Troisième alerte de sécurité en quelques jours pour la Direction générale des Finances publiques. Après impots.gouv.fr et le cadastre, une vulnérabilité aurait permis d’accéder sans authentification à des millions de données personnelles et patrimoniales liées aux successions vacantes. Un matériau idéal pour du phishing sur mesure.
Le portail dédié aux successions vacantes de la DGFiP a été affecté par une faille critique. Selon les informations révélées par FrenchBreaches et le chercheur en sécurité LunarisSec, n’importe quel visiteur pouvait accéder à plusieurs millions d’enregistrements sans mécanisme d’authentification préalable. Identités, adresses postales et électroniques, dates et lieux de décès, situations matrimoniales, données patrimoniales: le champ des informations potentiellement exposées est large.
Cette alerte ne surgit pas dans le vide. Le 12 août, le cybercriminel ZeroBytes revendiquait l’extraction de 678 438 lignes issues d’impots.gouv.fr, un accès illégitime confirmé depuis par la DGFiP. Deux jours plus tard, le même acteur affirmait avoir compromis le Serveur Professionnel de Données Cadastrales, avec 252 149 lignes correspondant selon lui à plus de 2 millions de propriétaires. La faille sur les successions vacantes complète une séquence noire pour l’administration fiscale française.
Ce qui rend l’incident sensible, ce n’est pas seulement le volume. C’est la nature des données. Croisées entre elles, ces informations permettent de reconstituer un profil détaillé autour d’un défunt ou d’un dossier de succession. Pour un attaquant, c’est la matière première parfaite d’une campagne d’ingénierie sociale ciblée.
Une succession de fuites qui dépasse le cadre fiscal
La France a connu une année 2026 catastrophique en matière de fuites de données. Selon Cryptoast, plus de 470 millions de comptes[3] ont fuité dans le pays depuis le début de l’année. La DGFiP n’est qu’un maillon d’une chaîne de compromissions qui touche aussi bien les administrations que les prestataires privés du secteur crypto.
L’exemple de Trezor illustre la porosité du système. Le fabricant de portefeuilles matériels a vu les données personnelles de 13 000 clients exposées après une fuite chez l’un de ses prestataires. Ce type d’incident, combiné aux fuites administratives, crée un effet de recoupement redoutable. Un attaquant qui dispose à la fois de données fiscales et de données liées à un portefeuille crypto peut construire une attaque d’une crédibilité inédite.
La faille sur les successions vacantes aurait depuis été corrigée, selon FrenchBreaches. Mais la correction ne dit rien de deux points décisifs. Combien de temps le service est-il resté exposé? Combien de consultations ont été effectuées avant la fermeture du vecteur d’accès? À ce stade, aucune exfiltration massive n’est confirmée sur ce dossier précis, contrairement à l’affaire impots.gouv.fr.
Cette incertitude est le vrai problème. Une donnée patrimoniale n’a pas de date de péremption. Contrairement à un mot de passe qu’on peut changer, une identité, une adresse ou la composition d’un héritage restent exploitables des années durant. Le préjudice potentiel s’étale donc bien au-delà de la fenêtre d’exposition technique.
Pourquoi les successions sont une cible de choix
Les successions concentrent une double vulnérabilité. D’un côté, elles impliquent des montants souvent conséquents. De l’autre, elles mobilisent des interlocuteurs multiples: notaires, banques, administration fiscale, assureurs. Cette multiplicité d’acteurs légitimes offre à un attaquant autant de masques crédibles à endosser.
Le règlement d’une succession en France suit un calendrier strict. La déclaration de succession doit être déposée dans les six mois suivant le décès pour un décès survenu en métropole, ou douze mois si le décès a eu lieu à l’étranger[1]. Ce délai non extensible crée une pression temporelle sur les héritiers. Un fraudeur qui connaît l’existence d’un dossier en cours peut exploiter cette urgence pour pousser une victime à agir vite, sans vérifier.
