La série noire continue à la Direction générale des Finances publiques (DGFiP). Après plusieurs jours d’investigations, l’administration reconnaît désormais une ampleur bien supérieure pour la fuite touchant ses données cadastrales : 1,8 million de comptes auraient été compromis. Dans le même temps, des données provenant du portail consacré aux successions vacantes ont également été dérobées.
Cette confirmation est particulièrement importante pour Cyberattaque.org. Nous avions alerté dès le 14 août sur une seconde cyberattaque revendiquée contre le Serveur Professionnel de Données Cadastrales (SPDC), dans notre article consacré au piratage des données cadastrales de la DGFiP. À ce moment-là, l’administration n’avait pas encore confirmé cette compromission.
Nous avions alerté sur 252 149 lignes cadastrales
Le 13 août, ZeroBytes revendiquait un accès au domaine apexappliext.dgfip.finances.gouv.fr, associé au Serveur Professionnel de Données Cadastrales. Le hacker datait son intrusion du 29 juillet 2026 et annonçait avoir extrait 252 149 lignes.
Chaque ligne pouvant contenir plusieurs titulaires, ZeroBytes avançait alors un total de 2 041 778 titulaires présents dans son extraction. Nous avions immédiatement précisé que ce chiffre ne correspondait pas nécessairement à autant de personnes uniques, un même propriétaire pouvant apparaître sur plusieurs parcelles.
Un échantillon de 1 092 lignes que nous avions pu analyser contenait notamment des noms, prénoms, dates et lieux de naissance, adresses, identifiants fonciers et références précises de parcelles, avec les différents titulaires associés aux biens.
La DGFiP évoque désormais 1,8 million de comptes
Quatre jours plus tard, le périmètre officiel change considérablement. Selon les nouvelles informations communiquées par la DGFiP, 1,8 million de comptes seraient concernés par les fichiers cadastraux piratés.
Ce chiffre se rapproche fortement de l’ordre de grandeur avancé dès le départ par ZeroBytes, même s’il ne peut pas être directement comparé aux 2,04 millions de titulaires revendiqués par le hacker : la DGFiP parle ici de comptes, tandis que le cybercriminel comptabilisait les personnes présentes dans ses enregistrements.
Le communiqué officiel publié quelques jours auparavant reconnaissait déjà que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers avaient été consultées, mais les investigations se poursuivaient encore pour déterminer précisément la quantité de données récupérées.
Une troisième compromission touche les successions vacantes
La situation ne s’arrête pas au fisc et au cadastre. La DGFiP reconnaît désormais que des éléments provenant du service consacré aux successions vacantes ont également été dérobés. Le nombre de données concernées n’est pas encore communiqué.
Cette nouvelle compromission avait été signalée quelques heures auparavant après la découverte d’une vulnérabilité sur le Portail des successions vacantes. Ce service permet notamment de rechercher les successions pour lesquelles le Domaine a été nommé curateur et d’effectuer différentes démarches liées aux dossiers.
Des données auraient été accessibles sans authentification
Selon les premiers éléments techniques publiés sur cette troisième affaire, la vulnérabilité aurait permis d’accéder à certaines informations sans authentification préalable. La faille aurait depuis été corrigée.
Les informations potentiellement accessibles comprennent notamment des identités, adresses postales et électroniques, dates et lieux de décès, situations matrimoniales ainsi que différentes informations liées aux successions et au patrimoine.
Jusqu’ici, il fallait rester prudent et parler de données potentiellement exposées. La reconnaissance par la DGFiP du vol d’éléments concernant les successions vacantes change désormais la situation : il ne s’agit plus uniquement d’une vulnérabilité théorique ayant rendu des informations accessibles.
Trois incidents différents en quelques semaines
Il est important de ne pas mélanger les différents dossiers qui frappent actuellement la DGFiP. Ils concernent des systèmes et, vraisemblablement, des méthodes d’attaque différentes.
- fin juin : accès illégitime à des données fiscales concernant 678 000 particuliers et professionnels, officiellement confirmé par Bercy ;
- 29 juillet : compromission revendiquée du système cadastral SPDC, sur laquelle Cyberattaque.org alertait dès le 14 août et dont le périmètre est désormais évalué à 1,8 million de comptes par la DGFiP ;
- août : découverte d’une faille sur le portail des successions vacantes, avec un vol de données désormais reconnu mais dont le volume reste inconnu.
Des données fiscales, immobilières et successorales
L’enchaînement de ces incidents est particulièrement sensible par la nature des informations concernées. En quelques semaines, les attaquants ont pu viser des données permettant de connaître la situation fiscale d’une personne, ses biens immobiliers ou encore des informations relatives à des successions.
Ces différentes bases ne doivent pas être considérées comme un seul ensemble et rien ne démontre qu’elles aient été obtenues par le même acteur. Leur croisement éventuel pourrait toutefois permettre de construire des profils extrêmement précis et faciliter des arnaques fiscales, immobilières ou successorales particulièrement crédibles.
L’ampleur réelle continue d’augmenter au fil des investigations
Dans son communiqué du 14 août, la DGFiP indiquait que les investigations se poursuivaient afin de déterminer précisément la nature et le volume des données extraites ainsi que le nombre d’usagers concernés. Les nouvelles informations montrent que ce travail continue de faire évoluer fortement le bilan.
Alors que Cyberattaque.org alertait dès le 14 août sur la compromission du système cadastral, la DGFiP évoque désormais 1,8 million de comptes touchés. Et avec la confirmation supplémentaire d’un vol de données sur les successions vacantes, le périmètre global des incidents frappant actuellement l’administration fiscale française n’est probablement pas encore totalement établi.