroquerie et conduit l’action en remboursement ou en réparation. Pour les professionnels dont le poste ou les comptes ont été compromis, il intervient dès les premières heures, pour la plainte comme pour les notifications.

Questions fréquentes

Comment savoir si mes données font partie de la fuite ?

Depuis le 17 août 2026, la DGFiP informe individuellement les personnes concernées, par courriel ou, à défaut, par courrier. Ses courriels proviennent toujours d’une adresse se terminant par « @dgfip.finances.gouv.fr » ou « @authentification.impots.gouv.fr ».

Mes coordonnées bancaires ou mon mot de passe ont-ils été volés ?

La liste publiée par le ministère de l’Économie ne mentionne ni les coordonnées bancaires ni les mots de passe, et précise que les espaces Finances publiques n’ont pas été compromis.

Ma banque refuse de me rembourser pour négligence grave. Que faire ?

La preuve de la négligence grave incombe à la banque et ne peut se déduire de la seule utilisation des données de sécurité. Elle s’apprécie concrètement : la jurisprudence l’a écartée dans plusieurs affaires de faux conseillers, sans l’exclure par principe. Le refus peut être contesté.

Dans quel délai contester une opération frauduleuse ?

Sans tarder, et au plus tard dans les treize mois suivant la date de débit. La banque doit en principe rembourser au plus tard à la fin du premier jour ouvrable suivant le signalement.

Peut-on obtenir réparation de l’État ?

L’État échappe à l’amende de la CNIL, mais reste tenu de réparer le dommage causé par une violation du RGPD. Selon la Cour de justice de l’Union européenne, la crainte d’un usage abusif des données peut constituer, à elle seule, un dommage moral.