678 437 contribuables exposés : Bercy admet un piratage massif du fisc

Les faits

L’annonce est tombée sobrement, presque discrètement. Bercy a reconnu que le système d’information de la Direction générale des Finances publiques (DGFiP) avait été piraté « fin juin ». D’après le média 20 Minutes, qui a relayé l’information le 13 août, l’intrusion a permis « la consultation et l’extraction de données concernant des particuliers et des professionnels ». Combien ? 678 437 personnes exactement, dont 392 867 particuliers et 285 570 professionnels.

Ce que confirme le site Actu17, qui précise la nature des données dérobées : nom, adresse et numéro fiscal. Rien que le strict nécessaire pour usurper une identité, monter une fraude ou faire chanter un contribuable. Les usagers concernés, a promis Bercy, « recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter ». Une promesse qui sonne comme une routine, tant les fuites se multiplient.

Les deux sources s’accordent sur l’essentiel : l’attaque a eu lieu fin juin, le mode opératoire reste flou, et l’ampleur des dégâts est significative. Aucune divergence de faits entre 20 Minutes et Actu17 — seulement des degrés de précision. Le premier donne le chiffre global, le second détaille les données. L’identité du pirate, elle, n’est pas révélée. Les circonstances exactes de l’intrusion restent à ce stade inconnues.

Le contexte

Ce piratage n’est pas un accident isolé. Il s’inscrit dans une série noire qui frappe l’administration française. En avril dernier, l’Agence nationale des titres sécurisés (ANTS) avait vu 11,7 millions de comptes compromis. Le Premier ministre de l’époque, Sébastien Lecornu, avait dévoilé un plan d’action pour renforcer la lutte contre les cyberattaques. Quatre mois plus tard, le fisc est touché.

La DGFiP est un coffre-fort numérique. Elle détient les déclarations de revenus, les avis d’imposition, les coordonnées bancaires, les historiques fonciers de millions de Français. Une mine d’or pour un pirate. D’après une source proche du dossier citée par Le Monde, une autre fuite, distincte, visant cette fois « près de 2 millions de propriétaires de biens immobiliers et fonciers », aurait été revendiquée par un groupe se faisant appeler « French Breaches ». Le lien entre les deux incidents n’est pas établi. Mais le signal est clair : l’État ne parvient pas à protéger ce qu’il collecte.

Le contribuable, lui, n’a pas son mot à dire. Il est tenu de fournir ses données, sous peine de sanctions. En échange, il attend une protection minimale. Elle fait défaut.

Le traitement judiciaire

À ce jour, aucune information n’a filtré sur l’ouverture d’une enquête pénale. Le parquet de Paris, compétent en matière de cybercriminalité, n’a pas communiqué. Aucune garde à vue, aucune mise en examen n’a été signalée. Bercy s’est contenté d’une annonce administrative, sans préciser si une plainte avait été déposée.

Le silence est assourdissant. Quand un particulier se fait pirater, il peut porter plainte. Quand c’est l’État, les portes restent closes. Les pirates, eux, peuvent dormir tranquilles — du moins tant que les enquêteurs n’auront pas mis la main sur eux. Les faits sont têtus : sans poursuites visibles, l’impunité est le meilleur des encouragements.

Ce que ça dit de la France

Voici ce que personne ne vous dit : l’État français collecte des données toujours plus nombreuses, toujours plus sensibles, sans jamais investir à la hauteur des risques. Le système d’information du fisc, c’est le cœur du réacteur. S’il tombe, c’est tout le contribuable qui est exposé.

On crée des agences — l’ANSSI, la CNIL, le COMCYBER — on annonce des plans, on promet des réformes. Pendant ce temps, un pirate, dont l’identité et le niveau de sophistication restent inconnus, siphonne les données de 678 000 citoyens. Sans effraction, sans violence. Juste une faille.

Le problème n’est pas technique. Il est politique. La France dépense des milliards en subventions et en bureaucratie, mais rechigne à sécuriser l’outil le plus fondamental de la relation entre l’État et le citoyen : la donnée fiscale. Comparez avec l’Estonie, qui a bâti son administration numérique sur une architecture de cybersécurité robuste depuis vingt ans. Ou avec le Royaume-Uni, où le HMRC a investi massivement après une fuite en 2007. La France, elle, préfère les plans d’action aux actes concrets.

Le coût ? Difficile à chiffrer. Mais chaque fuite érode un peu plus la confiance. Le contribuable se demande pourquoi il doit livrer ses revenus, son adresse, son numéro fiscal à un État qui les expose au premier pirate venu. La réponse est simple : parce que la loi l’y oblige. Mais la loi ne protège pas.

Et maintenant ? Bercy promet une information individuelle. Les 678 437 personnes concernées devront surveiller leurs comptes, changer leurs mots de passe, se méfier des appels et des mails frauduleux. Une charge mentale supplémentaire, imposée à des innocents. Pendant ce temps, l’administration va probablement colmater la brèche, publier un communiqué rassurant, et attendre la prochaine attaque.

Car il y en aura une prochaine. Les faits sont têtus : tant que l’État ne mettra pas la cybersécurité au rang de priorité budgétaire et politique, les données des Français resteront une passoire. Et le contribuable, lui, continuera de payer — deux fois : une fois en impôts, une fois en risques.