DGFiP : 678 000 Personnes Touchées par une Cyberattaque Massive

La vague de cyberattaques qui secoue les services publics et les entreprises privées franchit un nouveau cap avec l’exposition d’informations fiscales sensibles. En France, les violations massives de données se multiplient au point que les autorités et les cabinets spécialisés documentent une tendance lourde. Selon une étude menée par l’entreprise de cybersécurité Anozrway et relayée dans Les Échos, le pays a hérité de la position de pays européen le plus touché par ces incidents au cours de l’année précédente, avec notamment des millions de numéros de téléphone et d’adresses postales revendus sur le darknet.

Cette pression sur la sécurité numérique s’accompagne d’une vigilance accrue des autorités de régulation. Dans son rapport annuel publié en avril, la Commission nationale de l’informatique et des libertés (CNIL) constatait une progression de 20 % des notifications de violations de données personnelles pour l’année 2024, après une hausse de 14 % enregistrée l’année précédente. Le régulateur s’alarme particulièrement de la recrudescence des attaques de grande ampleur ciblant plus d’un million de personnes à la fois.

Les données compromises au sein de l’administration fiscale

Le piratage qui touche spécifiquement la Direction générale des Finances publiques (DGFiP) expose des informations d’ordre personnel et professionnel de premier plan. D’après les informations publiées par l’administration fiscale, 678 000 particuliers et professionnels se trouvent concernés par cette fuite.

Pour les particuliers, les éléments consultés et extraits par les pirates comprennent l’identifiant fiscal, l’état civil, ainsi que les coordonnées postales, téléphoniques et électroniques. L’attaque englobe également la situation de famille, le nombre de personnes à charge, le nombre de parts, le revenu fiscal de référence, le taux de prélèvement à la source et la liste des messages échangés avec les services via la messagerie de la plateforme officielle. En ce qui concerne les professionnels, la violation touche la raison sociale et le numéro SIREN, tandis que certaines données cadastrales telles que l’adresse et la surface de biens immobiliers ont aussi été extraites.

L’administration se veut toutefois rassurante sur un point précis : les espaces personnels des particuliers et des professionnels n’ont pas été compromis. Les identifiants, les mots de passe, ainsi que les déclarations et les avis d’impôt demeurent hors d’atteinte des malfaiteurs.

Une enquête ouverte et l’absence d’outil de vérification officiel

Face à l’ampleur de l’incident, le parquet de Paris a ouvert une enquête. Les investigations ont été confiées conjointement à l’Office anticybercriminalité (Ofac) et à la section cybercriminalité du parquet. Leurs travaux doivent permettre d’identifier les auteurs de l’intrusion et de comprendre comment ils sont parvenus à s’introduire dans les systèmes de l’administration.

Pour l’heure, aucun dispositif numérique institutionnel ne permet aux usagers de vérifier par eux-mêmes leur statut. Il n’existe aucun outil officiel permettant de saisir votre numéro fiscal, votre adresse e-mail ou une autre information personnelle pour vérifier si vous faites partie des 678 000 personnes touchées. Les services de l’État procèdent donc au cas par cas. L’administration fiscale a depuis commencé à informer individuellement les personnes concernées et a publié le courriel qui leur est adressé.

Ce message officiel, dont l’objet est Consultation illégitime de vos informations fiscales, précise exactement les données qui ont pu être consultées ou extraites. Pour les citoyens qui tentent d’utiliser des plateformes indépendantes de vérification, les résultats s’avèrent limités. Le service de référence Have I Been Pwned ne référence pas encore les données dérobées à la DGFiP, ce qui signifie qu’une réponse négative de cet outil n’offre aucune garantie.

Le piège des campagnes d’hameçonnage opportunistes

La diffusion progressive des notifications individuelles fait craindre l’émergence rapide de messages frauduleux. Des individus mal intentionnés cherchent à exploiter la psychose ambiante en envoyant de faux courriels ou SMS aux contribuables. Ces communications usurpent l’identité des services fiscaux pour prétendre que le destinataire a été piraté, avant de l’inciter à cliquer sur un lien malveillant sous prétexte de sécuriser son compte.

Les autorités rappellent des règles strictes pour écarter tout risque d’escroquerie. La DGFiP ne vous demandera jamais de communiquer votre mot de passe ou vos coordonnées bancaires pour savoir si vous êtes concerné par cette fuite. La vigilance doit porter sur l’adresse de l’expéditeur, dont la partie située à droite doit impérativement correspondre au domaine officiel. En cas de doute, il est conseillé de ne suivre aucun lien contenu dans un message reçu, mais de se rendre de sa propre initiative sur le portail officiel depuis un navigateur web.