DGFiP : après le cadastre, une troisième fuite touche les successions vacantes

🔎 Que révèle la DGFiP sur cette troisième fuite ?

La DGFiP a confirmé le 18 août 2026 qu’une partie des données du service consacré aux successions vacantes — les successions sans héritier connu, gérées temporairement par l’État — a été dérobée. La faille, décrite comme accessible sans authentification préalable, aurait permis de consulter certaines informations sans même disposer d’identifiants. L’administration affirme avoir coupé rapidement l’accès et corrigé la vulnérabilité, mais le volume exact de données concernées n’était pas encore communiqué à la date de publication de cet article.

🗺️ Le cadastre : jusqu’à 1,8 million de comptes revendiqués, 433 485 confirmés

Cette troisième annonce complète les précisions apportées le même jour sur la deuxième fuite, déjà évoquée par Liberta Press le 14 août : la compromission du Serveur professionnel de données cadastrales (SPDC), revendiquée le 13 août par le pirate ZeroBytes pour une intrusion datée du 29 juillet. L’attaquant affirme avoir extrait 252 149 lignes cadastrales et revendique jusqu’à 2 041 778 titulaires exposés, soit un total théorique de 1,8 million de comptes. La DGFiP, de son côté, a établi un bilan plus resserré : un maximum de 433 485 particuliers et 1 082 professionnels réellement concernés — noms, prénoms, dates et lieux de naissance, adresses postales, identifiants fonciers et références de parcelles.

L’écart entre la revendication du pirate et le bilan officiel — plus de quatre fois inférieur au chiffre annoncé sur le forum cybercriminel — illustre une tension récurrente dans ce type d’affaire : les données mises en vente contiennent souvent des doublons, des lignes incomplètes ou des enregistrements techniques qui gonflent artificiellement le total revendiqué.

⚰️ Successions vacantes : un accès sans aucune authentification

Le service des successions vacantes centralise des informations particulièrement sensibles pour des familles endeuillées : identités des défunts, adresses postales et électroniques, dates et lieux de décès, situation matrimoniale et éléments relatifs au patrimoine transmis. Selon les informations recoupées par la presse spécialisée, la vulnérabilité exploitée sur ce portail ne nécessitait aucune authentification préalable — un niveau de protection nettement inférieur à celui des deux autres systèmes touchés, qui reposaient au moins sur des identifiants (volés ou détournés). La DGFiP indique avoir corrigé cette faille depuis sa découverte, sans préciser à ce stade depuis quand elle était exploitable ni le nombre exact de dossiers consultés.

🔓 Trois failles, trois modes opératoires différents

Ce qui distingue cette série d’un incident isolé, c’est la diversité des méthodes employées en l’espace de deux mois :

• Fuite fiscale (fin juin) : usurpation d’identifiants d’un agent, puis accès à un VPN interne pour interroger massivement un outil de recherche destiné à un usage individuel — 678 000 particuliers et professionnels concernés.
• Fuite cadastrale (29 juillet) : compte d’un partenaire externe, avec contournement de l’authentification à plusieurs facteurs sur le serveur cadastral SPDC.
• Fuite successions (découverte mi-août) : portail accessible sans authentification d’aucune sorte.

Trois vulnérabilités de nature complètement différente — vol d’identifiants, contournement de MFA, absence totale de contrôle d’accès — suggèrent moins une faille technique unique qu’un problème structurel de gouvernance de la sécurité informatique à l’échelle de plusieurs services de la DGFiP.

📢 Les excuses du ministre et la réponse de Bercy

Lors du point presse du 18 août 2026, la directrice générale des finances publiques, Amélie Verdier, a confirmé publiquement l’existence des trois incidents distincts. Le ministre chargé des Comptes publics, David Amiel, a présenté des excuses officielles : « Nous présentons nos excuses, car ce qui s’est passé est insupportable pour les Français ». Bercy indique que les personnes concernées par chacune des trois fuites seront notifiées individuellement, à mesure que les analyses techniques permettent de circonscrire précisément les périmètres de données exposées.

🎯 Croisement des données : le risque du « ciblage chirurgical »

Prise isolément, chacune des trois fuites reste circonscrite : pas d’IBAN, pas de mot de passe. Mais leur addition change la nature du risque. Croiser les données cadastrales (valeur et localisation d’un bien) avec le revenu fiscal de référence déjà exposé lors de la première fuite permet un ciblage chirurgical pour des arnaques aux faux placements ou aux fausses régularisations fiscales, particulièrement crédibles lorsqu’elles citent des données exactes. Les informations sur les successions vacantes exposent, elles, un public spécifiquement vulnérable : des familles en deuil, cibles privilégiées des escroqueries dites « à l’héritage ».

• Ne jamais communiquer de coordonnées bancaires suite à un appel ou SMS se présentant comme émanant des impôts ou d’un notaire inconnu.
• Vérifier systématiquement l’identité d’un interlocuteur évoquant une succession, y compris s’il cite des informations exactes sur le défunt.
• En cas d’opération bancaire non autorisée constatée après un démarchage suspect, l’article L133-18 du code monétaire et financier prévoit un remboursement sous 13 mois.
• Signaler tout message suspect sur la plateforme officielle Signal Arnaques.

🧩 Une administration déjà fragilisée par la série ZeroBytes

Le pseudonyme ZeroBytes, identifié pour la fuite cadastrale, est le même que celui déjà associé au vol de données de la Fédération française de handball (1,36 million de fiches de licenciés) et à la première fuite fiscale de la DGFiP couverte par Liberta Press le 14 août. Cette accumulation d’incidents, touchant en quelques semaines une fédération sportive, une administration fiscale et désormais un service successoral, confirme un acteur — ou un groupe d’acteurs partageant le même mode opératoire — capitalisant sur des failles de processus plutôt que sur des vulnérabilités techniques inédites, quel que soit le secteur ciblé.

❓ Questions fréquentes

Combien de personnes sont concernées par la fuite des successions vacantes ?
La DGFiP n’a pas encore communiqué de chiffre précis à la date de publication de cet article — l’analyse technique du périmètre exact est toujours en cours.

Mes données bancaires sont-elles exposées par ces trois fuites ?
Non, selon les informations disponibles à ce jour : aucune des trois fuites ne concerne des IBAN ou des mots de passe. Le risque documenté porte sur l’identité, l’adresse et, pour la première fuite, des données fiscales (revenu de référence, taux de prélèvement).

La fuite cadastrale et la fuite des successions sont-elles liées ?
Aucun lien formel n’a été établi à ce stade entre les deux incidents. Seule la fuite cadastrale a été revendiquée publiquement, par ZeroBytes.

✅ Conclusion

Trois fuites en moins de deux mois, trois vulnérabilités de nature différente, une même administration : la série qui touche la DGFiP à l’été 2026 dépasse le cadre d’un incident isolé pour interroger la gouvernance de la sécurité informatique de l’un des systèmes d’information les plus sensibles de l’État français. Les excuses publiques du ministre marquent une reconnaissance inhabituelle de l’ampleur du problème — reste à voir si elles s’accompagnent d’un audit structurel plutôt que d’un simple correctif technique, faille après faille.

📚 Sources

1. Cyberattaque.org — DGFiP : cadastre et successions vacantes, 3ème fuite pour Bercy
2. Selectra — Impôts, cadastre, successions : les trois fuites du fisc
3. Franceinfo — La DGFiP annonce une troisième fuite sur des données liées aux successions vacantes
4. Club Patrimoine — Piratage du fisc : une 3ème fuite, quelles précautions pour les contribuables ?
5. Liberta Press — Cyberattaque DGFiP : 678 000 contribuables touchés