Si les mois précédents avaient déjà ébranlé la cybersécurité française – ANTS, Tchap, Pulsy – la période août-septembre 2026 marque une nouvelle escalade d'une gravité sans précédent. C'est désormais le cœur fiscal de l'État qui est touché : la Direction générale des Finances publiques (DGFiP) a confirmé le 13 août le vol de données de 678 000 contribuables par le cybercriminel ZeroBytes – revenus fiscaux de référence, quotients familiaux, taux de prélèvement à la source. Des données que l'on ne peut pas changer comme un mot de passe. En parallèle, une vague sans précédent frappe les services de secours français : 14 SDIS de pompiers ont été compromis entre juillet et fin août. L'Éducation nationale voit 43 Go de données partir. Et Aroma-Zone est victime d'une attaque via son prestataire. La rentrée 2026 confirme ce que l'on pressent depuis janvier : la cybermenace en France est désormais systémique, permanente, et touche les institutions les plus sensibles de la République.
Le piratage de la DGFiP : vos données fiscales entre les mains d'un cybercriminel
Chronologie de l'affaire
Qu'est-ce qui a fuité exactement ?
Selon l'analyse des fichiers par FrenchBreaches et la confirmation partielle de Bercy, les données volées pour les particuliers comprennent : nom, prénoms, date et lieu de naissance, adresse postale, situation familiale, nombre de parts fiscales, revenu fiscal de référence et taux de prélèvement à la source. Pour les professionnels, des données d'entreprise sont également incluses.
Ce cocktail est particulièrement dangereux pour une raison simple : ces données ne se changent pas comme un mot de passe. Votre revenu fiscal de référence, votre quotient familial, votre situation maritale – ces informations resteront valides et exploitables pendant des années. Elles permettent de construire des arnaques d'une précision redoutable : faux conseillers fiscaux, faux agents du fisc, fausses demandes de remboursement trop-perçu ou fausses mises en demeure, le tout avec vos vraies données financières pour crédibiliser le message.
Point crucial que Bercy a tenu à souligner : le site impots.gouv.fr et vos espaces personnels/professionnels n'ont pas été compromis. Vos mots de passe de connexion aux impôts ne figurent pas dans la fuite. L'intrusion a exploité un outil interne d'agent, pas votre espace en ligne. Changer votre mot de passe impôts.gouv.fr ne vous protégera pas des arnaques qui exploiteront vos données fiscales volées – la vigilance face aux messages entrants est la seule parade.
La DGFiP contacte individuellement les 678 000 victimes par e-mail à partir du 17 août. Ce message officiel ne vous demandera jamais de cliquer sur un lien, de vous connecter à un site, ni de fournir des informations personnelles ou bancaires. Méfiez-vous des faux e-mails imitant cette notification – les cybercriminels exploitent déjà l'actualité pour envoyer des messages frauduleux prétendant venir de la DGFiP. Aucun site ne vous permet de vérifier si vous êtes concerné : tout site qui le propose est une arnaque. Seule la notification directe de la DGFiP fait foi.
La méthode ZeroBytes : toujours des identifiants volés, jamais une faille technique
Comme pour Tchap en juin, comme pour l'ANTS en avril, la compromission de la DGFiP ne repose sur aucun exploit technique sophistiqué. L'attaquant s'est connecté avec les identifiants légitimes d'un agent, obtenus par credential stuffing ou achetés sur le dark web à partir d'une fuite antérieure. Résultat : les systèmes de détection d'intrusion n'ont rien signalé – un accès avec des identifiants valides ressemble en tous points à un accès légitime. C'est ce qu'on appelle une attaque « Living off the Land » : utiliser les outils et accès de la maison pour piller la maison.
Ce schéma répété – identifiant compromis, accès légitime, exfiltration discrète, détection tardive – a une implication directe pour chaque citoyen : tant que les organisations n'auront pas généralisé le MFA (authentification multifacteur) sur l'ensemble de leurs accès internes, un seul mot de passe volé suffira à ouvrir des portes. La recommandation de la CNIL et l'engagement du plan à 200M€ annoncé en avril vont dans ce sens – mais leur déploiement prendra du temps.
14 SDIS de pompiers piratés : les services de secours dans le viseur
Entre fin juillet et fin août 2026, une vague de piratages sans précédent a frappé les Services Départementaux d'Incendie et de Secours (SDIS) français. 14 SDIS ont été compromis, selon le bilan établi par FrenchBreaches au 11 septembre. Les premières publications, attribuées aux hackers ChimeraZ, Cybernox et AplaGroup, ont ciblé dès le 24 juillet les SDIS des Landes, de la Marne, des Alpes-Maritimes, des Alpes-de-Haute-Provence et de l'Aisne. La vague s'est intensifiée lors du dernier week-end d'août avec de nouvelles compromissions visant les SDIS du Gard (30), des Bouches-du-Rhône (13), de la Moselle (57), des Vosges (88), du Bas-Rhin (67), de la Somme (80) et de l'Essonne (91).
