Cyberattaque contre le fisc : 2,04 millions de contribuables exposés, l'État impuissant ?

Selon des données vérifiées par plusieurs sources spécialisées, le pirate affirme avoir extrait les informations de 678 437 personnes, dont 392 867 particuliers. Le site French Breaches, qui documente les cyberattaques, relaie ces revendications. Mais une même ligne peut contenir plusieurs titulaires – le pirate avance un total de 2 041 778 personnes. Les faits sont là. Reste à comprendre comment une telle brèche a été possible. Et ce qu’elle révèle de la fragilité des infrastructures numériques de l’État.

Les faits

Plusieurs médias documentent l’attaque, dont France Info, qui a consacré un article aux questions qu’elle soulève. Le mode opératoire ? Aussi simple qu’efficace : les pirates ont utilisé les boîtes mail des fonctionnaires de la DGFiP. Pas de faille zero-day spectaculaire. Pas de code malveillant hyper-avancé. Juste l’exploitation des messageries internes des agents du fisc. Une fois à l’intérieur, ils ont accédé au fichier Ficoba – le fichier national des comptes bancaires. Numéros de comptes, identités des titulaires, établissements bancaires. Une mine d’or pour l’usurpation d’identité.

Selon un communiqué de la DGFiP publié le 13 août, l’accès a eu lieu fin juin « après une usurpation d’identité » et a permis « la consultation et l’extraction de données concernant des particuliers et des professionnels » (Les Échos). Le pirate a revendiqué l’opération le 12 août. Entre-temps, des semaines se sont écoulées. Les contribuables concernés n’ont été informés qu’après la revendication publique. Où est la réactivité de l’État ?

Le chiffre donne le vertige : 2 041 778 personnes potentiellement exposées. Particuliers, mais aussi professionnels et comptes joints. Pire : selon le site spécialisé 01net, la France a enregistré 43,4 millions de comptes piratés entre janvier et juin 2026. C’est le pays le plus touché d’Europe. Dans le monde, sur la même période, 313,4 millions de comptes compromis – 20 comptes chaque seconde. « On est sur un casse du siècle tous les mois », résume une source citée par Les Échos. Le constat est implacable : nos administrations sont devenues des passoires.

Le contexte

Ce n’est pas la première fois que la DGFiP subit une intrusion. En avril 2026, l’Agence nationale des titres sécurisés (ANTS) avait été victime d’une attaque massive : 11,7 millions de comptes compromis. Le Premier ministre Sébastien Lecornu avait dévoilé un plan d’action. Mais le problème semble structurel. Les pirates ciblent les administrations parce qu’elles concentrent des données sensibles — avec une sécurité souvent obsolète.

Selon franceinfo, le fichier Ficoba est particulièrement convoité. Il permet d’usurper l’identité fiscale d’un contribuable, de souscrire des crédits, d’ouvrir des comptes, ou encore de détourner des remboursements d’impôts. Les risques sont concrets : vol d’identité, fraude bancaire, harcèlement administratif. Les victimes devront prouver leur innocence – une charge mentale et administrative énorme.

L’attaque de la DGFiP suit un schéma connu : les pirates utilisent les identifiants d’un fonctionnaire, probablement obtenus via un phishing ou un logiciel malveillant. Une fois dans le système, ils explorent les fichiers. La DGFiP a confirmé que l’accès a été détecté, mais trop tard. Les données étaient déjà extraites.

Le traitement judiciaire

À ce stade, aucune enquête publique n’a été officiellement ouverte, selon les sources disponibles. La DGFiP a porté plainte, mais les détails judiciaires restent flous. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est probablement saisie. Mais le temps judiciaire est long, et les pirates opèrent souvent depuis l’étranger. Les poursuites s’annoncent complexes.

Le contribuable, lui, attend des réponses concrètes. Pas de communication sur les mesures individuelles de protection. Pas de dédommagement annoncé. Le silence institutionnel est assourdissant. Selon le baromètre 2023 de la CEPEJ, la France compte 11 juges pour 100 000 habitants, contre 25 en Allemagne. Résultat : les procès civils durent en moyenne 637 jours, contre 190 chez nos voisins. Quand l’État est victime, la justice est lente. Quand le citoyen est victime, il est seul.

Voilà.

Ce que ça dit de la France

Cette cyberattaque révèle une faille plus profonde. L’État investit massivement dans des systèmes d’information coûteux, mais les sécurise avec les moyens du bord. Depuis 2000, près de 50 agences publiques ont été créées – ARS, ANRU, France Travail – sans en supprimer une seule. Le millefeuille administratif coûte environ 60 milliards d’euros par an. Et la cybersécurité ? Elle reste un parent pauvre.

Le contribuable français paie 45 % de son PIB en prélèvements obligatoires – le record de l’OCDE. En contrepartie, il attend une protection de ses données. Au Danemark, le taux est similaire, mais le budget alloué à la sécurité numérique est nettement supérieur. En France, on préfère financer des agences supplémentaires plutôt que de renforcer les pare-feux. La suite est édifiante : 43 millions de comptes piratés en six mois. Le pays le plus taxé d’Europe devient aussi le plus vulnérable.

Les pirates savent que les administrations sont des cibles faciles. Systèmes vieillissants, messageries non sécurisées, formation insuffisante des agents : le terreau est fertile. « Après une usurpation d’identité », explique la DGFiP. Mais combien de temps faudra-t-il pour que cette usurpation devienne systématique ? Regardons les faits : en 2022, la France a perdu 42 milliards d’euros d’actifs financiers via l’exil fiscal, selon la Banque de France. Aujourd’hui, ce sont les données des non-exilés qui fuient. Le sentiment d’injustice est réel.

Et maintenant ?

Les conséquences immédiates sont claires : chaque contribuable concerné doit surveiller ses comptes, ses déclarations, ses courriers. Mais la question est plus vaste : comment l’État peut-il garantir la sécurité de ses fichiers alors que ses agents sont la première porte d’entrée pour les pirates ? La solution technique existe : authentification forte, segmentation des accès, chiffrement systématique. Mais elle coûte. Et l’État préfère dépenser l’argent des contribuables dans des agences et des subventions plutôt que dans une véritable cybersécurité.

Le dossier est loin d’être clos. En attendant, 2 millions de Français sont en sursis. Leurs numéros de comptes, leurs adresses, leurs identités circulent peut-être déjà sur le dark web. Le prochain « casse du siècle » aura lieu dans quelques semaines. Et le contribuable paiera, encore une fois, l’addition.

Sources : France Info, Les Échos, BFM TV, 01net, Huffington Post.