Fuite de données fiscales : Bercy a-t-il protégé les contribuables ?

Les faits

En juin, un acteur malveillant s'introduit dans les systèmes de la Direction générale des Finances publiques. Par quel moyen ? En volant les identifiants d'un utilisateur légitime. Pas de faille technique spectaculaire, juste un maillon humain exploité. Selon Fabrice Epelboin, interrogé sur CNews, ce mode opératoire est inhabituel : « On n'est pas dans une faille informatique qui a permis à des pirates de s'introduire, ce qui habituellement est le cas. Là, pour une fois, c'est autre chose. »

Ce que les pirates ont emporté ? Un fichier avec le revenu imposable et l'adresse des contribuables concernés. Les chiffres, recoupés entre plusieurs sources, donnent le vertige. FrenchBreaches et Les Échos avancent 678 437 personnes touchées, dont 392 867 particuliers et 285 570 professionnels. Parmi les particuliers, 26 805 auraient un revenu fiscal supérieur à 100 000 euros. 386 dépasseraient le million. 8 franchiraient les 10 millions. Le fichier, consolidé avec d'autres fuites — « plus d'une dizaine par jour en France », rappelle l'expert — permet de reconstituer un portrait numérique effrayant.

Le Monde confirme l'attaque et le nombre approximatif de victimes. Les deux sources s'accordent sur l'essentiel : fuite massive, données critiques, aucune alerte rapide. Un point reste flou : l'ampleur exacte. FrenchBreaches dit 678 437 ; certaines dépêches évoquent « plus d'un million de Français ». Les circonstances précises de la compromission initiale demeurent, elles aussi, obscures.

Le contexte

Bercy n'est pas un guichet de quartier. C'est le cœur du système fiscal français. La DGFiP gère les impôts de 40 millions de foyers et collecte des centaines de milliards d'euros chaque année. impots.gouv.fr sert de point d'entrée unique pour déclarer ses revenus, consulter son avis d'imposition, payer en ligne. Un trésor de données — donc une cible.

Pourquoi l'attaque a-t-elle réussi ? « On a dérobé les identifiants d'un utilisateur légitime », explique Fabrice Epelboin. Un agent, un prestataire — quelqu'un qui avait accès au fichier national des comptes bancaires, le Ficoba. Ce fichier recense les comptes de tous les Français et est géré par la DGFiP. Une fois l'identifiant volé, le pirate a circulé dans le système comme un employé. Pas de brèche, pas d'alarme : un accès légitime détourné.

Voilà ce qui chiffonne les experts : la consolidation des données. Votre IBAN circule probablement déjà depuis des années — fuite d'assurance, de fournisseur d'accès, de site marchand. Ajoutez le revenu imposable et l'adresse, et le tableau est complet. Un haut revenu devient une cible pour un cambriolage ou un homejacking. Les pirates savent où il habite et combien il gagne. Le fichier, selon l'expert, « peut valoir très cher » sur les marchés clandestins.

L'État, de son côté, n'a pas prévenu les victimes tout de suite. « Il y a un défaut de signalement de la part de l'État qui aurait dû avertir les victimes de cette fuite bien plus tôt », déplore Fabrice Epelboin. Ce n'est qu'en août — deux mois après les faits — que l'information a émergé dans les médias et que les premières notifications officielles sont parties. « Les usagers concernés recevront une information individuelle précisant les données susceptibles d'avoir été consultées ou extraites », a promis Bercy, cité par Les Échos. Combien de temps pour comprendre, vérifier, organiser ? Le temps d'une enquête interne, et l'ampleur du désastre a fini par apparaître.

Le traitement judiciaire

L'affaire est aujourd'hui entre les mains de la CNIL, qui pourrait se saisir du dossier. Mais les moyens de la Commission nationale de l'informatique et des libertés restent limités. « L'CNIL n'a pas vraiment la capacité à freiner cette fuite effrénée d'informations personnelles », souligne Fabrice Epelboin. Une dizaine de fuites par jour, des centaines de millions de données en circulation. La CNIL ne peut pas être partout.

Le parquet de Paris a-t-il ouvert une enquête ? L'information n'est pas confirmée à ce stade. Les sources disponibles ne mentionnent aucune poursuite pénale en cours. La DGFiP, elle, promet des renforts : « les applications, les outils de détection et la cryptographie post-quantique », selon Les Échos. Une enveloppe de 200 millions d'euros a été annoncée. Trop tard pour les 678 437 contribuables dont les données sont déjà dans la nature.

Reste une question, la plus concrète : que peut-on faire, individuellement ? L'expert recommande d'activer la double authentification partout, de surveiller ses relevés bancaires, et surtout de relire son contrat d'assurance multirisques. « Si quelqu'un fait un emprunt bancaire à votre nom, il vous faut absolument un accompagnement juridique parce que les démarches vont être compliquées et longues », prévient-il. La clause cyber devient soudainement vitale. Un conseil pragmatique — et absurde. Le contribuable doit payer une assurance privée pour se protéger des conséquences d'une faille publique.

Ce que ça dit de la France

Cette fuite est un symptôme. L'État collecte une quantité astronomique de données — adresse, revenus, IBAN, situation familiale, profession — sans être capable de les protéger. Le Ficoba, qui recense tous les comptes bancaires des Français, aide à lutter contre la fraude fiscale. Mais c'est aussi un trésor de guerre pour les pirates. Bercy a bâti un système centralisé, puissant, efficace — donc vulnérable.

La réponse de l'État est révélatrice. Deux mois de silence. Une notification tardive. Une enveloppe promise pour l'avenir. Et les victimes, livrées à elles-mêmes. Vérifiez vos comptes, regardez votre assurance, activez la double authentification. Le contribuable est devenu le gardien de ses propres données face à l'État qui les a exposées.

Plus diffus, il y a une dimension sociale. Les hauts revenus sont en première ligne — cambriolages, homejacking, usurpation d'identité sophistiquée. Mais tout le monde a un IBAN, une adresse, un revenu. Cette fuite rappelle que la protection des données privées n'est pas une option. C'est une obligation régalienne. L'État prélève près de la moitié de la richesse produite en impôts et cotisations. En contrepartie, il est censé protéger les citoyens. Même de leurs propres données.

ET MAINTENANT ?

Deux choses à surveiller. La réponse judiciaire d'abord : la CNIL va-t-elle condamner Bercy pour défaut de sécurisation ou manquement au signalement ? La réponse individuelle ensuite : combien de victimes subiront une usurpation d'identité ou un cambriolage dans les mois à venir ? Les conséquences de cette fuite commencent tout juste à se matérialiser.

Le contribuable, lui, continue de payer. Ses impôts financent les serveurs de Bercy. Et il devra peut-être payer une assurance cyber privée pour protéger les données que l'État a exposées. Un drôle de service public — où l'on vous vole vos informations, puis on vous laisse vous débrouiller.