Les données exposées comprennent des annuaires internes de personnels, des coordonnées professionnelles, des matricules, des grades, des centres de secours de rattachement, des formations et fonctions, ainsi que des historiques de connexion. Le volume total revendiqué dépasse 930 000 personnes, dont environ 18 000 profils confirmés par analyse des fichiers publiés. La section de lutte contre la cybercriminalité du parquet de Paris a été saisie d'une enquête. Ces attaques n'ont eu aucune incidence sur les opérations de secours elles-mêmes.
La sensibilité de ces données va au-delà de la simple fuite d'annuaire. Les grades, fonctions et rattachements géographiques d'agents de secours constituent des informations exploitables pour des arnaques ciblées – et dans les cas les plus graves, pour identifier des personnels dont la localisation ou les fonctions pourraient présenter un intérêt pour des acteurs malveillants. Le SDIS de Moselle est le plus touché en volume avec 6 434 personnes exposées dans un seul fichier.
La combinaison de la fuite DGFiP (données fiscales réelles) et de la rentrée scolaire/administrative crée un terrain idéal pour les arnaques. Attendez-vous à recevoir des messages frauduleux imitant : la DGFiP (remboursement de trop-perçu, mise en demeure), les impôts locaux (taxe d'habitation, taxe foncière), les services de secours (fausses collectes pour les SDIS), ou des organismes scolaires. Dans tous les cas : ne cliquez jamais sur un lien reçu par message – accédez toujours directement aux sites officiels depuis votre navigateur.
Les autres incidents marquants d'août-septembre 2026
Zerobytes s'attaque à l'Éducation nationale : 43 Go de données
Le même cybercriminel ZeroBytes a également revendiqué en août une attaque visant le ministère de l'Éducation nationale, avec 43 Go d'informations volées. Le contenu précis de ces données n'a pas été intégralement divulgué, mais le volume suggère des bases administratives complètes pouvant concerner des personnels et potentiellement des données d'élèves. Cette attaque, non encore confirmée officiellement par le ministère à la date de publication, vient s'ajouter aux compromissions ÉduConnect d'avril 2026 pour constituer un tableau inquiétant de la sécurité des systèmes d'information de l'Éducation nationale.
Aroma-Zone : victime collatérale via son prestataire Shipup
Le 8 septembre 2026, Aroma-Zone a informé certains de ses clients d'une violation de données les concernant, consécutive à une cyberattaque ayant touché Shipup, son prestataire chargé du suivi des colis et de l'envoi des notifications de livraison. Les données potentiellement exposées comprennent les informations liées aux commandes et livraisons des clients affectés. Cet incident illustre une fois de plus la vulnérabilité de la chaîne d'approvisionnement logicielle : même si Aroma-Zone n'a pas été directement attaquée, ses clients sont exposés à travers un sous-traitant. La même logique avait frappé Mistral AI via l'écosystème npm/PyPI en mai.
Mairie du Tampon, ESAM Caen, SAD'S Intérim, FFT
La liste des victimes de rentrée continue de s'allonger. La Ville du Tampon à La Réunion a subi le 9 septembre une cyberattaque provoquant d'importantes perturbations dans ses services municipaux. L'ESAM Caen/Cherbourg (école supérieure d'arts et médias) a été victime d'un acte de cybermalveillance le 21 août via une faille sur son infrastructure d'hébergement. SAD'S Intérim, réseau d'agences d'emploi, a été revendiqué par le groupe ransomware Rhysida. La Fédération Française de Tennis (FFT) a subi une nouvelle fuite ciblant son écosystème numérique. Ces incidents illustrent que la menace se distribue sur tous les secteurs simultanément – PME, collectivités, associations, grandes entreprises et services publics sont frappés en parallèle sans aucune logique sectorielle.
En neuf mois, plus de 550 fuites de données ont été documentées en France, selon le recensement mis à jour par les plateformes spécialisées. La cadence n'a pas faibli pendant l'été – elle s'est accélérée, avec une particularité notable : les cibles sont de plus en plus régaliennes et sensibles. ANTS (identité), DGFiP (finances), SDIS (sécurité civile), Éducation nationale, Tchap (communications d'État)… Ce ne sont plus seulement des données de consommation qui circulent sur le dark web – ce sont les fondements administratifs de l'État français.