Le contexte fiscal ajoute une couche de sophistication possible. La DGFiP a intensifié en 2026 ses audits sur les successions de non-résidents, en particulier celles impliquant des structures complexes comme les SCI, l’assurance vie ou l’immobilier de forte valeur[1]. Un dossier non conforme peut déclencher des délais de reprise de six ans et de lourdes pénalités. Un attaquant informé de ces enjeux peut se faire passer pour un contrôleur fiscal réclamant des justificatifs, un scénario particulièrement anxiogène pour un héritier.
Le cadre juridique des successions a par ailleurs évolué en 2026. La loi du 7 avril 2026 a élargi le champ d’application du partage judiciaire des biens indivis[4]. Cette actualité législative alimente la crédibilité d’éventuelles arnaques: un fraudeur peut prétexter un changement de règles pour justifier une demande de documents ou de paiement.
Risques crypto liés aux fuites de données DGFiP
Ce que le croisement des données rend possible
Si une extraction devait être confirmée, la combinaison des informations constituerait un terrain idéal pour du phishing sur mesure. Un attaquant connaissant l’identité d’un héritier, son adresse et les détails d’un décès peut se faire passer de manière crédible pour un notaire, une banque ou une administration intervenant dans le règlement du dossier.
Le mécanisme est simple et redoutable. L’attaquant contacte l’héritier par courriel ou téléphone. Il cite le nom du défunt, la date du décès, parfois l’adresse du bien concerné. Ces éléments, réputés confidentiels, désarment la méfiance. La victime en déduit que son interlocuteur est légitime. Elle communique alors des données bancaires, un identifiant fiscal, ou effectue un virement présenté comme un « acompte sur droits de succession ».
Le tableau ci-dessous récapitule les principaux types de données potentiellement exposés et leur exploitation possible dans un scénario d’ingénierie sociale.
| Type de donnée | Usage frauduleux possible | Interlocuteur usurpé |
|---|---|---|
| Identité et adresse de l’héritier | Personnalisation du contact | Notaire, banque |
| Date et lieu du décès | Preuve de légitimité | Administration fiscale |
| Situation matrimoniale | Ciblage du conjoint survivant | Assureur, notaire |
| Données patrimoniales | Chiffrage d’un faux acompte | DGFiP, huissier |
| Adresse électronique | Envoi de phishing ciblé | Tous |
Source: Cryptoast
La dimension crypto ajoute un risque spécifique. Un héritier détenteur d’actifs numériques, ou un défunt en possédant, devient une cible privilégiée. Contrairement à un virement bancaire souvent réversible, une transaction en cryptomonnaie est irréversible. Un fraudeur poussant une victime à transférer des actifs vers un portefeuille « sécurisé » le temps du règlement de la succession réalise un vol définitif.
Les réflexes à adopter pour se protéger
La première règle est simple: aucune administration française ne réclame de paiement de droits de succession par courriel, SMS ou appel téléphonique non sollicité. Les droits de succession se règlent via la déclaration déposée au service des impôts compétent. Toute sollicitation entrante demandant un virement urgent est suspecte par principe.
La vérification par canal indépendant est votre meilleure défense. Si un « notaire » ou une « banque » vous contacte au sujet d’une succession, ne rappelez jamais le numéro fourni dans le message. Retrouvez vous-même les coordonnées officielles de l’étude notariale ou de l’établissement, et rappelez par ce canal. Un fraudeur ne peut pas contrôler la ligne officielle d’un tiers légitime.
Pour les détenteurs de crypto-actifs, la vigilance doit être maximale. Ne transférez jamais d’actifs numériques vers un portefeuille « en attente » présenté comme une étape du règlement d’une succession. Aucun notaire, aucune banque, aucune administration n’a besoin que vous déplaciez vos cryptos. Activez l’authentification à deux facteurs sur tous vos comptes sensibles et méfiez-vous de tout courriel reprenant des données personnelles exactes: leur exactitude ne prouve rien, elle peut provenir d’une fuite.
