Fisc français piraté : la Belgique pourrait-elle être la prochaine cible ?
Une intrusion dans les systèmes du fisc français a permis l’extraction de données fiscales sensibles. Si l’ampleur exacte de la fuite reste incertaine, l’affaire rappelle que le SPF Finances belge constitue lui aussi une cible de choix pour les cybercriminels.
Publié par A.G.
Le système informatique de la Direction générale des Finances publiques française (DGFiP) a été victime d’un accès frauduleux à la fin du mois de juin. L'information n'a été révélée que ce 14 août.
L’intrusion, réalisée à la suite d’une usurpation d’identité, a permis à son auteur de consulter et d’extraire des données relatives à des particuliers et à des entreprises, a confirmé le ministère français des Finances.
L’accès avait été interrompu dès la fin juin, mais l’extraction de données n’a été confirmée qu’après la revendication publique de l’attaque, le 12 août. Les autorités françaises n’ont pas encore précisé le nombre de personnes touchées ni la nature exacte des informations dérobées.
Près de 680.000 personnes potentiellement concernées
Selon le site spécialisé French Breaches, le pirate aurait récupéré 678.437 dossiers, concernant 392.867 particuliers et 285.570 professionnels. Les échantillons examinés contiendraient notamment des identifiants fiscaux, des adresses, des dates de naissance, des informations familiales, des revenus fiscaux de référence et des taux de prélèvement.
Le fichier serait proposé à la vente pour plusieurs milliers d’euros. Une seconde fuite, distincte, est également revendiquée. Elle porterait sur des informations cadastrales relatives à quelque deux millions de propriétaires. Ces chiffres, tout comme l’existence de cette deuxième extraction, n’ont cependant pas encore été confirmés par Bercy.
Les données fiscales ne permettent pas nécessairement de vider directement un compte bancaire. Leur combinaison peut néanmoins servir à construire des courriels, appels ou faux courriers extrêmement crédibles, en mentionnant le revenu, un bien immobilier ou une démarche réellement effectuée auprès de l’administration.
Une attaque similaire est-elle possible en Belgique ?
Oui. Le SPF Finances détient lui aussi une quantité considérable de données fiscales, personnelles et patrimoniales. Il reçoit également des informations provenant d’autres institutions belges, européennes et internationales. MyMinfin centralise notamment les déclarations, avertissements-extraits de rôle et documents relatifs au patrimoine immobilier.
Les accès des citoyens sont protégés par les clés numériques fédérales, notamment l’eID et itsme. Les professionnels et les agents doivent, quant à eux, disposer de mandats ou de rôles déterminés. Ce cloisonnement limite normalement les informations auxquelles une personne peut accéder.
Mais l’attaque française montre précisément que le maillon faible ne se situe pas nécessairement dans le portail public. Un pirate peut usurper l’identité d’un agent, compromettre le compte d’un mandataire, voler une session ou obtenir frauduleusement un accès à un outil interne. Une authentification solide des contribuables ne protège donc pas automatiquement tous les comptes administratifs, techniques ou professionnels reliés au système.
Une menace en nette progression
La Belgique n’est pas épargnée par la hausse des attaques. Le Centre pour la cybersécurité Belgique a traité 635 notifications d’incidents en 2025, soit une progression de près de 70 % en un an. Le SPF Finances a encore signalé, en avril 2026, une campagne d’hameçonnage usurpant son identité.
En octobre 2023, une attaque contre plusieurs services fédéraux avait déjà perturbé l’accès à MyMinfin, Tax-on-web et Intervat, sans qu’un vol de données ait alors été annoncé. La Belgique a depuis renforcé les obligations de cybersécurité des administrations et des opérateurs essentiels dans le cadre de NIS2. Ces mesures réduisent le risque, mais ne peuvent pas le supprimer.
Une attaque imminente en Belgique ? Rien ne permet de l’affirmer
A ce jour, aucun élément public ne fait état d’une intrusion comparable au SPF Finances belge. En revanche, il est pratiquement certain que ses systèmes, ses agents et ses prestataires font déjà l’objet de tentatives régulières.
Le scénario français est donc parfaitement possible en Belgique, mais sa survenue prochaine ne peut être prédite. Le risque le plus immédiat reste celui du vol d’identifiants par hameçonnage ou ingénierie sociale. En cas de fuite importante, le SPF Finances devrait la notifier à l’Autorité de protection des données dans les 72 heures et avertir individuellement les citoyens exposés lorsque le risque le justifie.
