Une faille dans le marquage : quand l'usurpation ouvre le score

L'intrusion subie par la DGFiP n'est pas une simple erreur tactique, c'est un counterattack dévastateur qui a pris de court les défenses de Bercy. La première offensive, survenue fin juin 2026, a ciblé le portail impots.gouv.fr via une méthode aussi classique qu'efficace : l'usurpation d'identité. Le cybercriminel opérant sous le pseudonyme « ZeroBytes » a réussi à s'emparer des accès d'un VPN utilisé par les agents du fisc, un réseau privé virtuel censé garantir une connexion sécurisée vers les outils internes.

Ce détournement de protocole a permis au groupe d'aspirer près de 680 000 lignes de données avant que l'administration ne parvienne à couper la connexion. Ce n'est pas un raid éclair, mais une occupation méthodique qui a transformé le système d'information fiscal en une proie facile. Pour les attaquants, le calcul est simple : ces données se revendent facilement et font parler sur les forums spécialisés.

Le contournement de l'authentification : une défense sans filet

A seconde attaque, perpétrée fin juillet 2026, a prouvé que la menace ne s'arrêtait pas au portail des usagers. Cette fois, la cible était le serveur professionnel de données cadastrales (SPDC). Ici, l'offensive a fait preuve d'une technicité accrue : « ZeroBytes » affirme avoir contourné l'authentification multifacteur, ce système de double vérification qui constitue pourtant une couche de defense-in-depth essentielle.

Le hacker, opérant en binôme avec une motivation purement financière, a ciblé les données de titulaires de parcelles cadastrales. Selon ses déclarations, l'accès aurait permis d'identifier plus de deux millions de propriétaires. Ce passage réussi à travers les couches de sécurité montre que même un système doté de protocoles de vérification peut être mis en échec si la couche d'authentification est mal isolée ou vulnérable à une manipulation de session.

L'hémorragie des données : un inventaire critique

Le bilan de ces exfiltrations est sans appel et expose les contribuables à un risque de phishing chirurgical. Les fichiers récupérés ne sont pas de simples listes de noms, mais de véritables dossiers d'identité fiscale. Le contenu inclut l'état civil, le revenu fiscal de référence, la situation familiale (incluant le nom du conjoint) et même le taux de prélèvement à la source.

• Données fiscales : Revenus, quotients familiaux et taux d'imposition.
• Données cadastrales : Identité et adresse des titulaires de droits sur des parcelles.
• Impact quantitatif : Près de 393 000 particuliers et 285 000 professionnels potentiellement touchés lors de la première vague.

Comme le souligne l'expert Clément Domingo, alias Saxx, certaines de ces informations sont désormais irrémédiablement compromises. Une fois sur le darknet, ces données ne peuvent plus être supprimées, créant un risque permanent d'usurpation d'identité pour les victimes.

Vers une nécessaire refonte de la doctrine de défense

Cette série noire - qui inclut déjà des fuites au Fichier national des comptes bancaires (Ficoba) ou à France Titres - révèle une dette technique accumulée par l'État. Un environnement cloud hybride, où chaque couche agit comme un joueur de défense en équipe, semble manquer de coordination dans les infrastructures critiques françaises.

La réaction de la DGFiP, bien que confirmée après la mise en vente des données, souligne une latence entre l'intrusion et la notification officielle. Pour éviter que ces attaques ne se transforment systématiquement en armes de guerre contre le patrimoine des citoyens, la mise à jour des doctrines de cybersécurité doit être immédiate. Le passage d'une posture réactive à une détection proactive des signaux faibles est la seule issue pour protéger l'intégrité de nos données publiques.