La Direction générale des Finances publiques (DGFiP) fait face à une nouvelle revendication de cyberattaque. Quelques heures après la confirmation officielle d’un premier accès illégitime ayant permis l’extraction de données fiscales, ZeroBytes affirme avoir compromis un deuxième service de l’administration contenant cette fois des données cadastrales.
Cette nouvelle intrusion aurait eu lieu le 29 juillet 2026 et viserait le domaine apexappliext.dgfip.finances.gouv.fr, associé au Serveur Professionnel de Données Cadastrales (SPDC). Les attaquants annoncent avoir extrait 252 149 lignes avant de mettre la base partielle en vente.
Une deuxième intrusion un mois après la première
La chronologie est particulièrement préoccupante. La première compromission confirmée par la DGFiP remonte à fin juin 2026. Si les nouvelles affirmations sont exactes, un autre accès aurait donc été obtenu environ un mois plus tard, le 29 juillet, avant même que la première affaire ne soit rendue publique.
Les deux incidents semblent également différents. ZeroBytes affirme que cette fois, un compte valide et un contournement de l’authentification multifacteur auraient suffi pour accéder au service cadastral. Cette méthode et le point d’entrée exact restent toutefois non confirmés par la DGFiP.
252 149 lignes contenant plusieurs titulaires de biens
La base partiellement récupérée compterait 252 149 lignes. Mais chaque enregistrement peut contenir plusieurs personnes liées à une même parcelle. Les cybercriminels avancent ainsi un total de 2 041 778 titulaires présents dans les données extraites.
Ce chiffre ne doit cependant pas être automatiquement interprété comme 2 041 778 personnes uniques. Un même propriétaire peut apparaître dans plusieurs parcelles ou plusieurs enregistrements, ce qui peut provoquer des doublons importants.
Noms, dates de naissance, adresses et propriétés immobilières
Un fichier de démonstration contenant 1 092 lignes a été diffusé pour appuyer la revendication. Les informations visibles permettent de relier directement des personnes à des parcelles cadastrales et comprennent notamment :
- nom, prénom et nom d’usage ;
- sexe ;
- date et lieu de naissance ;
- adresse associée au titulaire du droit ;
- identifiants administratifs et fonciers internes ;
- département et commune de la parcelle ;
- section et numéro cadastral ;
- nature du droit détenu sur le bien ;
- ensemble des différents titulaires associés à une même parcelle.
Les données permettent donc potentiellement de relier une identité complète à un patrimoine immobilier précis, avec des informations d’état civil et l’adresse du titulaire.
Les pirates évoquent des données sur près de 20 millions de citoyens
ZeroBytes affirme ne pas avoir réussi à terminer l’extraction en raison de la lenteur du système. Selon son estimation, le service auquel il avait accès permettrait de retrouver des informations relatives à environ 20 millions de citoyens.
Ce chiffre correspond uniquement au volume potentiellement accessible revendiqué et non aux données effectivement récupérées. Le volume actuellement annoncé reste de 252 149 lignes, représentant selon l’attaquant plus de deux millions de titulaires comptabilisés.
L’accès à l’outil serait toujours actif
Plus préoccupant encore, le cybercriminel affirme qu’au moment de sa publication, il disposait toujours d’un accès au panneau du service. Il propose même de vendre cet accès en plus de la base de données.
Si cette affirmation est exacte, elle signifierait que l’incident n’était potentiellement pas totalement contenu au moment de la revendication. Cette déclaration provient cependant directement de l’attaquant et n’a pas été confirmée par l’administration.
Des données particulièrement utiles pour les fraudeurs
La combinaison de l’identité, de la date de naissance, de l’adresse et des biens immobiliers détenus ouvre la voie à des fraudes très ciblées. De faux messages de la DGFiP, d’un notaire, d’une mairie ou d’un service cadastral pourraient reprendre des informations exactes sur un bien afin de gagner la confiance de la victime.
Ces informations peuvent également faciliter l’usurpation d’identité, les escroqueries immobilières, les faux dossiers administratifs ou le croisement avec d’autres bases compromises afin de construire des profils encore plus détaillés.
La deuxième cyberattaque n’est pas encore confirmée par la DGFiP
La DGFiP a officiellement confirmé le premier incident de fin juin, qui a permis la consultation et l’extraction de données concernant des particuliers et des professionnels. En revanche, cette nouvelle compromission revendiquée du SPDC et datée du 29 juillet n’a pas encore fait l’objet d’une confirmation officielle.
La présence d’un échantillon de plus d’un millier d’enregistrements cadastraux apporte néanmoins des éléments concrets à la revendication. Le périmètre réel de cette deuxième intrusion, le nombre de personnes uniques concernées et l’éventuel maintien d’un accès au service restent désormais à déterminer.