Fuite de données à la DGFiP : 678 000 dossiers volés malgré 4 750 informaticiens

Ce que la DGFiP a confirmé le 14 août

Dans un communiqué publié le 14 août 2026, l'administration fiscale a reconnu avoir été victime d'une intrusion dans son système d'information. Les connexions malveillantes ont eu lieu en juin et juillet 2026, mais elles n'ont été revendiquées par l'attaquant que les 12 et 13 août.

Un premier lot concerne les données de 678 000 particuliers et professionnels. Le même acteur, qui se fait appeler ZeroBytes, revendique une seconde extraction portant sur des informations cadastrales, susceptible de toucher plus de 2 millions de titulaires. Il affirme détenir et revendre ces fichiers.

Le point le plus instructif tient au mode opératoire. L'attaque n'a exploité aucune faille technique sophistiquée : elle a reposé sur l'usurpation des identifiants de deux comptes parfaitement légitimes, celui d'un agent de la DGFiP et celui d'un tiers habilité à accéder au système. Dès la détection des connexions suspectes, l'administration a coupé les accès concernés, déposé plainte et notifié l'incident à la CNIL.

La DGFiP, une armée d'informaticiens à l'échelle de l'État

Le contraste est frappant. La DGFiP n'est pas une administration sous-équipée en compétences numériques : avec près de 4 750 agents affectés à l'informatique, elle représente à elle seule 26 % de tout l'effectif informatique de l'État, hors ministère des Armées. C'est la direction publique qui compte le plus grand nombre d'informaticiens en France.

Ces effectifs se répartissent entre trois pôles bien identifiés :

• Le réseau territorial du Service des systèmes d'information regroupe environ 70 % des informaticiens.
• L'administration centrale concentre près d'un quart des effectifs (24 %).
• Le service à compétence nationale Cap Numérique réunit les 6 % restants.

4 750 informaticiens : le match avec la tech

Pour situer une telle équipe, la comparaison avec la sphère publique et les entreprises technologiques est éclairante. Les périmètres diffèrent d'un acteur à l'autre, d'où une colonne pour préciser ce que chaque chiffre recouvre.

Trois enseignements se dégagent de ce tableau :

• Le fisc est un poids lourd du numérique public : ses effectifs écrasent ceux de l'agence nationale de cybersécurité et dépassent l'effectif total d'OVHcloud comme celui de Mistral AI, le champion français de l'intelligence artificielle.
• La DGFiP joue dans la cour des grands éditeurs de logiciels, au niveau de MongoDB, Snowflake ou Datadog, et n'est distancée que par les mastodontes du paiement et du web, PayPal, Google et Microsoft.
• Le périmètre n'a pourtant rien de comparable : ces entreprises vendent des services utilisés chaque jour par des centaines de millions, voire des milliards de clients dans le monde entier, quand la DGFiP sert 41,6 millions de foyers sur le seul territoire national.

4 750 informaticiens, pour quoi faire ?

La question mérite d'être posée sans détour. Que fait une telle armée d'informaticiens pour une mission strictement hexagonale ? La réponse tient d'abord à un héritage technique colossal. La DGFiP fait tourner près de 800 applications, dont certaines reposent encore sur du COBOL et des systèmes Bull hérités des années 1980, notamment pour le calcul de la taxe foncière et la gestion de la TVA.

À cela s'ajoutent des chantiers récents et lourds : le prélèvement à la source, entré en vigueur en 2019, a exigé des développements majeurs, tout comme la modernisation d'impots.gouv.fr, du cadastre et des outils de contrôle fiscal. Le budget informatique de la DGFiP avoisine d'ailleurs 490 millions d'euros par an. Une partie de ces effectifs entretient donc surtout une dette technique que la modernisation n'a pas encore résorbée.

Reste que, rapportée à sa mission, la densité informatique du fisc interroge. Un agent y veille sur près de 8 800 foyers fiscaux, un ratio qui paraît vertigineux mais reste, en réalité, deux fois plus favorable que celui de son homologue américain.

Autrement dit, pour un même contribuable, la France mobilise environ deux fois plus d'informaticiens fiscaux que les États-Unis, et ce alors même que l'IRS gère un volume de déclarations quatre fois supérieur. Le chiffre de l'IRS s'entend d'ailleurs avant les fortes réductions d'effectifs engagées outre-Atlantique en 2025.

Plus d'agents ne fait pas plus de sécurité

Ce constat en amène un autre, plus dérangeant encore : la taille de l'équipe n'a strictement rien empêché. La preuve par Microsoft, qui malgré ses 34 000 ingénieurs sécurité a lui-même essuyé des intrusions jugées évitables, au point qu'un rapport officiel américain a épinglé sa culture de sécurité. La protection ne se joue pas sur le volume d'agents, mais sur la gouvernance des accès et des identités.

Un seul identifiant volé annule instantanément l'avantage du nombre : l'attaquant entre par la grande porte, avec des droits valides, sans déclencher les alertes réservées aux intrusions en force. Une équipe de 4 750 informaticiens tombe alors exactement comme en tomberait une de 250. C'est précisément le scénario subi par la DGFiP, où l'enjeu n'était pas de recruter davantage, mais de mieux surveiller les comptes habilités et les accès de tiers.

Pour les particuliers, la conséquence est très concrète. Les données fiscales exposées, état civil, adresse, revenus, composition du foyer, sont précisément celles qui rendent une tentative d'hameçonnage crédible. Ces informations alimentent le phishing ciblé et l'usurpation d'identité, y compris pour ouvrir un compte ou souscrire un crédit au nom de la victime.

Vos données fiscales exposées : les réflexes à adopter

Si vos informations figurent dans la fuite, aucune démarche ne les fera disparaître des mains de l'attaquant. La bonne posture consiste à réduire les risques d'exploitation, en gardant en tête que les prochaines sollicitations frauduleuses paraîtront étonnamment personnalisées. Nous avons détaillé les faux mails et SMS qui circulent déjà au nom des impôts.

1. Méfiez-vous de tout message se réclamant des impôts. L'administration ne réclame jamais un paiement ou un identifiant bancaire par mail ou SMS.
2. Ne cliquez sur aucun lien reçu : connectez-vous uniquement en tapant vous-même l'adresse de votre espace personnel.
3. Surveillez vos relevés bancaires et signalez immédiatement toute opération ou tout crédit que vous ne reconnaissez pas.
4. Activez la double authentification sur vos comptes sensibles, à commencer par votre banque et votre messagerie.
5. Signalez toute tentative sur la plateforme publique cybermalveillance.gouv.fr.

Face à un risque d'usurpation, la réactivité de votre banque devient un vrai critère. Les banques en ligne se distinguent sur ce terrain, avec des alertes en temps réel à chaque opération, des plafonds de carte pilotables depuis l'application et le blocage de la carte en un geste.

Comparer les protections, les frais et les fonctions de pilotage avant de choisir ou de changer d'établissement reste le moyen le plus simple de garder la main sur vos comptes. Notre comparatif des banques permet de mesurer, offre par offre, le niveau de sécurité proposé au quotidien.