ZeroBytes met en vente des données de l’administration fiscale française : la fuite DGFiP confirmée à 678 000 personnes touchées
Le 12 août 2026, un acteur de la menace opérant sous le pseudo ZeroBytes a publié un listing sur le forum de hacking PwnForums, proposant à la vente une base de données prétendument volée à la Direction générale des Finances publiques (DGFiP) française, l’agence qui gère l’administration fiscale du pays. Le vendeur revendiquait un accès à l’infrastructure DGFiP depuis fin juin, obtenu via des identifiants volés combinés à un contournement de l’authentification à deux facteurs, et offrait à la fois un dump statique et ce qu’il décrivait comme un accès toujours actif aux systèmes fiscaux français. Quelques jours plus tard, le ministère français de l’Économie et des Finances a confirmé un accès illégitime aux systèmes d’information de la DGFiP affectant environ 678 000 personnes et organisations.
Ce que le ministère a confirmé
La déclaration officielle est plus mesurée que le post du forum, et l’écart entre les deux mérite de rester en vue. Selon le ministère, les données compromises couvrent les informations de revenus, la composition familiale, les taux de prélèvement, les noms d’entreprises et les numéros d’enregistrement SIREN, les adresses cadastrales et les surfaces des propriétés. Point crucial : le gouvernement a souligné que les comptes en ligne des utilisateurs n’étaient pas affectés et qu’aucun nom d’utilisateur ni mot de passe de contribuables particuliers ou professionnels n’a été volé. Dès que l’accès illégitime a été identifié, la DGFiP a restreint l’accès à ses systèmes d’information sensibles et lancé une investigation aux côtés de l’ANSSI, l’agence nationale de la cybersécurité française. La CNIL a été notifiée, et les notifications aux victimes partent par e-mail et par courrier, précisant quelles catégories de données ont pu être consultées et quelles précautions les destinataires devraient prendre. La DGFiP a aussi déposé plainte. Les revendications du vendeur, non vérifiées
ZeroBytes raconte une histoire plus grande que celle du ministère. Dans ses posts du forum, il affirme avoir atteint le Serveur Professionnel de Données Cadastrales (SPDC), le portail professionnel donnant accès au cadastre centralisé français, et dit que ce portail détenait des enregistrements couvrant environ 20 millions de citoyens. Il déclare avoir extrait 252 149 enregistrements touchant plus de deux millions de personnes avant d’abandonner le scraping complet comme impraticablement lent, et qu’au moment du post il était encore connecté au panneau et prêt à vendre cet accès avec le dump (ZATAZ). Aucun de ces chiffres n’a été vérifié indépendamment, et ils doivent être traités comme du marketing jusqu’à ce que la forensique dise autrement. Le chiffre qui pèse officiellement est 678 000. La discrépance compte concrètement. Si l’exposition réelle se mesurait en millions plutôt qu’en centaines de milliers, les volumes de notification et le risque de phishing monteraient en conséquence. Mais les vendeurs underground gonflent routinièrement la portée pour faire monter les prix, et une revendication d’accès actif ne peut être testée par des extérieurs. Elle se heurte au récit de l’agence : chaque compte compromis a été coupé dès la détection, avec des contrôles d’accès supplémentaires imposés depuis. Pourquoi les données fiscales se vendent
Les dossiers fiscaux comptent parmi les ensembles de données les plus dangereux pouvant circuler sur les marchés criminels, précisément à cause de leur allure ordinaire. Un nom associé au revenu imposable de référence, à la composition familiale et à un taux de prélèvement exact permet à un fraudeur d’usurper l’administration fiscale avec une crédibilité dévastatrice. Un appel ou un e-mail citant votre vraie tranche de revenus et votre vrai taux de prélèvement à la source ne sonne pas comme du phishing ; il sonne comme Bercy. Pour les entreprises, noms d’entreprises plus numéros SIREN permettent la fraude à la facture et des appels convaincants visant les équipes paie et comptes fournisseurs. Les adresses cadastrales et les surfaces ajoutent une dimension physique : qui possède des biens importants ou de valeur, et où ces personnes vivent. C’est la même dynamique que nous avions notée quand des dossiers du bureau de crédit allemand ont fait surface sur un forum underground plus tôt cet été ; voir notre couverture de la prétendue vente de la base SCHUFA. Les ensembles de données financières et administratives à l’échelle nationale sont devenus des marchandises premium sur les marchés de langue européenne, et les institutions d’État sont désormais des cibles régulières plutôt que des exceptions. Un acteur en série à la méthode familière
ZeroBytes n’est pas un nouveau venu. Des reportages de médias français et russes relient le même alias à une série d’intrusions en 2026 contre des organisations françaises, dont une chaîne de supermarchés, une plateforme de jeu et une fédération sportive, toutes suivant un playbook cohérent : voler des identifiants appartenant à un employé ou un tiers autorisé, se connecter à un outil de requête interne via un VPN, puis extraire les données enregistrement par enregistrement pour rester sous les seuils de détection conçus pour attraper les téléchargements de masse (FrenchBreaches). La couverture russophone résume l’affaire pour un public plus large (Xakep), tandis que les reportages anglophones confirment le chiffre de 678 000 et les revendications SPDC (BleepingComputer). La méthode met en lumière une faiblesse structurelle partagée par nombre de grandes administrations : les outils de recherche internes bâtis pour un travail administratif légitime deviennent des moteurs d’extraction efficaces dès que leur seul contrôle est un login. L’exfiltration requête par requête bat l’alerting par volume presque par conception. Quoi surveiller
Trois choses façonneront la suite de cette histoire. Un : l’investigation de l’ANSSI révisera-t-elle le chiffre de 678 000 à la hausse à mesure que la forensique progresse, ou validera-t-elle le récit SPDC plus large du vendeur ? Deux : une partie du dump fera-t-elle surface publiquement, ce qui ferait passer l’incident d’une vente contrôlée à l’abus en saison ouverte ? Trois : à quelle conclusion la CNIL arrivera-t-elle sur la chronologie entre l’intrusion de fin juin et la divulgation, étant donné que les horloges de notification de violation du RGPD démarrent à la prise de connaissance du breach lui-même, pas à la confirmation que les données sont parties ? Pour toute personne notifiée, le conseil pratique est inchangé : traiter e-mails, appels et courriers à thème fiscal avec une suspicion accrue, vérifier toute demande de façon indépendante via les canaux officiels, et ne jamais agir sur des changements de paiement ou de coordonnées bancaires provoqués par un contact non sollicité. Une telle base de données n’a pas besoin d’être revendue pour nuire ; une copie entre de mauvaises mains suffit à alimenter une saison de phishing très convaincante.
