Le 13 août 2026, une personne a affirmé détenir les données fiscales de 678 437 dossiers et les proposer sur le dark web pour plusieurs milliers d’euros. Le chiffre est précis. La preuve, elle, reste absente.
À cette date, la DGFiP n’avait pas confirmé l’intrusion ni authentifié la base. Cette annonce décrit donc une alerte à vérifier, pas une fuite administrative établie. Un message qui reprendrait un nom, une adresse ou un élément d’imposition doit être vérifié par un autre canal, sans cliquer sur son lien.
Le total annoncé distingue particuliers et professionnels
Le décompte avancé se répartirait entre 392 867 dossiers de particuliers et 285 570 dossiers de professionnels. Leur addition atteint bien 678 437. Cette cohérence arithmétique décrit le périmètre revendiqué, mais ne valide pas le fichier.
La revendication détaillée à 7 h le 13 août 2026 comprenait aussi 26 805 comptes dont le revenu fiscal de référence aurait atteint au moins 100 000 euros. Parmi eux, 386 dépasseraient 1 million d’euros et 8 dépasseraient 10 millions d’euros. Ces seuils se recoupent : les 386 comptes à plus d’un million font partie du groupe de 26 805, tout comme les 8 comptes à plus de 10 millions. Si ces informations sont authentiques, elles pourraient permettre un ciblage par niveau de revenus.
Juin 2026, le scénario d’intrusion reste invérifié
Le scénario technique repose sur le récit de la personne qui affirme avoir vendu la base. Elle prétend avoir pénétré des serveurs internes de l’administration fiscale, obtenu un accès VPN, puis utilisé un outil interne pour extraire un grand volume de données.
- Juin 2026 : l’accès aux serveurs internes et au VPN aurait marqué le début de l’intrusion.
- Après l’accès : un outil interne aurait servi à récupérer les dossiers en masse.
- Après la détection : selon ce récit, l’exfiltration aurait été interrompue rapidement, mais un fichier regroupant les données copiées aurait déjà été préparé pour la vente.
- 13 août 2026 : la base aurait été proposée sur le dark web pour plusieurs milliers d’euros.
Cette chronologie ne confirme pas une compromission des serveurs de la DGFiP. Elle ne permet pas non plus d’établir la quantité exacte de données copiées, la durée de l’accès ou le nombre de fichiers authentiques.
Identité, coordonnées et fiscalité dans le fichier annoncé
Le fichier annoncé ne se limiterait pas à une liste de noms. Il comprendrait plusieurs catégories d’informations personnelles et administratives :
- Identité : nom, prénom, date et lieu de naissance.
- Situation familiale : informations relatives à la situation du foyer.
- Coordonnées : adresse postale, adresse électronique et numéro de téléphone.
- Fiscalité : revenu fiscal de référence, taux d’imposition et échanges avec les services fiscaux.
Associées, ces informations pourraient rendre un message frauduleux plus crédible qu’une sollicitation fondée sur une seule adresse électronique. Un courriel qui reprend une adresse postale exacte, un taux d’imposition ou une information familiale peut sembler venir de l’administration. Aucun de ces détails n’authentifie toutefois l’expéditeur.
Le phishing ciblé serait le risque immédiat
Une adresse, un numéro de téléphone et des informations fiscales liés à une identité donnent à un escroc des éléments pour adapter son discours. Le message peut chercher à obtenir une réponse, l’ouverture d’une pièce jointe ou une nouvelle information.
Les 26 805 comptes présentant un revenu fiscal de référence d’au moins 100 000 euros auraient aussi une valeur pour un ciblage par niveau de revenus. Ces seuils ne prouvent pas que leurs titulaires seront contactés. Ils indiquent seulement le niveau de détail revendiqué dans la base.
Le risque inclut les dossiers professionnels : le volume annoncé de 285 570 dossiers élargit le périmètre au-delà des seuls foyers fiscaux. Le prix demandé ne permet pas, à lui seul, de vérifier l’authenticité du fichier.
Les réflexes à appliquer avant toute confirmation
Ces mesures peuvent être appliquées sans attendre une confirmation officielle. Elles évitent surtout de transmettre une information supplémentaire à un expéditeur qui en connaît déjà une partie.
- Ne répondez pas au message : ne cliquez sur aucun lien, n’ouvrez pas de pièce jointe et ne rappelez pas le numéro fourni dans le courriel ou le SMS.
- Vérifiez par un autre chemin : accédez vous-même à votre espace fiscal depuis l’adresse habituelle du site officiel ou l’application déjà utilisée. Ne passez pas par le lien reçu.
- Conservez les indices : gardez le message, la date de réception, l’adresse de l’expéditeur, le numéro d’appel et une capture de l’écran. Ne le rediffusez pas avec les données personnelles visibles.
- Réagissez si vous avez répondu : si vous avez transmis un mot de passe, changez-le depuis le site officiel et sur les autres services où il était réutilisé. Si vous avez communiqué des coordonnées bancaires, contactez votre banque avec son numéro officiel.
Les vérifications qui manquent pour établir la fuite
Au 13 août 2026, le signalement ne permettait pas encore d’établir l’incident. Il fallait notamment vérifier :
- si la DGFiP reconnaissait une intrusion survenue en juin 2026;
- si la base contenait bien 678 437 dossiers authentiques;
- quelles catégories de données étaient effectivement présentes dans les fichiers;
- si les informations étaient récentes, complètes et directement issues des systèmes fiscaux;
- si la mise en vente correspondait à une fuite réelle.
Un décompte précis, des informations sensibles et une mise en vente sur le dark web ne remplacent pas une vérification administrative. En attendant, tout contact inattendu qui exploite des données fiscales doit être traité comme une tentative possible de phishing.
Une donnée fiscale exacte ne prouve pas l’expéditeur.
