Piratage des impôts et l'Éducation nationale : les risques.

Piratage des sites des impôts et de l'éducation nationale

En l'espace de quelques semaines, deux administrations majeures ont confirmé avoir été victimes d'une cyberattaque. Fin juillet 2026, le ministère de l'Éducation nationale annonçait une intrusion frauduleuse ayant conduit à l'exfiltration de données de personnels. Mi-août 2026, c'était au tour de la Direction générale des Finances publiques (DGFiP) de reconnaître un vol de données touchant des centaines de milliers de particuliers et de professionnels. Selon plusieurs médias spécialisés, un même acteur, se faisant appeler ZeroBytes, revendique désormais les deux attaques.

Pour les dirigeants de TPE et PME, cette actualité n'est plus une question théorique. Vos informations professionnelles, celles de vos salariés et, potentiellement, celles de leurs enfants scolarisés peuvent désormais circuler entre de mauvaises mains. Cet article fait le point sur ce qui s'est réellement passé dans les deux dossiers, sur un exemple concret de tentative d'hameçonnage déjà observé, et sur les réflexes à adopter immédiatement.

Deux administrations, des accès légitimes compromis

Les deux incidents partagent une caractéristique frappante : selon les éléments disponibles, l'accès frauduleux ne serait pas passé par une faille technique spectaculaire, mais par l'usurpation d'accès professionnels — celui d'un agent de la DGFiP et d'un tiers habilité pour le fisc, et celui d'un professionnel de l'éducation pour le ministère de l'Éducation nationale.

Cette affaire rappelle également un précédent récent, celui de la cyberattaque ayant touché l'Agence nationale des titres sécurisés en avril 2026. Le constat reste le même : la robustesse des accès à privilèges compte souvent plus que celle du système dans son ensemble.

Chronologie des deux incidents

Le piratage de l'Éducation nationale

• Dans la nuit du 25 juillet 2026, un accès frauduleux est réalisé après l'usurpation d'un compte professionnel, visant le système d'information dédié à la formation des personnels.
• Le 26 juillet, le centre opérationnel de sécurité des systèmes d'information du ministère est alerté ; l'accès externe au système concerné est suspendu et une cellule de crise activée.
• Le 31 juillet 2026, le ministère publie un communiqué officiel confirmant l'incident, le dépôt d'une plainte et la saisine de l'ANSSI et de la CNIL.
• Le 18 août 2026, un acteur se présentant sous le pseudonyme ZeroBytes revendique sur des forums une attaque bien plus large contre le ministère, portant selon lui sur environ 43 Go de données.

À la date de publication de cet article, le ministère n'a pas confirmé publiquement l'ampleur revendiquée par ZeroBytes le 18 août, et les données mises en avant n'ont pas encore été authentifiées de façon indépendante par des chercheurs en cybersécurité. Seul l'incident du 25 juillet, au périmètre officiel plus restreint, est à ce stade confirmé par l'administration.

Le piratage de la DGFiP

• Fin juin puis en juillet 2026, un acteur malveillant obtient un accès illégitime au système d'information de la DGFiP en usurpant les identifiants d'un agent et d'un tiers habilité.
• Cet accès est coupé dès sa détection, mais les contrôles réalisés à l'époque ne révèlent pas encore de vol de données.
• Les 12 et 13 août 2026, un pirate se revendiquant sous le pseudonyme ZeroBytes met en vente un fichier de données sur un forum spécialisé.
• Le ministère de l'Économie et des Finances confirme officiellement l'incident, annonce la saisine de la CNIL et le dépôt d'une plainte, et confie une enquête à l'Office anti-cybercriminalité.

Selon le communiqué officiel du ministère de l'Économie et des Finances, un audit complémentaire a également été demandé à l'ANSSI, dont les conclusions seront transmises aux commissions des finances du Parlement.

Qui est ZeroBytes ?

Selon plusieurs sites spécialisés dans le suivi des fuites de données, ZeroBytes se présente comme un duo de cybercriminels francophones. Le même pseudonyme est associé, ces dernières semaines, à des revendications visant l'enseigne Intermarché Drive ainsi que des structures liées à la Fédération française de handball, avant de s'en prendre à la DGFiP puis à l'Éducation nationale.

Un point de prudence s'impose néanmoins : les volumes annoncés par un groupe de cybercriminels sur un forum ne correspondent pas toujours à la réalité vérifiée par les organismes concernés. Pour la partie cadastrale de l'affaire DGFiP par exemple, le ministère évoque environ 200 000 comptes concernés, quand les pirates avancent un chiffre nettement supérieur. Ces écarts ne minimisent pas le risque, mais rappellent qu'il faut distinguer ce qui est confirmé par une administration de ce qui n'est, à ce stade, qu'une revendication d'attaquant.

Suis-je concerné ? Les réponses directes aux questions essentielles

Le piratage de la DGFiP concerne-t-il aussi les entreprises ?