Ce que les données fiscales exposées permettent concrètement aux cybercriminels
Pour comprendre pourquoi la fuite DGFiP est particulièrement grave, il faut saisir ce que représente chaque donnée exposée dans la pratique criminelle. Le revenu fiscal de référence permet à un escroc de calibrer précisément le montant d'une fausse demande de remboursement ou d'une fausse mise en demeure – trop vague pour être crédible, trop précis pour paraître inventé. Le taux de prélèvement à la source est une information que peu de personnes connaissent par cœur, mais que tout le monde peut vérifier sur sa fiche de paie – un message frauduleux qui mentionne votre vrai taux crédibilise instantanément son expéditeur supposé. La situation familiale et le nombre de parts permettent de personnaliser des arnaques autour de la garde d'enfants, des aides familiales ou de la déclaration commune.
Combinées aux données des fuites précédentes – état civil ANTS, données médicales Pulsy, habitudes de consommation Florajet/Mondial Relay – les données fiscales DGFiP permettent de dresser le portrait financier complet d'un contribuable. C'est le matériau idéal pour des tentatives d'usurpation d'identité financière : ouverture de crédit frauduleux, souscription de contrats d'assurance, dossiers de location falsifiés.
Actions prioritaires : que faire si vous êtes potentiellement concerné
- Si vous recevez un e-mail de la DGFiP vous notifiant de la fuite : lisez-le attentivement mais ne cliquez sur aucun lien qu'il contiendrait. Connectez-vous directement à votre espace impots.gouv.fr depuis votre navigateur en tapant l'adresse vous-même pour vérifier vos données. La DGFiP n'exigera aucune action de votre part via cet e-mail – méfiez-vous de tout message qui le ferait.
- Renforcez immédiatement votre mot de passe impots.gouv.fr – non parce qu'il a fuité (l'espace en ligne n'a pas été compromis), mais parce que des arnaques vont tenter de vous convaincre de le « réinitialiser d'urgence » via de faux liens. Un mot de passe fort et unique généré via notre générateur de mot de passe sécurisé vous protège contre ces tentatives si vous ne cliquez pas sur des liens suspects.
- Activez la 2FA sur impots.gouv.fr et FranceConnect : FranceConnect propose désormais une authentification à double facteur. Activez-la immédiatement – c'est la meilleure protection contre une prise de contrôle de votre espace fiscal même si un attaquant connaît votre identifiant. Notre guide 2FA vs Passkeys en 2026.
- Surveillez vos relevés bancaires et vos communications fiscales : en cas de prélèvement non reconnu ou de communication officielle inattendue des impôts, vérifiez directement sur votre espace impôts avant de réagir. Signalez toute tentative d'arnaque au 33700 (SMS), sur Pharos (sites frauduleux) ou sur 17Cyber.gouv.fr (assistance personnalisée).
- Vérifiez toutes vos adresses e-mail sur Have I Been Pwned : avec 550+ fuites documentées, vos identifiants ont très probablement été exposés quelque part. Sur haveibeenpwned.com, activez les alertes automatiques. Notre guide complet vous accompagne.
- Si vous utilisez Aroma-Zone : vérifiez vos e-mails pour une notification de leur part concernant la compromission de Shipup. Changez votre mot de passe sur le site si vous en avez un et qu'il est réutilisé ailleurs – c'est le reflexe systématique après toute notification de fuite d'un prestataire.
- Ne faites jamais confiance à un message qui mentionne vos données fiscales réelles : paradoxalement, le fait qu'un message mentionne votre revenu fiscal exact ou votre quotient familial précis n'est plus une preuve de légitimité – c'est désormais une information accessible aux cybercriminels. Seul un accès direct à votre espace officiel sur impots.gouv.fr permet de valider une information fiscale.
Conclusion : septembre 2026, la cybermenace atteint le cœur de l'État – l'hygiène numérique individuelle n'a jamais été aussi essentielle
ANTS, Tchap, DGFiP, SDIS, Éducation nationale : en moins d'un an, tous les piliers administratifs de la République française ont été touchés à des degrés divers. L'État investit – 200 millions d'euros annoncés en avril, plan de modernisation accéléré après la DGFiP – mais les résultats de ces investissements prendront des mois, voire des années, à se matérialiser en sécurité réelle pour les citoyens.
Dans l'intervalle, votre protection dépend de vous. Mots de passe uniques et forts, 2FA activée partout, gestionnaire de mots de passe, et vigilance permanente face aux messages inattendus : ces quatre habitudes constituent un bouclier personnel efficace contre la quasi-totalité des attaques documentées en 2026. Aucune d'elles ne demande des compétences techniques particulières – seulement quelques minutes d'effort initial et de la constance.
Commencez maintenant : générez un mot de passe fort pour votre espace impôts avec notre générateur de mot de passe sécurisé, activez la 2FA sur FranceConnect, et vérifiez vos adresses e-mail sur Have I Been Pwned. C'est peu – mais c'est ce qui fait la différence.