Piratage du fisc : 678 000 usagers touchés, enquête de l’Office anticybercriminalité
Bercy donne des détails
Illustration : Flock
Mickael Bazoge
Le 15 août à 17h12
Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.
Piratage du fisc : 678 000 usagers touchés, enquête de l’Office anticybercriminalité
Bercy donne des détails
Illustration : Flock
Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.
Sécurité
Sécurité
3 min
Après une période de flottement, la Direction générale des Finances publiques a donné de plus amples détails et précisions sur le piratage de son système d’information. Un acteur malveillant a donc accédé à cette plateforme « en juin et en juillet », grâce à des usurpations d’identifiants d’un agent et d’un tiers habilité. Une attaque « plus sophistiquée que par le passé », a rapporté Bercy.
impots.gouv.fr en sécurité
Ces accès illégitimes ont permis au pirate de consulter et d’extraire des données concernant un total de 678 000 particuliers et professionnels ; pour les particuliers, ce sont des données fiscales (revenu fiscal de référence, quotient familial ou taux de prélèvement à la source). Pour les professionnels, il s’agit de la raison sociale ou du numéro SIREN. La DGFiP ajoute que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.
Il est important de noter que les identifiants et les mots de passe des usagers n’ont pas été compromis, ni leurs espaces Finances publiques. Autrement dit, les données volées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr.
Néanmoins, l’enquête interne se poursuit pour déterminer « précisément » la nature et le volume des données extraites, ainsi que le nombre de victimes du piratage. Les usagers touchés seront directement contactés dès la semaine prochaine : ils recevront une information individuelle par courriel ou par courrier avec les mesures de vigilance à adopter (en espérant que des petits malins n’en profitent pas pour orchestrer une campagne de hameçonnage entretemps).
La Direction a « immédiatement interrompu » les accès de l’ensemble des comptes utilisés dans les incidents dès que les intrusions ont été détectées. Des mesures de sécurité complémentaires ont également été mises en œuvre (coupures préventives des accès à des systèmes d’informations sensibles). Une plainte sera aussi déposée.
Sans attendre, la section cyber du parquet de Paris a ouvert une enquête, indique l’AFP (via Le Monde). L’Office anticybercriminalité (Ofac) va se pencher sur « l’extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat », « la participation à une association de malfaiteurs en vue de la préparation d’un délit puni d’au moins cinq ans d’emprisonnement » et « l’accès et maintien frauduleux dans un système de traitement automatisé de données en bande organisée ».
Commentaires (55)
Abonnez-vous pour prendre part au débat
Déjà abonné ou lecteur ? Se connecter
Cet article est en accès libre, mais il est le produit d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles d'un média expert
Profitez d'au moins 1 To de stockage pour vos sauvegardes
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousLe 15 août à 17h18
Le 15 août à 21h02
Le 16 août à 02h33
Le 16 août à 05h37
Le 16 août à 09h41
Le 16 août à 14h55
En réparation du préjudice subis
Ta feuille d'imposition, ton adresse, tes données quasiment les plus intimes sont connaissables de n'importe quelle bande de margoulins, ou parti politique (ce qui revient au même) : à combien évalues-tu le mal que tu va subir dans les 10 prochaines années ?
Le 16 août à 15h02
Le 17 août à 09h20
Le 17 août à 10h02
Pour la procédure civile, dans lequel on évalue le préjudice, c'est zéro pour la victime principale et après il y a une évaluation du préjudice des proches de la personne tuée.
Le 17 août à 17h00
Pour certains cas, c'est basé sur la jurisprudence de cas passés.
Pour le reste, le calcul peut être compliqué.
Modifié le 21 août à 18h35
Le 16 août à 15h19
Modifié le 17 août à 06h34
Ca pose quand-même les risques suivants : phishing très ciblé pouvant aller jusqu'au harcèlement, cambriolage ciblé potentiellement multiple, enlèvement contre rançon bien calibrée, usurpation d'identité. Ça vaut forcément quelque chose.
