Le Gouvernement et la direction générale des finances publiques (DGFIP) partagent pleinement les préoccupations exprimées concernant ces vols de données. Ces cyberattaques et les vols de données auxquels ils ont conduit sont des faits graves et nécessitent transparence et considération envers les victimes et exigent un renforcement de la sécurité du système d'information de la DGFiP. 1- Le premier incident a été revendiqué le 12 août 2026 et signalé à la DGFiP par l'agence nationale de sécurité des systèmes d'information (ANSSI) transmis via le service du haut fonctionnaire de défense et de sécurité (SHFDS). Cet incident a mobilisé la compromission de plusieurs identifiants d'un autre ministère ; leur usage frauduleux a permis d'accéder à un réseau du ministère concerné, puis au réseau interministériel de l'État (RIE) puis d'accéder au portail ADER de la DGFiP, ouvert sur le RIE et qui permet d'accéder à des applications DGFiP. En usurpant l'identité d'un agent de la DGFiP, le cybermalveillant a pu accéder via ce portail à une application de la DGFiP. Grâce à cet accès, il a pu accéder à des données fiscales d'usagers particuliers et professionnels. Au total, il a volé les données de 353 000 particuliers pour les données fiscales englobant l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvements à la source). D'autre part, il a accédé aux données de 252 000 professionnels (SIREN, raison sociale, adresse) qui sont en réalité publiques. Ces chiffres diffèrent de ceux de la revendication du fait des doublons et des personnes décédées. S'agissant des identifiants usurpés des agents DGFiP, la détection d'activités anormales sur internet en lien avec ces identifiants et le signalement externe du fait qu'ils figuraient dans des listes vendues sur le darknet ont conduit à leur réinitialisation. Cette opération a interrompu l'attaque mais les investigations menées à ce moment, tournées vers internet, et non sur le portail ADER situé sur le réseau interministériel de l'État, n'ont pas permis de détecter l'attaque avant la revendication du 12 août. L'information de l'ensemble des usagers concernés a été réalisée. 2- Le vol de données cadastrales survenue en août concerne, après retrait des doublons et des personnes décédées, 432 000 usagers particuliers et professionnels. Ils font suite au vol de l'identifiant et du mot de passe d'un partenaire externe (profession réglementée) couplé avec le vol de l'identifiant et du mot de passe de messagerie de ce même partenaire. Ainsi, le dispositif avec deux facteurs d'authentification appuyé sur un code temporaire envoyé par mail au partenaire a été rendu inopérant. Les données volées sont l'identité des personnes (nom, prénom, sexe, date et lieu de naissance, nom, prénom d'usage), leur adresse, la nature de leur droit (propriétaire, indivisaire, usufruitier, …) sur certaines parcelles. Dès la détection de ces incidents, la DGFIP a déclenché les dispositifs prévus en matière de gestion des incidents de sécurité afin de contenir l'attaque, d'identifier les systèmes et les données susceptibles d'avoir été concernés, de sécuriser les environnements informatiques et de conduire les investigations nécessaires. Les autorités compétentes en matière de cybersécurité ont été associées à ces opérations notamment l'agence nationale de la sécurité des systèmes d'information (ANSSI), l'office de cyber-anticriminilaté (OFAC). Des notifications de la commission nationale de l'informatique et des libertés (CNIL) ont été faites dans les délais prévus par la réglementation. Les investigations conduites à la suite de l'attaque ont notamment eu pour objet d'identifier les usagers victimes de vol de données, pour les informer. Elles ont aussi permis de retracer complètement les chemins d'attaque afin prendre des mesures conservatoires de sécurité et d'engager les travaux permettant de bloquer le même type d'attaque à l'avenir. S'agissant des mesures de sécurisation du système d'information de la DGFiP, elles s'inscrivent en conformité avec la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État de l'ANSSI. Après les incidents de l'été 2026, une accélération et une amplification de ces mesures ont été décidées, et notamment :  - la coupure du portail internet de la gestion publique pour les agents DGFiP : il permettait auparavant aux agents d'accéder à leur messagerie et à des applications RH depuis un PC personnel. La séparation des usagers personnels et professionnels est un axe de sécurisation important. Désormais les agents peuvent accéder aux applications DGFiP depuis leur domicile uniquement via un PC professionnel et le VPN (Virtual Private Network : dispositif de connexion sécurisée à distance) de la DGFiP ; - le renforcement des outillages de détection de la DGFiP, avec leur alimentation par des sondes de données supplémentaires, notamment aux interfaces avec les partenaires de la DGFiP ; - la mise en place systématique de détection de volumétrie anormale de consultation des applications avec le blocage automatique des comptes utilisateurs, en commençant par les applications les plus sensibles ; - le renforcement des modalités d'authentification des partenaires qui accèdent aux applications ou données DGFiP ; - la mise en place, dès que possible, de l'authentification forte pour les agents DGFiP : pour accéder aux applications, ils devront disposer d'une clé USB sécurisée et d'un mot de passe, soit deux facteurs d'authentification ; - l'utilisation de l'intelligence artificielle pour détecter des vulnérabilités du SI de la DGFiP ; - le renforcement de la formation des agents de la DGFiP à la cybersécurité avec une intensification des exercices internes d'hameçonnage, qui sont une pratique déjà régulière de la DGFIP. Ils visent à entraîner et renforcer la vigilance des agents DGFiP ; - l'intensification au recours à des communautés externes pour organiser des hackings éthiques, ce que les spécialistes appellent en anglais des « bug bounty », pour détecter les vulnérabilités du SI DGFiP. La DGFiP est pleinement engagée pour améliorer le niveau de sécurisation de son système d'information et pour tirer tous les enseignements de ces événements d'une grande gravité.