La Direction générale des Finances publiques continue de mettre en lumière les contours de la cyberattaque qui a touché le site des impôts. Lors d’un nouveau point presse, auquel 01net a pu participer, l’administration fiscale révèle que ce sont 350 000 particuliers dont les données ont été compromises. Jusqu’ici, le fisc avait toujours mis en avant le chiffre de 678 000 victimes. Celui-ci comprend donc énormément d’entreprises.
À lire aussi : « Ce n’était que le début » – les hackers du fisc affirment avoir déjà revendu les données de 678 000 Français
La liste des données volées
Amélie Verdier, la directrice générale des Finances publiques, est aussi revenue sur la liste des données qui ont été siphonnées par les cybercriminels. Les informations comprennent l’identifiant fiscal, l’état civil, les coordonnées complètes, « la situation fiscale (c’est-à-dire le nombre de parts, le nombre de personnes à charge), revenu fiscal de référence, taux de prélèvement à la source et la liste des messages échangés avec la DGFiP par la
messagerie impots.gouv ».
Pour la première fois, on apprend donc que les hackers ont pu mettre la main sur les échanges des contribuables avec des agents de l’administration fiscale. Là encore, ce sont des informations précieuses et très utiles pour les pirates désireux d’orchestrer des arnaques. Le hacker a « pu avoir accès à des listes de messages et dans un nombre très réduit de cas, moins de 250, il a pu avoir accès à des messages ». La directrice générale ajoute que l’attaquant a eu « accès à un journal d’échange de nos messages, mais il n’a pas pu interagir dans la messagerie ». Les investigations sont toujours en cours sur ce point.
Par contre, « le mot de passe d’accès à l’espace finances publiques sur impots.gouv » n’a pas été compromis. De facto, l’attaquant n’a pas « pu avoir accès aux déclarations ou avis d’impôt ». Pour la seconde fois, l’administration a présenté ses « excuses les plus sincères aux personnes concernées ».
À lire aussi : attention, les arnaqueurs pourraient bientôt vous contacter au sujet du piratage des impôts
Un mail d’avertissement avec une étrange incohérence
Dans la foulée, la Direction générale des Finances publiques a partagé un exemple du mail qui sera envoyé à toutes les victimes dans le courant de la semaine, et depuis le lundi 17 septembre 2026. Le courriel commence par faire le point sur les risques engendrés par la fuite, et sur les mesures clés à prendre pour se protéger contre toute exploitation des données.
Comme l’ont remarqué plusieurs spécialistes de la cybersécurité sur X, le mail renferme une incohérence de taille. L’administration fiscale rappelle tout d’abord qu’elle ne demande jamais de cliquer sur un lien dans un mail et qu’aucune action urgente n’est requise à réception de ce message, pour éviter que des campagnes de phishing n’exploitent la confusion. Lors du point presse, la responsable a d’ailleurs souligné ce point à plusieurs reprises qu’il n’y a « jamais d’action à entreprendre directement à partir d’un mail » des impôts, et qu’on « ne demande jamais de cliquer sur un mail ».
« Nous ne vous envoyons jamais de liens sur lesquels cliquer et, plus généralement, aucune action n’est à réaliser en dehors de votre espace sécurisé », déclare l’administration.
Plus loin dans le mail, la Direction générale des Finances publiques se contredit… en partageant un lien vers la FAQ dédiée à l’incident de cybersécurité. Bonne nouvelle, l’administration s’est promptement rendue compte du problème. Le mail a été rapidement corrigé pour enlever la mention concernant les liens à cliquer. Le courriel contenant l’incohérence n’a pas été envoyé aux victimes.
Maj: le mail finalement envoyé par la DGFIP.
La version précédente (version provisoire, jamais envoyée) indiquait « nous ne vous envoyons jamais de liens sur lesquels cliquer », sauf qu’il y a un lien juste en-dessous. https://t.co/M0H1o2Jjex pic.twitter.com/KK5DrKkEtP
— Raphael Grably (@GrablyR) August 17, 2026
On regrettera malgré tout qu’une communication aussi sensible comprenne un lien sur lequel les victimes sont invitées à cliquer pour obtenir plus d’informations. Il s’agit en effet d’une tactique classique des cybercriminels spécialisés dans les attaques phishing. En dépit de ses efforts, l’administration va envoyer un mail avec une sérieuse incohérence en matière de cybersécurité. Par ailleurs, on peut redouter que des pirates ne se servent de l’exemple mis en ligne par l’administration pour réaliser des copies, dont le lien a été modifié. Souvenez-vous bien que le mail d’avertissement attendu proviendra exclusivement de l’adresse mail suivante : [email protected].
Un audit réalisé par l’Anssi
Face au tollé provoqué par la fuite de données, le gouvernement a annoncé une série de mesures. À la suite d’une cellule interministérielle de crise, le Premier ministre Sébastien Lecornu a demandé à l’Agence nationale de la sécurité des systèmes d’information (Anssi) de mener « audit approfondi pour établir précisément les circonstances et les causes » du piratage des impôts.
L’audit doit permettre de comprendre comment un vol de données d’une telle envergure a pu se passer. Pour rappel, les hackers de ZeroBytes, à l’origine de la cyberattaque, prétendent avoir obtenu un accès à un VPN utilisé par les agents du fisc. Au cours de la cellule de crise, Sébastien Lecornu a également demandé à ce que la sécurisation des systèmes d’information de l’État avance plus vite que prévu. Le dirigeant souhaite pouvoir colmater les diverses brèches techniques dans les systèmes de l’État dans les plus brefs délais, dans l’espoir d’éviter de nouvelles fuites.
48 jours entre l’attaque et l’annonce
Pour Marie-Agnès Poussier-Winsback, Vice-Présidente de l’Assemblée nationale et députée de Seine-Maritime, la « cellule de crise du 17 août est nécessaire mais insuffisante ». Dans un communiqué partagé avec 01net, elle estime aussi que les différents audits annoncés ne « constituent pas une réponse à la hauteur de la crise ». Elle souligne que « 48 jours se sont écoulés entre l’intrusion et l’annonce officielle ». L’administration fiscale rappelle que « le vol de données lui-même n’avait pas pu être identifié » au moment de l’intrusion. En clair, le fisc n’a compris que des informations ont été compromises que quand le pirate a mis en vente les données…
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