Et au moins ça ferait une sanction qui coûterait quelque chose à l'état, plutôt qu'une amende qui ne ferait que passer d'un budget à un autre.
D'ailleurs, la majorité des fuites se ressemblant au niveau des données divulguées, on pourrait même imaginer un barème standard par personne qui s'appliquerait automatiquement à chaque fuite, et à charge de l'entreprise fautive de faire tout le boulot de recenser et payer les victimes. Ça serait peut-être plus dissuasif qu'une hypothétique sanction de la CNIL.
Le 17 août à 10h06
Je me rappelle d'un procès dans lequel j'étais victime parmi d'autres, les préjudices moraux non symboliques (en gros de 1€ jusqu'à quelques dizaines d'euros) ont tous été rejeté en l'absence d'évaluation de ceux-ci. Le préjudice c'est pas un "forfait".
Modifié le 17 août à 11h45
Je n'ai jamais dit que c'était un forfait non plus lors d'un procès, bien sûr que ça doit être justifié. J'ai par contre émis l'idée que ça puisse le devenir lors des fuites qui se ressemblent toutes, ce serait alors plutôt de l'amiable où tout arrangement est possible. Mais bon, je ne sais pas si c'est implémentable dans le droit actuel, si c'est uniquement de l'amiable l'entreprise fautive peut toujours ne rien faire en attendant un procès de la part des victimes, qui n'arrivera jamais en l'absence d'actions collectives possibles.
Le 18 août à 11h35
-> En gros, la bonne idée c'est: arrêter le télétravail (permet de bloquer les connexions distantes) et arrêter de déléguer à des prestataires.
Chaque prestataire me fait tendre le dos. Là en interviewant des presta en amont d'un projet, j'ai pu voir un presta me faire une démo en se connectant à la gestion des bâtiments d'une grande ville de région parisienne. Et en me mettant dans la visio: URL, login, mot de passe. Pas de double authent. Contrôle des clims de la mairie.
De quoi faire évacuer des bâtiments publics.
Et c'est un "gros" prestataire.
Le mec avait des fichiers textes pour chaque client.... Il s'est connecté sans prévenir le client...
J'ai un presta dont le technicien m'a filé une bidouille pour contourner le login admin d'un logiciel qui contient des données ultra personnelles et médicales "mais chut!" - parce que je mettais trop de temps à son goût pour retrouver le MDP admin qu'on change régulièrement.
La France est remplie de branquignoles en informatique. Je n'ai AUCUNE confiance dans les presta français.
Surtout que je bosse avec France Travail par exemple: il font le taf plutôt bien voire très bien, leur conception est sécurisée, c'est toujours une histoire d'usurpation d'identifiant ou de tiers qui fait son travail par dessus la jambe.
Ras-le-bol que le public soit considéré comme de seconde zone alors qu'il paye.
Je rappelle quand même que dernièrement, Wordpress s'est fait péter par une injection SQL. Une injection SQL en 2026. Parce que Wordpress est fait en PHP + HTML, soit des technos qui sont abominables - en gros: de l'assembleur en moins prévisible.
Donc je ne tirerai pas à boulet rouge sur la DGFIP (pour qui j'ai une certaine admiration vu le site des impôts plutôt classe qu'on a).
Mais que cela serve à RETROGRADER un agent et à COULER un presta qui ne prend pas suffisamment en considération l'importance de ce qu'il manipule, je suis pour.
Modifié le 18 août à 12h46
Les prestas ont bon dos, les internes ne valent parfois pas mieux. Mais sont-ils correctement formés, encadrés ? Ce sont tout plein de petites actions, y compris dans le management de proximité, pour élever la culture de la sécurité.