Enfin, surveillez les communications officielles de la DGFiP via votre espace personnel sur impots.gouv.fr, et non via des liens reçus par message. L’administration a d’ailleurs prévu de notifier directement les propriétaires concernés par la réforme des bases cadastrales en 2026 via ce même canal[2]. Le principe reste identique: l’information légitime passe par les espaces authentifiés, jamais par un lien entrant non vérifié.
Les erreurs à éviter absolument
Ne présumez pas qu’une donnée exacte garantit la légitimité d’un interlocuteur. C’est précisément le piège des fuites de masse. Un attaquant qui cite votre nom, votre adresse et la date de décès d’un proche n’est pas nécessairement l’administration: il peut simplement disposer des données volées. Le réflexe de confiance déclenché par ces détails est exactement ce que le fraudeur cherche à provoquer.
Ne cédez pas à la pression temporelle. Les délais de succession, six mois en métropole, sont réels mais gérés par votre notaire et le service des impôts. Aucun tiers ne peut légitimement exiger un paiement immédiat sous 24 ou 48 heures sous peine de pénalités. L’urgence artificielle est un marqueur classique de l’arnaque.
Ne communiquez jamais vos identifiants fiscaux, coordonnées bancaires ou phrases de récupération de portefeuille crypto en réponse à une sollicitation. Une seed phrase transmise, c’est un portefeuille vidé. Aucun acteur légitime du règlement d’une succession n’a besoin de ces éléments.
Notre analyse
Le vrai sujet n’est pas la faille technique, corrigée selon FrenchBreaches. Le vrai sujet est l’accumulation. Trois incidents en quelques jours sur la même administration, plus de 470 millions de comptes fuités en France en 2026, une porosité qui touche aussi les prestataires crypto: nous sommes entrés dans une ère où la question n’est plus si vos données ont fuité, mais quand et où elles seront exploitées.
Cette réalité impose un changement de posture. La sécurité ne peut plus reposer sur la confidentialité de données qui n’en sont plus. Elle doit reposer sur des mécanismes de vérification actifs: authentification systématique, rappel par canaux indépendants, refus par défaut de toute sollicitation entrante réclamant un paiement ou un transfert. Pour un détenteur de crypto-actifs, cette discipline n’est pas optionnelle: l’irréversibilité des transactions ne pardonne aucune erreur.
Reste une question de fond sur laquelle l’administration devra répondre. Une donnée fiscale ou patrimoniale exposée l’est pour toujours. La transparence sur la durée d’exposition et le volume réellement consulté n’est pas un détail technique: c’est ce qui permet aux victimes potentielles d’évaluer leur propre risque. Tant que ces informations manquent, la prudence maximale reste la seule stratégie rationnelle.
Les informations contenues dans cet article sont fournies à titre indicatif et ne constituent pas un conseil en investissement. Les crypto-actifs sont des placements très volatils et présentent un risque de perte totale du capital investi. Faites vos propres recherches (DYOR) et, si besoin, consultez un conseiller financier agréé avant toute décision d’investissement.
Faille DGFiP successions: l'essentiel à retenir
- Faille sans authentification sur le portail des successions vacantes de la DGFiP
- Troisième alerte de sécurité en quelques jours après impots.gouv.fr et le cadastre
- 678 438 lignes extraites d'impots.gouv.fr le 12 août, accès confirmé par la DGFiP
- Plus de 470 millions de comptes fuités en France depuis le début 2026
- Déclaration de succession à déposer sous 6 mois (décès en métropole)
- Aucune exfiltration massive confirmée à ce stade sur les successions vacantes
Sources
4 sources · 5 faits vérifiés
- Bulle IA : la BCE alerte sur 440 milliards d’euros d’actions tech détenus par les Européens - 19 août 2026
- Amende MiCA de 70 000 euros contre Bitpanda : ce que la première sanction change en Europe - 19 août 2026
- Faille DGFiP sur les successions : ce que révèle la troisième fuite de données en une semaine - 18 août 2026
