Piratage des impôts 2026 : ZeroBytes, la fuite DGFiP et la leçon pour une PME

Le 12 août 2026, un acteur se présentant sous le nom ZeroBytes revendique une intrusion dans les systèmes de la Direction générale des Finances publiques. Dès le lendemain, Bercy confirme l’incident : consultation et extraction de données de particuliers et de professionnels. C’est le piratage des impôts 2026 dont parlent désormais les dirigeants — et ce n’est pas un sujet réservé à l’État.

Ce qui est confirmé sur la fuite de données DGFiP

Selon les éléments publics de l’administration fiscale (communiqués et conférence de presse de mi-août 2026, relayés notamment par Numerama et l’AFP) :

• l’intrusion s’est produite entre fin juin et juillet 2026, via l’usurpation d’identifiants d’un agent — un mode déjà observé plus tôt dans l’année sur d’autres fichiers fiscaux ;
• le volume retenu par la DGFiP est d’environ 678 000 particuliers et professionnels ;
• pour les particuliers, les données citées comprennent notamment identité, quotient familial, revenu fiscal de référence et taux de prélèvement à la source ;
• la DGFiP a indiqué avoir bloqué des comptes suspects en juin et juillet, mais n’avoir compris l’exfiltration que le 12 août, après une alerte de l’ANSSI et la revendication ;
• les personnes concernées ont commencé à être informées individuellement à partir du 17 août 2026 ;
• une enquête a été ouverte à Paris notamment pour extraction frauduleuse de données.

La presse a aussi rapporté une seconde extraction (comptes cadastraux, ordre de grandeur 200 000) reconnue à la mi-août. Nous la mentionnons comme fait administratif public, sans y ajouter de détail nominatif.

Ce que ZeroBytes revendique — et ce qui reste une affirmation

ZeroBytes se présente comme un duo français et affirme, via des interviews et des publications, avoir vendu tout ou partie des fichiers. Cette vente n’est pas un fait établi par l’administration : c’est une revendication, impossible à vérifier depuis l’extérieur. De même, les volumes « à la ligne » publiés par des relais spécialisés avant le chiffre officiel de la DGFiP restent des allégations d’attaquant.

Le même pseudonyme a ensuite été associé, dans la presse, à d’autres dossiers (Éducation nationale, opérateurs). L’attribution n’est officielle que lorsque l’organisme visé la reprend. Pour le fisc, le lien public est la revendication du 12 août et la confirmation ministérielle de l’intrusion — pas une expertise judiciaire publiée.

Leçon pour une PME

Le mécanisme n’est pas « un ministère mal protégé ». C’est un compte légitime trop puissant, une détection trop tardive de l’exfiltration, et des données fiscales assez riches pour alimenter du phishing ciblé (« votre avis d’impôt », « régularisation de prélèvement »). Une PME qui stocke des pièces d’identité, des RIB ou des liasses fiscales chez un expert-comptable, dans un drive ou dans un ERP est exposée au même scénario, à une autre échelle.

• inventorier qui peut extraire un fichier client ou paie en masse ;
• imposer le MFA sur ces comptes et journaliser les exports ;
• prévoir comment vous préviendrez vos clients si un prestataire fuit — pas seulement si « votre » serveur tombe.

C’est exactement ce qu’un audit cybersécurité PME doit objectiver, avant un test d’intrusion sur l’applicatif exposé.

Sources

Éléments publics : communiqués et points de Bercy / DGFiP (août 2026), synthèse Numerama sur les signalements individuels, dépêches AFP reprises par la presse quotidienne. Nous ne reproduisons aucun extrait de fichier et aucun nom de victime.