Il y a quelques mois, à une personne qui essayait de réfléchir à un mot de passe, j'ai rappelé que le gestionnaire de mot de passe déployé dans l'entreprise a une fonction "générer un mot de passe fort", limite elle rougit de honte. Quelques semaines plus tard, j'entends dans l'open-space cette même collègue reprendre fièrement un autre collègue "fais plutôt un mot de passe fort, je vais te montrer où dans l'outil". Petite action, message passé, mission accomplie
Tu lui as fait remarquer qu'il avait partagé le mot de passe ? Propager la culture de la sécurité...
Du coup, bien sûr, tu lui as présenté comment on déclare une faille de sécu dans ta société ?
Là je ne suis pas d'accord, enfin, pas en première approche. Si les gens sont terrifiés à l'idée de perdre leur boulot, ils cacheront un max de choses.
Après, à la 3ème fois qu'ils pètent un serveur, oui, il faut peut être qu'ils faut sortir les sanctions en majuscule, mais ça veut dire que les 2 fois d'avant, on leur appris puis on leur a rappelé les règles.
Le 18 août à 14h17
Oui, par la suite, via un compte-rendu en précisant qu'il était hors de question de travailler avec eux pour le moment.
Par contre, je n'ai pas encore signalé à la mairie en question, à cause des répercussions entre le presta et la mairie ... On attend la répons edu service juridique pour savoir si on peut leur dire.
"Du coup, bien sûr, tu lui as présenté comment on déclare une faille de sécu dans ta société ?"
Non, on m'a dit de ne pas le faire tout de suite pour ne pas le faire virer. Par contre, c'est conservé pour négociation
" Si les gens sont terrifiés à l'idée de perdre leur boulot, ils cacheront un max de choses."
Là ils ne sont pas terrifiés, c'est une catastrophe. Il y a un moment il va falloir que les gens apprennent où ne manipulent plus.
Modifié le 19 août à 11h03
C'est surtout wordpress qui ne veulent pas évoluer et améliorer leur sécurité.
Ou c'est les utilisateurs de wordpress qui restent sur des vieilles version de PHP plus supportées : https://secupress.me/fr/blog/wordpress-md5-bcrypt/ et ils veulent garder la compatibilité ?
Laisser accessible le chemin /wp-json/batch/v1 sans sécurité : https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-007/
Le 15 août à 17h53
Curieux, comment savent-ils précisément qu'il s'agissait de plusieurs personnes, et quel autre délit ces personnes préparaient ?
Modifié le 15 août à 18h09
Le 15 août à 19h03
Pour les pros, c'est déjà des données publiques je crois.
Pour les particuliers, c'est plus gênant mais pas autant que si ça avait été les déclarations ou les avis d'imposition. Là, avec ces données, on peut au mieux déterminer qui a plein d'oseille et qui habite où (notamment pour préparer un cambriolage).
Mais j'imagine qu'il y a plus car ils disent que pour les données particuliers il y a des données qui, seules, ne peuvent pas être reliées à des personnes, donc je suppose qu'il y a en plus les noms, prénoms, etc qui ont fuités.
Le 15 août à 19h27
Le 16 août à 05h39
Le 16 août à 14h07
Si je te donnes juste un revenu fiscal de référence de "27423", tu vas pas être très avancé pour faire ton phishing si tu sais pas en plus à qui c'est lié (au moins via son numéro fiscalw son nom, ou son adresse).
Or, ici, il n'est pas indiqué que ces informations annexes ont fuitées.
Le 16 août à 18h17
Le 17 août à 09h17
Je penses qu'on peut considérer que la source n'est pas fiable. ^^
D'ailleurs, si Next pouvait faire un petit dev pour signaler d'un petit tag "site IA" les liens mis vers de tels site en se basant sur la liste de l'extension, ça serait vachement bien. (Mais j'imagine que vous êtes déjà bien occupés par ailleurs.) 😊
Le 16 août à 17h21
Cela dit, les entreprises individuelles peuvent aussi demander à bloquer la diffusion des données les concernant (vu que la raison sociale d'une EI c'est "Nom Prénom EI") réduisant les infos publiques au SIREN/SIRET + ville et CP. Cette extraction aurait plus de sens ici.
