DGFiP et Éducation nationale piratées : de nouvelles fuites de données confirmées
La DGFiP confirme trois fuites de données, tandis que l’Éducation nationale enquête sur une exfiltration touchant ses agents et peut-être des élèves.
La série noire continue pour les administrations françaises. La Direction générale des Finances publiques, ou DGFiP, confirme désormais trois fuites de données distinctes. Dans le même temps, le ministère de l’Éducation nationale reconnaît une exfiltration concernant potentiellement un nombre important de ses agents.
Le même pseudonyme, ZeroBytes, apparaît dans les revendications entourant les deux affaires. Cela ne suffit cependant pas à établir que les intrusions ont été réalisées par les mêmes personnes ou qu’elles reposent sur une infrastructure commune.
Les deux premières intrusions dans les systèmes de la DGFiP se seraient déroulées en juin et juillet 2026. Les attaquants auraient utilisé plusieurs comptes compromis, dont ceux d’un agent des impôts et d’un prestataire externe habilité.
Les accès suspects avaient bien été détectés et interrompus par les équipes de Bercy. En revanche, les premières investigations n’avaient pas permis d’identifier l’extraction des données. La DGFiP explique que l’attaquant aurait effectué des tests manuels avant d’automatiser ses consultations, tout en restant sous les seuils de détection.
La première fuite concerne la base contenant les échanges entre les agents des finances publiques et les usagers. Environ 350 000 particuliers et 250 000 professionnels seraient concernés.
Pour les particuliers, les informations exposées peuvent comprendre le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, il peut notamment s’agir de la raison sociale et du numéro SIREN.
Une deuxième extraction concerne les données cadastrales. Environ 433 000 personnes pourraient être touchées, parmi lesquelles des propriétaires, des acheteurs, des vendeurs, des notaires ou d’autres professionnels ayant effectué des déclarations liées à des parcelles.
Bercy précise qu’aucune de ces intrusions n’aurait permis d’accéder directement aux espaces fiscaux des contribuables, ni de récupérer leurs mots de passe.
L’attaquant aurait eu accès à un journal contenant les demandes effectuées sur le portail. Le nombre de personnes concernées et la nature précise des informations consultées n’ont pas encore été rendus publics.
Cette nouvelle découverte montre que le périmètre de l’incident n’est peut-être pas encore totalement établi.
La DGFiP commence à informer individuellement les particuliers concernés. Les professionnels doivent également recevoir une notification à partir de la semaine du 24 août.
Le ministère prévoit également de renforcer les quotas d’accès aux données, d’ajouter des mécanismes de détection sur les systèmes qui en sont encore dépourvus et d’intensifier la formation des agents face à l’hameçonnage.
Un audit mené avec l’ANSSI est également en cours. Ses conclusions sont attendues en septembre et doivent servir à identifier les faiblesses techniques ou organisationnelles ayant facilité les attaques.
Le système visé était utilisé pour gérer la formation des personnels. L’accès externe a été suspendu dès le lendemain, mais l’attaque a pu entraîner l’exfiltration d’informations concernant des agents ayant travaillé dans une académie depuis 2001.
Les données susceptibles d’avoir été volées comprennent des éléments d’identité, le statut, les fonctions professionnelles et, pour certaines personnes, une adresse postale, un numéro de téléphone ou un numéro de sécurité sociale.
D’après le ministère, ce système ne contenait pas de coordonnées bancaires, de mots de passe ou de données relatives aux élèves.
La situation a toutefois évolué après la publication, le 17 août, de fichiers présentés comme provenant de plusieurs environnements de l’Éducation nationale. L’attaquant revendique environ 43 Go de données et affirme détenir des informations sur des personnels, mais aussi sur des élèves et leurs représentants légaux.
Ces volumes et ce périmètre ne sont pas encore confirmés par le ministère. Les expertises se poursuivent pour déterminer si des données relatives aux élèves figurent réellement dans les fichiers publiés. Les représentants légaux devront être avertis individuellement si cette exposition est confirmée.
Le ministère a déposé plainte auprès du parquet de Paris et saisi la CNIL ainsi que l’ANSSI.
Un attaquant connaissant l’identité, l’établissement scolaire, la fonction professionnelle, la situation fiscale ou l’adresse d’une personne peut facilement se faire passer pour une administration. Il peut ensuite réclamer un paiement, demander une confirmation d’identité ou rediriger la victime vers une fausse page de connexion.
Les personnes potentiellement concernées doivent donc rester particulièrement prudentes face aux messages évoquant les impôts, un remboursement, une déclaration fiscale, une formation professionnelle, une inscription scolaire ou la rentrée.
La DGFiP et l’Éducation nationale ne demandent pas de transmettre un mot de passe ou des coordonnées bancaires par courriel, SMS ou téléphone.
Pour en savoir plus, vous pouvez consulter les informations publiées par Next sur les intrusions à la DGFiP, le communiqué du ministère de l’Éducation nationale et l’analyse publiée par Zataz.
← Retour aux posts
Le même pseudonyme, ZeroBytes, apparaît dans les revendications entourant les deux affaires. Cela ne suffit cependant pas à établir que les intrusions ont été réalisées par les mêmes personnes ou qu’elles reposent sur une infrastructure commune.
