Piratage du fisc : 678 000 contribuables prévenus à partir de ce lundi

L’administration fiscale a reconnu vendredi avoir subi deux intrusions dans ses systèmes, fin juin et fin juillet, ayant abouti au vol des données de 678 000 usagers, particuliers et entreprises. Les personnes concernées doivent être contactées individuellement à partir de ce lundi 17 août.

Ce qui a été dérobé

Pour les particuliers, la directrice générale des finances publiques, Amélie Verdier, a détaillé la nature des informations compromises : noms et prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. Pour les entreprises, les éléments sont jugés moins sensibles, essentiellement le numéro de Siren et des adresses.

Le risque principal identifié est celui de l’usurpation d’identité. Le revenu fiscal de référence associé à un état civil complet constitue en effet une matière première précieuse pour monter des dossiers frauduleux, notamment en matière de crédit ou d’aides sociales, et pour rendre crédibles des tentatives d’hameçonnage se présentant comme émanant de l’administration.

Une détection partielle, un signalement tardif

La chronologie est le point qui pose problème.

En juin, un assaillant parvient à se connecter au compte d’un agent. Bercy détecte la compromission et coupe les accès. L’administration considère alors l’incident réglé. Elle n’a pas tort sur ce point précis : la DGFiP indique avoir déjoué 6 972 attaques sur la seule année 2025.

Sauf que l’intrus avait déjà extrait un volume important de données sans déclencher d’alerte, en évitant toute activité anormale sur le réseau. Amélie Verdier qualifie l’opération de sophistiquée.

Le 12 août, un cybercriminel opérant sous le pseudonyme ZeroBytes, déjà connu pour des intrusions visant des cibles françaises, revendique les attaques sur un forum de revente du dark web et met les données en vente. C’est le lendemain que Bercy annonce saisir la CNIL.

Or le règlement général sur la protection des données impose une notification à la CNIL dans les 72 heures suivant la découverte d’une violation présentant un risque. L’administration se défend en expliquant qu’elle avait détecté en juin la compromission d’un compte, mais pas le vol de données lui-même.

Le syndicat Solidaires-finances publiques n’a pas retenu cet argument, relevant qu’il aura fallu attendre la revendication du pirate et les révélations de presse pour que la fuite soit officiellement reconnue.

Cellule de crise et enquête judiciaire

Le premier ministre Sébastien Lecornu préside ce lundi après-midi une cellule interministérielle de crise en visioconférence sécurisée, à l’issue d’un déplacement en Gironde. Objectif affiché : vérifier que le dispositif de notification des 678 000 usagers est opérationnel avant son déclenchement.

Le parquet de Paris a ouvert samedi une enquête pour extraction frauduleuse de données et association de malfaiteurs. Le ministre des Comptes publics David Amiel a annoncé le lancement d’une mission d’audit.

Ce dernier a par ailleurs reconnu publiquement que l’État avait accumulé des « dettes techniques » pendant des décennies et que les doctrines devaient être actualisées plus vite. L’aveu, rare dans la bouche d’un ministre en exercice, lui a valu des appels à la démission sur les réseaux sociaux.

Un plan lancé en avril, des échéances en 2027

Le gouvernement s’appuie sur un plan de sécurisation des systèmes d’information de l’État présenté le 30 avril. Il prévoit 200 millions d’euros débloqués en urgence, l’affectation obligatoire de 5 % des budgets informatiques ministériels à la cybersécurité, et le versement des amendes prononcées par la CNIL au budget général.

Ces deux dernières mesures n’entrent en vigueur qu’en 2027.

Matignon souligne qu’une réunion interministérielle a permis début juillet de vérifier l’exécution des 15 actions dont l’échéance était fixée au 30 juin 2026. Soit, à quelques jours près, le moment où les données du fisc étaient siphonnées.

Réactions politiques

Le sénateur socialiste de la Sarthe Thierry Cozic, vice-président de la commission des finances, parle de la cyberattaque la plus grave de l’histoire du pays et annoncera à la rentrée une demande de commission d’enquête. Les sénateurs socialistes ont formulé cette demande dès dimanche, en notant que la succession d’incidents ne permet pas de conclure à une défaillance structurelle, mais justifie d’examiner l’existence de vulnérabilités communes.

Candidat à la présidentielle pour Les Républicains, Bruno Retailleau a réagi sur X en affirmant que la France serait le deuxième pays au monde le plus touché par les cyberattaques, affirmation qui circule depuis plusieurs années sans être appuyée sur une source identifiable, et a annoncé vouloir mettre en place un « plan Vauban » pour bâtir une forteresse numérique.

L’affaire s’inscrit dans une série. L’Insee a récemment été visé par une attaque affectant 12 800 personnes, et les établissements de santé représentaient en 2025 8 % des victimes de rançongiciels recensées par l’Anssi.

Que faire si vous êtes concerné

La DGFiP contacte individuellement les usagers touchés. En conséquence, tout message vous annonçant que vous faites partie des victimes et vous demandant de cliquer sur un lien, de fournir des coordonnées bancaires ou de vous identifier en urgence doit être considéré comme frauduleux : les vagues d’hameçonnage suivent systématiquement ce type d’annonce, et les pirates disposent cette fois d’informations authentiques pour crédibiliser leurs messages.

En cas de doute, il vaut mieux se connecter à son espace personnel en tapant soi-même l’adresse du site des impôts, plutôt qu’en passant par un lien reçu par courriel ou par SMS.