Le 16 août à 02h32
Le 16 août à 08h54
La prison n'est pas dissuasive, et la prison ferme ne l'est pas plus que le sursis ...
Le 16 août à 12h11
Le 16 août à 22h57
Bien évidemment, la surpopulation carcérale n'arrange rien.
Un véritable cancer.
Le 17 août à 06h54
https://www.liberation.fr/societe/1999/05/08/la-moto-qui-depasse-les-bornespolemique-sur-la-derniere-suzuki-elle-atteint-les-340-kmh_272427/
Alors forcément, quand on sanctionne ainsi des choses sans conséquence autre qu'avoir affolé temporairement un radar (le type s'était même arrêté devant des gendarmes surpris qu'il le fasse, ce qui devient d'ailleurs plus rare de nos jours, faut dire que les sanctions de ce type d'excès rattrapent le fait de faire semblant de ne pas voir le comité d’accueil) les prisons peuvent être pleines.
Le 16 août à 08h48
Tous les échanges dans la messagerie sécurisée du compte du contribuable sont aussi concernés. Ils ont publiés des éléments sur un compte X créé par le ou les pirates
Le 16 août à 09h59
Le 16 août à 18h11
Le 16 août à 10h41
La DGFIP a fait quoi pendant 6 mois pour sécuriser le système ?
Le 16 août à 12h21
Le 16 août à 12h44
Le 16 août à 21h49
Modifié le 16 août à 14h14
https://frenchbreaches.com/blog/dgfip-intermarche-eva-handball-zerobytes-sort-du-silence-apres-une-serie-de-piratages-en-france
« il faut que les gens se réveillent et voient à quel point la France est un sketch. »
Ca, c'est dit! Et encore bravo a un ministère ayant pourtant tous les droits (dépassant de loin un créancier privé).
Modifié le 17 août à 11h02
Le 16 août à 15h25
L'INSECURITE augmente !!!
Tout ça pour des données qui d'après ce que je comprends n'ont pas grand intérêt…
Le 16 août à 15h34
Le 16 août à 15h39
(je pense toutefois que ces données ont de valeurs)
Le 16 août à 23h08
Combien de personnes vont recevoir un phishing demain se faisant passer pour la DGFIP, avec le taux et le montant de l'impôt exact, demandant un RIB pour un trop perçu par exemple? Ou pire, quelqu'un appelant en se faisant passer pour un agent.
La fraude aux faux conseillers bancaires a bien fonctionné au point qu'on doit cliquer 3x sur le fait qu'on n'est pas au téléphone avec quelqu'un au moindre virement maintenant.
Combien de personne vont être ciblées car leur revenu et leur adresse sont connus?
Les personnes touchant au delà d'un certain montant doivent être pendues en place publique à écouter certains. Ils ont tout ce qu'il faut pour mettre ces menaces à execution maintenant.
Non en effet, connaitre le détail des revenus des gens et toutes leurs coordonnées, cela n'a pas d'intérêt.
Le 16 août à 19h15
Le plus simple est de n'autoriser que du local où l'accès physique aux machines clientes ET serveurs, est contrôlé, avec une authentication forte (type biométrique) . Et comme la confiance n'exclu pas le contrôle, des audits y compris randoms adaptés.
C'est sur qu'il faudra peut être réinternaliser ce qui avait été externaliser (comprendre transformer de la masse salariale en contrat et facture, ce qui d'un point de vue financier est déjà très discutable). Mais je suis certain que l'objectif de sécurisation des données publiques sera sur une meilleure voie.
Le 16 août à 20h06
Le 17 août à 06h31
Le 17 août à 07h31
Le 17 août à 10h52
Le 17 août à 17h22
C'est aussi à nous, citoyens électeurs, de sensibiliser nos candidats 27' sur le sujet. Celui qui en fera au moins une voie qui plus est médiatisée aura ma voix si cela n'est pas sans issue bien sûr.
Le 17 août à 17h06
Le 18 août à 08h03
Le 18 août à 10h04
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?