Oui. Le ministère de l'Économie et des Finances a confirmé que les données extraites concernaient à la fois des particuliers et des professionnels, avec notamment la raison sociale et le numéro SIREN pour les entreprises. Au-delà d'un simple vol de données personnelles, c'est l'identité même de votre entreprise qui peut servir de point d'appui à une fraude ciblée.

Le piratage de l'Éducation nationale concerne-t-il les parents d'élèves ?

L'incident officiellement confirmé le 31 juillet 2026 porte sur des données de personnels ayant exercé en académie depuis 2001, et non sur des données d'élèves ou de familles. La revendication plus large publiée le 18 août par ZeroBytes évoque en revanche, si elle venait à être confirmée, des informations concernant également des élèves et leurs responsables légaux. En l'état, cette extension du périmètre n'est pas validée par le ministère.

Mes identifiants (impots.gouv.fr, I-Prof, espace académique) ont-ils été volés ?

Les administrations indiquent que les mots de passe des usagers n'étaient pas présents dans les données concernées par les incidents officiellement décrits. Pour la DGFiP, les espaces particuliers et professionnels n'ont pas été compromis directement. Pour l'Éducation nationale, le ministère précise que le système visé par l'incident confirmé ne contenait ni données bancaires, ni mots de passe.

Comment savoir si mes données ont fuité ?

Une notification officielle constitue le moyen fiable de savoir si vous ou votre organisation faites partie des personnes concernées. La DGFiP et l'Éducation nationale ont indiqué informer individuellement les personnes impactées. Tout message vous demandant de cliquer sur un lien pour « vérifier » ou « consulter » vos données à la suite de ces annonces doit être considéré comme suspect par défaut.

Quelles données ont été exposées ?

Côté DGFiP, les données consultées et potentiellement extraites concernent un total d'environ 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, et données cadastrales relatives à l'adresse et à la surface de certains biens immobiliers pour les particuliers ; raison sociale et numéro SIREN pour les professionnels.

Côté Éducation nationale, l'incident confirmé le 31 juillet porte sur des éléments d'identité et des informations professionnelles (statut, fonctions) de personnels ayant exercé en académie depuis 2001, et, pour une partie d'entre eux, sur une adresse postale, un numéro de téléphone et un numéro de sécurité sociale. La revendication non confirmée du 18 août évoque, elle, un périmètre incluant des identités d'élèves et de responsables légaux.

Ce sont précisément ces informations, en apparence anodines, qui donnent aux fraudeurs les moyens de personnaliser leurs messages et de gagner en crédibilité, une logique déjà décrite dans notre article sur le vol d'identifiants par les infostealers.

Pourquoi ces fuites sont une aubaine pour les fraudeurs

Un dirigeant de PME ou un salarié peut se sentir peu concerné par une fuite de données publiques. C me constitue une erreur d'appréciation. Les informations exposées — SIREN, raison sociale, éléments fiscaux exacts — sont justement celles qui permettent de construire une arnaque crédible.

• Un faux message de « contrôle fiscal » ou de « régularisation urgente » citant votre numéro SIREN réel pour paraître légitime ;
• Une fraude au faux fournisseur ou au faux RIB, dans laquelle un escroc se fait passer pour un partenaire habituel de votre entreprise en s'appuyant sur des informations exactes ;
• Un faux message émanant apparemment d'une administration ou d'un établissement, ciblant un collaborateur en s'appuyant sur des données réelles ;
• Une tentative de fraude au président ou au dirigeant, parfois enrichie par un appel en deepfake vocal ou vidéo, s'appuyant sur des données réelles pour convaincre un collaborateur de déclencher un virement.

Dans tous les cas, l'exactitude des informations utilisées désarme la vigilance habituelle. Un message truffé de fautes s'ignore facilement ; un message qui cite le bon SIREN ou la bonne adresse inspire confiance, à tort.

Un exemple concret déjà en circulation

Cette actualité alimente déjà de nouvelles campagnes de phishing usurpant l'identité de l'administration fiscale. Un salarié a par exemple reçu, le 19 août 2026, sur sa messagerie professionnelle, un courriel prétendument envoyé par « e-impôts », reprenant le logo d'impots.gouv.fr et annonçant qu'une « note concernant votre fiscalité » attendait d'être consultée.

Plusieurs signaux trahissent immédiatement la fraude :

• L'adresse affichée utilise un nom de domaine trompeur qui cherche à imiter l'identité visuelle et textuelle du site officiel (« impôts-goúv-fr » avec des caractères altérés) ;
• L'adresse réelle vers laquelle pointe le lien, visible en survol ou au clic, n'a aucun rapport avec l'administration publique (dans cet exemple observé, un domaine du type « fr-gov-pf-btpf.fr ») ;
• Une échéance resserrée et arbitraire (« proposition valable jusqu'au 31/08/2026 ») crée un sentiment d'urgence artificiel ;
• La signature (« L'équipe de Correction ») ne correspond à aucun service existant à la DGFiP.

