Piratage du fisc : une mise en examen, et une vague d'hameçonnage à venir
Par Rédaction E.T Editalent, publié le 2026-09-06.
Contenu partiellement rédigé par l’IA.
Un homme de 18 ans, suspecté d'appartenir au groupe de pirates « ZeroBytes » et d'avoir participé aux attaques contre l'administration fiscale cet été, a été mis en examen et placé en détention provisoire. Un second suspect, interpellé le 26 août 2026, a été libéré à l'issue de sa garde à vue. Le piratage de la Direction générale des finances publiques a concerné 678 000 personnes selon le fisc.
Ce que l'on sait de l'enquête
Les interpellations ont eu lieu en août 2026, dans le cadre des enquêtes ouvertes après plusieurs cyberattaques visant des administrations. La mise en examen a été rendue publique le 4 septembre. L'affaire confirme deux constats déjà installés : les auteurs sont jeunes, et l'entrée se fait par le vol d'identifiants légitimes plutôt que par une prouesse technique.
Pourquoi la phase la plus dangereuse commence maintenant
Un vol de données fiscales n'a de valeur qu'exploité. Les mois qui suivent une fuite sont ceux des campagnes d'hameçonnage ciblé, crédibles parce qu'elles reprennent des informations exactes : montant d'un avis, référence de dossier, adresse.
Trois scénarios à anticiper dans une commune, une entreprise ou une rédaction :
- Le faux remboursement fiscal, avec un lien vers une page imitant le service public.
- La fausse relance comptable, adressée au service financier avec un numéro de dossier réel.
- La demande de changement de coordonnées bancaires d'un fournisseur, appuyée sur des éléments authentiques.
Sept mesures applicables cette semaine
1. Authentification à deux facteurs partout
Sur les messageries, les portails financiers et les accès distants. C'est la mesure qui bloque le vol d'identifiants, principal vecteur observé.
2. Procédure de changement de RIB
Aucune modification de coordonnées bancaires sans rappel sur un numéro connu, jamais sur celui indiqué dans le message.
3. Information ciblée des agents
Un message court, avec des exemples réels, vaut mieux qu'une note générale. Le taux de clic sur un faux message chute quand l'exemple est concret.
4. Canal de signalement en un clic
Un bouton ou une adresse unique pour signaler un message douteux, avec une réponse systématique. Sans retour, les signalements s'arrêtent.
5. Surveillance des noms de domaine proches
Les campagnes s'appuient sur des domaines ressemblants, déposés quelques jours avant.
6. Vérification des exports de données
Qui peut extraire des fichiers d'usagers, avec quelle traçabilité, et pour combien de temps.
7. Préparer le message aux administrés
Un texte prêt, factuel, qui explique ce qui n'est jamais demandé par courriel. Publié avant la crise, il vaut protection.
Ce qu'il ne faut pas écrire
Dans une communication de crise, trois formulations font des dégâts : « aucune donnée sensible n'a été touchée » avant la fin des investigations, « l'attaque était d'une sophistication inédite » quand l'entrée est un mot de passe volé, et « la situation est sous contrôle » sans élément vérifiable. Un démenti démenti coûte plus cher que le silence initial.
FAQ
Faut-il prévenir les personnes concernées par une fuite ?
Oui lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes. L'information doit être claire, décrire les données touchées et les mesures à prendre.
Quel délai pour notifier ?
La notification à l'autorité de contrôle intervient dans les 72 heures après la prise de connaissance de la violation.
Que faire si l'on reçoit un message suspect au nom du fisc ?
Ne pas cliquer, se connecter directement par l'adresse officielle habituelle et signaler le message par les canaux publics de signalement.
Les jeunes auteurs changent-ils la gravité des faits ?
Non. Les qualifications pénales portent sur l'atteinte aux systèmes de traitement automatisé de données et le vol de données, quel que soit l'âge des auteurs.
Sources
- Franceinfo, « Deux suspects interpellés dans le cadre des enquêtes ouvertes après le piratage du fisc », septembre 2026.
- RTL, « Piratage des impôts : un membre présumé du groupe ZeroBytes mis en examen et écroué », 4 septembre 2026.
- BFMTV avec AFP, « Cyberattaque du fisc : un membre présumé du groupe Zerobytes mis en examen et écroué », 4 septembre 2026.
- ZDNet, « Piratage de la DGFiP : deux interpellations et une mise en examen », 5 septembre 2026.
Le module communication de crise d'E.T Editalent prépare les messages et trace chaque version publiée. Voir les modules.