Trois fuites de données confirmées à la DGFiP
Les deux premières intrusions dans les systèmes de la DGFiP se seraient déroulées en juin et juillet 2026. Les attaquants auraient utilisé plusieurs comptes compromis, dont ceux d’un agent des impôts et d’un prestataire externe habilité.
Les accès suspects avaient bien été détectés et interrompus par les équipes de Bercy. En revanche, les premières investigations n’avaient pas permis d’identifier l’extraction des données. La DGFiP explique que l’attaquant aurait effectué des tests manuels avant d’automatiser ses consultations, tout en restant sous les seuils de détection.
La première fuite concerne la base contenant les échanges entre les agents des finances publiques et les usagers. Environ 350 000 particuliers et 250 000 professionnels seraient concernés.
Pour les particuliers, les informations exposées peuvent comprendre le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, il peut notamment s’agir de la raison sociale et du numéro SIREN.
Une deuxième extraction concerne les données cadastrales. Environ 433 000 personnes pourraient être touchées, parmi lesquelles des propriétaires, des acheteurs, des vendeurs, des notaires ou d’autres professionnels ayant effectué des déclarations liées à des parcelles.
Bercy précise qu’aucune de ces intrusions n’aurait permis d’accéder directement aux espaces fiscaux des contribuables, ni de récupérer leurs mots de passe.
Une troisième intrusion découverte
Une troisième fuite vient également d’être confirmée sur le portail consacré aux successions vacantes. Ce service permet notamment à un créancier de vérifier si une succession est prise en charge par l’administration.L’attaquant aurait eu accès à un journal contenant les demandes effectuées sur le portail. Le nombre de personnes concernées et la nature précise des informations consultées n’ont pas encore été rendus publics.
Cette nouvelle découverte montre que le périmètre de l’incident n’est peut-être pas encore totalement établi.
La DGFiP commence à informer individuellement les particuliers concernés. Les professionnels doivent également recevoir une notification à partir de la semaine du 24 août.
La réception d’un message prétendant provenir des impôts ne signifie pas automatiquement qu’il est authentique. En cas de doute, mieux vaut ouvrir directement impots.gouv.fr et utiliser la messagerie sécurisée de son espace personnel.
Bercy promet de renforcer ses protections
Après ces intrusions, Bercy annonce plusieurs mesures. L’authentification multifacteur doit être généralisée à l’ensemble de ses agents avant la fin de l’année 2026.Le ministère prévoit également de renforcer les quotas d’accès aux données, d’ajouter des mécanismes de détection sur les systèmes qui en sont encore dépourvus et d’intensifier la formation des agents face à l’hameçonnage.
Un audit mené avec l’ANSSI est également en cours. Ses conclusions sont attendues en septembre et doivent servir à identifier les faiblesses techniques ou organisationnelles ayant facilité les attaques.
L’Éducation nationale confirme une exfiltration
Le ministère de l’Éducation nationale fait lui aussi face à une fuite de données. L’intrusion s’est produite dans la nuit du 25 juillet 2026 après l’usurpation d’un compte professionnel.Le système visé était utilisé pour gérer la formation des personnels. L’accès externe a été suspendu dès le lendemain, mais l’attaque a pu entraîner l’exfiltration d’informations concernant des agents ayant travaillé dans une académie depuis 2001.
Les données susceptibles d’avoir été volées comprennent des éléments d’identité, le statut, les fonctions professionnelles et, pour certaines personnes, une adresse postale, un numéro de téléphone ou un numéro de sécurité sociale.
D’après le ministère, ce système ne contenait pas de coordonnées bancaires, de mots de passe ou de données relatives aux élèves.
La situation a toutefois évolué après la publication, le 17 août, de fichiers présentés comme provenant de plusieurs environnements de l’Éducation nationale. L’attaquant revendique environ 43 Go de données et affirme détenir des informations sur des personnels, mais aussi sur des élèves et leurs représentants légaux.
Ces volumes et ce périmètre ne sont pas encore confirmés par le ministère. Les expertises se poursuivent pour déterminer si des données relatives aux élèves figurent réellement dans les fichiers publiés. Les représentants légaux devront être avertis individuellement si cette exposition est confirmée.
Le ministère a déposé plainte auprès du parquet de Paris et saisi la CNIL ainsi que l’ANSSI.
Un risque important de phishing ciblé
Même en l’absence de mots de passe ou de coordonnées bancaires, ces données peuvent être utilisées pour construire des messages frauduleux particulièrement crédibles.Un attaquant connaissant l’identité, l’établissement scolaire, la fonction professionnelle, la situation fiscale ou l’adresse d’une personne peut facilement se faire passer pour une administration. Il peut ensuite réclamer un paiement, demander une confirmation d’identité ou rediriger la victime vers une fausse page de connexion.
Les personnes potentiellement concernées doivent donc rester particulièrement prudentes face aux messages évoquant les impôts, un remboursement, une déclaration fiscale, une formation professionnelle, une inscription scolaire ou la rentrée.
La DGFiP et l’Éducation nationale ne demandent pas de transmettre un mot de passe ou des coordonnées bancaires par courriel, SMS ou téléphone.
Pour en savoir plus, vous pouvez consulter les informations publiées par Next sur les intrusions à la DGFiP, le communiqué du ministère de l’Éducation nationale et l’analyse publiée par Zataz.