Ce type de message peut atterrir dans n'importe quelle boîte professionnelle — la cible n'est pas l'organisation, mais la personne qui clique.

Reconnaître un faux message des impôts en un coup d'œil

Certains signaux permettent de distinguer un message authentique d'une tentative de fraude, avant même d'en analyser le contenu en détail.

En cas de doute, le seul réflexe fiable consiste à ne jamais utiliser les liens ou coordonnées du message reçu, mais à se rendre directement sur le site officiel en tapant l'adresse soi-même dans votre navigateur.

Une pression constante sur les administrations

Ces deux affaires ne sont pas des cas isolés. Le ministère chargé des Comptes publics fait état de milliers de tentatives de cyberattaques bloquées chaque année. Plus largement, le Panorama de la cybermenace de l'ANSSI confirme que les ministères, collectivités et établissements publics figurent parmi les secteurs les plus visés, avec plus de 1 300 incidents de sécurité traités sur une année (tous secteurs confondus) et une hausse marquée des exfiltrations de données.

La leçon pour les PME est directe : si des structures publiques dotées d'équipes dédiées peuvent voir des accès internes compromis, la vigilance sur vos propres comptes à privilèges — comptabilité, banque en ligne, paie — doit être maximale, dans la ligne des recommandations formulées suite à la sanction CNIL contre Free.

Le phishing fiscal, une menace saisonnière

Indépendamment de cette actualité, les campagnes de phishing usurpant l'identité des impôts sont récurrentes. Cybermalveillance.gouv.fr alerte régulièrement sur les vagues de faux mails et SMS annonçant un trop-perçu ou une régularisation.

Le mécanisme repose sur les mêmes ressorts : un motif précis pour paraître crédible, un sentiment d'urgence artificiel, et un lien renvoyant vers une copie du site officiel. Ces attaques relèvent de l'ingénierie sociale, qui exploite la confiance et la précipitation plutôt qu'une faille technique du destinataire.

Plan d'action : 7 réflexes pour protéger votre PME et vos équipes

Face à cette actualité, quelques mesures concrètes permettent de réduire significativement l'exposition de votre entreprise :

1. Ne cliquez jamais sur un lien reçu par mail ou SMS évoquant les impôts, un remboursement ou une régularisation urgente.
2. Vérifiez l'adresse destination réelle d'un lien en le survolant avec la souris avant tout clic.
3. Vérifiez systématiquement toute demande inhabituelle (changement de RIB, virement urgent, procédure fiscale) en recontactant votre interlocuteur via un canal habituel et vérifié.
4. Activez les options de sécurité renforcées disponibles sur vos espaces professionnels et, plus largement, la MFA sur l'ensemble de vos applications d'entreprise (en consultant notre guide MFA).
5. Sensibilisez régulièrement vos équipes (particulièrement les services administratifs et comptables) au phishing et à la fraude au président.
6. Surveillez les fuites de données concernant votre domaine ou vos identifiants d'entreprise via une solution de surveillance du Dark Web.
7. Signalez les messages suspects au 33700 (SMS), à signal-spam.fr (emails) ou à la plateforme Info-Escroqueries au 0 805 805 817.

Pour mesurer le niveau de préparation réel de vos collaborateurs face à ces scénarios, la mise en place d'une campagne de simulation de phishing permet de transformer les règles théoriques en réflexes au quotidien.

Ce qu'il faut retenir

• La DGFiP a confirmé une cyberattaque ayant exposé des données de particuliers et de professionnels (dont le numéro SIREN et la raison sociale).
• L'Éducation nationale a confirmé une intrusion ciblant un système d'information RH/formation ; les revendications plus larges publiées par le groupe ZeroBytes ne sont pas validées par l'administration à ce jour.
• Selon les déclarations officielles, les mots de passe des usagers n'ont pas été compromis lors de ces accès non autorisés.
• Pour les entreprises, l'exposition d'informations exactes (SIREN, données de contact) augmente l'efficacité des tentatives d'escroqueries ciblées.
• La meilleure protection réside dans la vérification systématique par un canal indépendant avant toute saisie d'identifiants ou tout virement.

Conclusion

Le piratage de services publics majeurs rappelle aux TPE et PME françaises que la sécurité de l'écosystème numérique est globale. Un identifiant compromis ou une information d'entreprise exposée chez un tiers peut alimenter des fraudes directes contre votre structure.

Les experts de Core Security accompagnent les entreprises pour renforcer leur posture de sécurité, de l'audit de leurs accès à la sensibilisation de leurs équipes. Vous souhaitez évaluer votre exposition ? Réalisez gratuitement votre diagnostic Mon Score Cyber ou contactez-nous pour échanger avec un spécialiste.