Des données cadastrales portant sur l'adresse et la surface de biens immobiliers ont été consultées lors d'un second accès illégitime au système d'information de la Direction générale des Finances publiques (DGFiP). L'administration l'a reconnu dans un communiqué du ministère de l'Économie daté du 14 août 2026, en indiquant qu'environ 200 000 comptes sont concernés. L'ANSSI a depuis chiffré à environ 434 000 le nombre de personnes touchées.
Ce que la DGFiP a reconnu sur ce second piratage
Administration chargée de la fiscalité et du cadastre, la DGFiP distingue cet incident d'un premier accès, survenu fin juin 2026, qui visait l'outil de recherche de contribuables. Le second est survenu fin juillet 2026 et a été obtenu en usurpant les identifiants d'un tiers habilité. L'administration a précisé le 14 août que ce volet concerne environ 200 000 comptes, là où l'annonce mise en ligne évoquait plus de deux millions de titulaires de biens.
La DGFiP a notifié l'incident à la Commission nationale de l'informatique et des libertés le 14 août et annoncé qu'elle déposerait plainte. Elle a prévu d'informer individuellement les personnes concernées à partir de la semaine du 17 août. Le parquet de Paris a ouvert le 15 août 2026 une enquête, confiée à l'Office anti-cybercriminalité.
L'outil cadastral visé selon la revendication
La reconnaissance de l'administration fait suite à une revendication publiée le 13 août 2026 sur un forum cybercriminel, un jour après une première annonce visant un autre outil de la DGFiP. Le pirate disait avoir accédé, avec des identifiants compromis et en contournant l'authentification à plusieurs facteurs, à un outil professionnel de consultation cadastrale réservé aux agents de la DGFiP, aux notaires et aux géomètres-experts. L'accès remonterait au 29 juillet 2026. Il présentait environ 252 000 lignes de recherche associant chacune plusieurs propriétaires, avec leur nom, leur date et leur lieu de naissance, leur adresse, ainsi que les parcelles et droits de propriété correspondants. Un échantillon d'environ 1 100 lignes était fourni en preuve. L'administration n'a évoqué, pour sa part, que des données relatives aux adresses et aux surfaces des biens.
Une identité, une adresse et la propriété d'un bien rattachées à une même personne forment un ensemble qui pourrait servir à des démarches frauduleuses ou à des messages se faisant passer pour l'administration fiscale.
Ce qu'ajoute le point de situation de l'ANSSI
Le 30 septembre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l'État. Il désigne le serveur professionnel de données cadastrales comme le système atteint, soit l'intitulé de l'outil décrit par la revendication, et précise l'origine de l'accès : le compte compromis d'un géomètre-expert exerçant dans un cabinet privé. Le rapport ne cite pas la revendication elle-même.
Selon l'agence, environ 2 millions de données cadastrales ont été exfiltrées. Elles concernent environ 434 000 usagers et portent sur leurs noms, dates de naissance, adresses, identifiants fonciers, parcelles et la nature de leurs droits.
Ce chiffre de personnes est plus du double des 200 000 comptes annoncés par la DGFiP le 14 août. Les 2 millions correspondent à des données et non à des propriétaires distincts, ce qui explique l'écart avec les plus de deux millions de titulaires annoncés par le pirate.
Détails techniques :
- Communiqué du ministère de l'Économie du 14 août 2026
- Accès survenu fin juillet 2026, par usurpation des identifiants d'un tiers habilité
- Environ 200 000 comptes concernés selon l'administration, environ 434 000 usagers pour 2 millions de données selon l'ANSSI, plus de deux millions de titulaires de biens selon l'acteur
- Système désigné par l'ANSSI : serveur professionnel de données cadastrales, compte compromis d'un géomètre-expert
- CNIL notifiée le 14 août 2026, plainte annoncée, enquête du parquet de Paris ouverte le 15 août 2026
- Selon la revendication : identifiants compromis et contournement de l'authentification à plusieurs facteurs, accès depuis le 29 juillet 2026
- Environ 252 000 lignes de recherche annoncées, échantillon d'environ 1 100 lignes
Données concernées :
- Nom complet et civilité
- Adresse postale
- Données cadastrales relatives aux adresses et surfaces des biens
- Identifiant interne
- Date de naissance des propriétaires (selon l'ANSSI)
- Identifiants fonciers, parcelles et nature des droits (selon l'ANSSI)
Données annoncées non vérifiées :
- Lieu de naissance des propriétaires
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise