Les pirates sont entrés dans les systèmes du fisc en juin. La DGFiP a coupé leurs accès dès qu’elle les a repérés, et ses vérifications n’ont alors rien montré. Il a fallu les investigations lancées le 12 août pour découvrir que les données de 678 000 particuliers et professionnels étaient déjà parties.
C’est ce que reconnaît Bercy dans un communiqué publié le 14 août au soir, la veille d’un jour férié. Deux intrusions, en juin et en juillet, obtenues en usurpant les identifiants d’un agent de la Direction générale des finances publiques et ceux d’un tiers habilité. La CNIL a été saisie, l’Agence nationale de la sécurité des systèmes d’information travaille avec les équipes du ministère, et une plainte sera déposée.
Deux mois pour s’apercevoir du vol
Le calendrier est la partie la plus embarrassante du dossier. Les accès frauduleux ont été repérés puis coupés au moment des faits, mais les contrôles menés à ce moment-là n’ont pas permis de voir que des données avaient été extraites. Bercy attribue cet angle mort à « la sophistication de l’attaque ».
Ce sont les revendications publiques d’un pirate, les 12 et 13 août, qui ont déclenché des investigations approfondies. En deux jours, elles ont établi ce que les premières vérifications avaient manqué. Le ministère a immédiatement coupé, par précaution, les accès à d’autres systèmes sensibles.
Le chiffre de 678 000 n’est d’ailleurs pas définitif. Le communiqué précise que les travaux se poursuivent « afin de déterminer précisément la nature et le volume de données extraites ainsi que le nombre d’usagers concernés ». Autrement dit, il peut encore monter.
Le revenu, le quotient familial, la surface du logement
Ce qui est parti n’est pas un simple fichier de contacts. Pour les particuliers : le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source. Pour les entreprises : la raison sociale, le numéro SIREN. S’y ajoutent des données cadastrales, c’est-à-dire l’adresse et la surface de biens immobiliers.
Mis bout à bout, ces éléments dessinent le portrait financier d’un foyer avec une précision que peu de fichiers commerciaux atteignent. Le risque est identifié de longue date par la CNIL, qui explique qu’un message d’hameçonnage « paraîtra réaliste du fait de l’utilisation des données récupérées grâce à la fuite ». Un escroc capable de citer votre revenu de référence, votre nombre de parts et la surface de votre appartement n’a plus besoin de paraître crédible.
Deux points rassurent en revanche. Les espaces Finances publiques des usagers, particuliers comme professionnels, n’ont pas été compromis, et leurs identifiants comme leurs mots de passe non plus. Aucune connexion frauduleuse à un espace personnel n’est donc à redouter au titre de cet incident.
Bercy écrira à chacun des 678 000
L’administration s’est engagée à contacter individuellement toutes les personnes touchées, par courriel ou par courrier, « dès la semaine prochaine » selon un communiqué daté du 14 août. Chaque message doit préciser quelles données ont pu être consultées ou extraites et quelles précautions prendre.
En attendant, les réflexes recommandés par la CNIL et par le dispositif public Cybermalveillance tiennent en peu de gestes : ne pas ouvrir les pièces jointes, ne pas répondre, ne pas cliquer sur les liens de connexion et supprimer le message. Pour se connecter à un service, taper soi-même l’adresse officielle dans le navigateur. Changer ses mots de passe en priorisant la messagerie, les impôts et la banque, et activer l’authentification à plusieurs facteurs quand elle est proposée.
Deux précisions qui comptent. La CNIL indique qu’elle n’est pas en mesure de confirmer à un particulier la présence de ses données dans un fichier volé : seul l’organisme concerné peut le faire, ce qui rend le courrier annoncé par Bercy incontournable. Et elle déconseille explicitement les sites qui prétendent détenir les fichiers et vérifier pour vous si vous êtes touché.
Trois fuites à Bercy en six mois
Ce n’est pas un accident isolé. Le 18 février, la presse révélait déjà une fuite touchant Ficoba, le fichier national des comptes bancaires géré par la même direction, avec environ 1,2 million de comptes potentiellement exposés. Là aussi, les identifiants d’un agent avaient été récupérés frauduleusement. Le syndicat Solidaires Finances Publiques dénonçait alors une communication « particulièrement discrète » et pointait des choix politiques ayant privilégié les nouveaux projets informatiques au détriment de la sécurisation d’applications anciennes mais critiques. Pour le syndicat, chaque fuite abîme un peu plus le lien de confiance qui fonde le consentement à l’impôt.
Dans les deux affaires, la porte d’entrée est la même : des identifiants d’agent récupérés par un tiers. Dès février, le syndicat citait l’authentification à double facteur, ce code reçu par SMS que les banques imposent depuis des années, parmi les mesures simples capables de réduire ce risque. Le communiqué du 14 août ne dit pas si les comptes usurpés en juin et juillet en étaient équipés.
Deux jours avant l’annonce concernant la DGFiP, la DGCCRF avait de son côté prévenu les consommateurs d’un incident visant Bloctel : un compte professionnel piraté, trois millions de numéros de téléphone récupérés, dont 600 000 inscrits sur la liste anti-démarchage. Ironie du calendrier, Bloctel a fermé le 11 août, remplacé par un régime de consentement préalable.
Trois incidents en six mois, sur des fichiers gérés par Bercy qui comptent parmi les plus sensibles de l’État. Quand la revendication du pirate a circulé le 13 août, le site KultureGeek soulignait qu’aucune confirmation officielle ne permettait encore d’en établir la réalité. Elle est arrivée le lendemain soir.
Le contexte général ne plaide pas pour l’exception française. Dans son rapport annuel 2025, la CNIL a comptabilisé 6 167 violations de données notifiées, soit 9,5 % de plus qu’en 2024 et son plus haut niveau. Un incident sur deux relève d’un piratage. Sa présidente Marie-Laure Denis en tire trois enseignements : « personne n’est épargné ; les violations sont de plus en plus massives ; elles impliquent souvent des prestataires ». La même année, ses 83 sanctions ont totalisé près de 487 millions d’euros d’amendes, un niveau sans équivalent dans son histoire.
La suite est écrite dans le programme 2026 de la CNIL : la moitié de ses contrôles et de ses actions répressives sera consacrée à la sécurité des données, et les fichiers de l’État figurent explicitement parmi les cibles annoncées.
