France's tax agency got hacked (in French)
cybernetica.fr
August 25, 2026
37 min read
51/100
Summary
La Direction générale des finances publiques (DGFiP) a confirmé qu’une intrusion a entraîné la fuite d’un fichier de 678 000 entrées concernant des particuliers et des professionnels. Amélie Verdier, directrice générale des finances publiques, a indiqué le 14 août que les données comprenaient notamment les noms, prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. FrenchBreaches a relevé dans l’échantillon revendiqué par le pirate des adresses, numéros de téléphone, courriels et nombres de personnes à charge. La DGFiP avait interrompu l’accès fin juin, sans détecter alors l’exfiltration, qui n’a été identifiée qu’après la mise en vente des données le 12 août. Le même pirate a revendiqué une seconde attaque contre un serveur professionnel de données cadastrales, menée fin juillet et confirmée par l’administration. Il affirme avoir obtenu 252 149 lignes représentant plus de deux millions de personnes et avoir contourné l’authentification multifacteur; ces détails n’ont pas tous été confirmés publiquement. La DGFiP affirme que le site impots.gouv.fr et les espaces des usagers n’ont pas été compromis et avoir désactivé les comptes concernés ainsi que d’autres accès sensibles par précaution. L’incident s’inscrit dans une série de compromissions d’administrations françaises. La France n’avait toujours pas transposé la directive européenne NIS2 en août 2026, alors que son échéance était fixée à octobre 2024 et que la Commission européenne l’a renvoyée devant la Cour de justice de l’Union européenne en juillet 2026.
Key Takeaways
- La DGFiP a confirmé la fuite de données fiscales portant sur 678 000 entrées, après avoir détecté la mise en vente des données le 12 août.
- L’accès à l’origine de la fuite avait été coupé fin juin, mais l’administration n’avait pas identifié à ce moment-là que des données avaient été extraites.
- Une seconde intrusion revendiquée contre un système cadastral de la DGFiP a été confirmée par l’administration; le pirate affirme qu’elle concerne plus de deux millions de personnes.
- La DGFiP affirme que les comptes impots.gouv.fr des particuliers et des professionnels n’ont pas été compromis.
- La directive NIS2 devait être transposée en droit français avant octobre 2024, mais son examen parlementaire était annoncé pour septembre 2026.
What the discussion said
The discussion barely treated this as an AI story. Most readers focused on the French tax breach itself: the long delay between intrusion and discovery, recurring failures across public databases, and the concrete harm that follows when personal records circulate. The one AI-adjacent claim came from the article’s attempt to place the incident within a wider trend of AI-assisted offensive cybersecurity. That framing did not gain much traction. A critical reader argued that the article spent substantial space on cloud and AI without showing that either materially explained this breach, making the analysis feel padded rather than forensic. There was no substantive debate over particular models, automated attack techniques, or AI defenses. Instead, the implicit standard commenters demanded was simple: if AI is invoked in a breach post-mortem, it should clarify an observed attack path, detection failure, or changed attacker capability—not serve as a fashionable backdrop to an otherwise conventional compromise. One reader voiced a broad fear that an approaching disruption could affect the AI industry, but supplied no mechanism and drew no replies. The thread therefore lands less as alarm about AI than as skepticism toward loosely attaching AI to a serious security incident.
Where opinion split
The sharpest disagreement was whether AI belongs in this post-mortem at all. The article presented AI-enabled offensive cyber activity as part of the broader threat environment, while a critic argued that its AI section was tangential and did not account for the tax-agency breach’s actual causes.
Community Sentiment
Concerns
- The post-mortem’s AI framing looks bolted on: commenters saw no evidence that AI meaningfully caused the compromise or explained the month-long detection failure.
- A vague prediction of an impending event affecting the AI industry added anxiety without identifying a concrete AI capability, threat actor, or technical pathway.