Après Bloctel qui a eu l’honneur de rendre compte d’une fuite de données le jour même où il se voyait mettre hors ligne, voici venir la pièce de résistance de cet été : ce n’est ni plus ni moins que le site des impôts qui a vu passer un accès non autorisé, comme le rapporte Bercy.
C’est un peu le boss final des ennuis informatiques pour un État, en dehors des serveurs militaires : voir des données concernant son service fiscal lui échapper. C’est pourtant bien ce qui est arrivé à la DGFiP (Direction Générale des Finances Publiques) fin juin 2026, avec un accès non autorisé au système d’information de la DGFiP ayant permis de consulter et d’extraire des données fiscales.
Pour fêter son départ, Bloctel se fait voler les numéros de téléphone d’une partie de ses clients
Le malandrin du jour, ZeroBytes, affirme être entré sur les services de Bercy le 26 juin par un moyen détourné : il n’a pas « cassé » la protection des serveurs contenant les données des administrés. À la place, il affirme avoir dans un premier temps compromis des serveurs internes. Cependant, ceux-ci lui ont ensuite donné les moyens d’utiliser par la suite un VPN interne, et là, le graal était à portée de main : outils métier de la DGFiP, accès aux données des citoyens, tout était présent, il n’y avait plus qu’à automatiser la tâche de récupération.
Si sa manœuvre a été détectée peu de temps après son intrusion, il a cependant pu récupérer 678 437 entrées, dont 392 867 particuliers et 285 570 professionnels. FrenchBreaches a pu consulter le détail, permettant de recenser 26 805 particuliers avec un revenu fiscal de référence (RFR) de plus de 100 000 €, 386 de plus d’un million d’euros, et 8 dépassant les 10 millions d’euros.
Et les données récupérées sont assez nombreuses pour être facilement exploitables : nom d’usage, nom de naissance, prénoms (au pluriel), date et lieu de naissance, adresse fiscale et postale, téléphone, e-mail, identifiant fiscal interne, situation familiale, personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source, historique d’interactions avec la DGFiP, et même le SIREN pour les professionnels !
Si l’intrusion et la fuite de données sont bien confirmées par le Ministère des Finances, le nombre exact d’administrés touchés n’est encore qu’une revendication de ZeroBytes, et ses 678 437 lignes ne sont peut-être que des leurres bien faits. Cependant, la chronologie des faits aurait tendance à aller dans son sens, la DGFiP s’étant certes rendu compte de l’intrusion fin juin, mais n’ayant confirmé l’extraction et communiqué publiquement que le 13 août, après la publication par le pirate de données présentées comme provenant de Bercy.
Le fichier national des comptes bancaires piraté : 1,2 million de comptes seraient compromis
Cette fuite rappelle celle du Ficoba en février de cette année, où un gredin avait pu mettre la main sur 1,2 million de comptes après être entré sur les services du Fichier national des comptes bancaires et assimilés. L’administration avait indiqué prendre les mesures nécessaires pour renforcer ses systèmes, et pourtant, six mois plus tard, les données d’un autre service d’importance se retrouvent éparpillées sur Internet. S’il est trop tard pour revenir en arrière et empêcher ces fichiers d’être dans la nature, reste la grande question : que fera l’administration pour éviter une nouvelle fuite ? Et sera-ce suffisant ?
