Près de 678 000 comptes ont été concernés par l’intrusion ayant frappé l’administration fiscale française. Alors que la DGFIP défend sa gestion d’une attaque jugée particulièrement difficile à détecter, son principal syndicat dénonce une réaction trop tardive et estime que les économies budgétaires fragilisent la cybersécurité du fisc.
Pendant près de deux mois, l’administration fiscale savait qu’un de ses accès avait été compromis. Elle ignorait cependant qu’un pirate était parvenu à extraire des centaines de milliers de données.
C’est désormais cette chronologie qui place la Direction générale des finances publiques (DGFIP) sous pression.
Fin juin, un attaquant est parvenu à pénétrer dans le système d’information du fisc après avoir compromis le compte d’un agent. L’accès frauduleux avait bien été détecté et coupé, mais l’ampleur réelle de l’intrusion n’a été découverte que le 12 août, lorsque le pirate a lui-même revendiqué le vol.
Au total, les informations provenant de 678 000 comptes de particuliers et de professionnels auraient été extraites.
Le parquet de Paris a ouvert une enquête et les investigations ont été confiées à l’Office anticybercriminalité.
Une alerte lancée avant l’attaque
Pour Solidaires finances publiques, syndicat majoritaire de la DGFIP, cette attaque n’arrive pourtant pas sans avertissement.
Dès le 18 juin, l’organisation avait alerté la directrice générale des finances publiques, Amélie Verdier, sur la mise en vente sur le dark web de données provenant du portail France Services.
Le syndicat s’inquiétait notamment de la présence potentielle d’informations concernant des agents de la DGFIP. De telles données pouvaient faciliter des opérations d’usurpation d’identité, de phishing ciblé ou la compromission d’accès professionnels.
Solidaires prévenait alors que de nouvelles attaques pouvaient intervenir rapidement.
Aucun lien n’est pour l’instant établi entre cette précédente fuite et l’intrusion ayant touché le fisc quelques jours plus tard.
Mais pour le syndicat, l’enchaînement confirme une vulnérabilité qu’il juge insuffisamment prise en compte par l’administration.
Une attaque conçue pour passer sous les radars
La DGFIP défend une autre lecture.
Selon Amélie Verdier, l’attaque de juin présentait un niveau de sophistication supérieur aux intrusions observées auparavant.
Le pirate n’aurait pas lancé immédiatement une extraction massive susceptible de déclencher les systèmes d’alerte. Il aurait commencé par explorer manuellement les ressources disponibles avant d’automatiser progressivement ses recherches, tout en maintenant de faibles volumes.
Autrement dit, son activité ressemblait suffisamment à celle d’un utilisateur légitime pour ne pas apparaître immédiatement comme anormale.
La compromission du compte avait donc été repérée et l’accès bloqué, mais pas l’extraction préalable des informations.
Ce n’est qu’au moment de la revendication publique du pirate, le 12 août, que l’administration aurait pu mesurer l’étendue de la fuite.
La DGFIP rappelle par ailleurs avoir déjoué 6 975 attaques informatiques au cours de l’année 2025.
Une deuxième attaque sur les données cadastrales
L’affaire comporte un autre volet.
Le même pirate affirme avoir attaqué, à la fin du mois de juillet, le Serveur professionnel de données cadastrales, qui contient des informations relatives aux propriétés immobilières et foncières.
Cette seconde intrusion a également été confirmée par l’administration et concernerait environ 200 000 comptes.
La DGFIP considère toutefois les informations accessibles par ce biais comme moins sensibles.
Ces deux opérations rapprochées montrent néanmoins l’intérêt que représentent les bases de données publiques pour les cybercriminels, en particulier lorsqu’elles permettent de croiser identité, patrimoine et situation financière.
Le délai d’information au centre des critiques
Une autre question embarrasse désormais Bercy : pourquoi les contribuables concernés n’ont-ils pas été avertis plus tôt ?
Le piratage s’est produit fin juin, mais l’extraction des données n’a été confirmée qu’en août.
L’administration explique ce délai par le fait qu’elle ignorait jusqu’alors que des informations avaient effectivement été récupérées.
Les quelque 678 000 usagers concernés doivent désormais recevoir une notification individuelle précisant la nature des données susceptibles d’avoir été consultées ou dérobées.
Pour Solidaires finances publiques, cette réaction reste trop tardive.
Le syndicat estime que l’épisode révèle plus largement les limites des moyens consacrés à la protection informatique d’une administration qui détient certaines des informations personnelles les plus sensibles de la population française.
L’IA plutôt que la cybersécurité ?
C’est ici que la controverse dépasse la seule attaque informatique.
Sandra Demarcq, secrétaire générale de Solidaires finances publiques, remet directement en cause les choix d’investissement de la DGFIP.
Selon elle, davantage de moyens humains et techniques devraient être consacrés à la sécurisation des systèmes plutôt qu’au développement accéléré d’outils reposant sur l’intelligence artificielle.
Le syndicat établit surtout un lien entre les restrictions budgétaires imposées aux administrations et l’augmentation du risque informatique.
Son raisonnement est simple : lorsque les budgets de fonctionnement diminuent, certains investissements sont arbitrés ou reportés. Or la cybersécurité exige des dépenses permanentes, aussi bien pour moderniser les infrastructures que pour recruter et conserver des spécialistes.
Pour Solidaires, réduire les dépenses publiques peut donc avoir une conséquence beaucoup moins visible : augmenter l’exposition des données détenues par l’État.
La DGFIP assure de son côté avoir renforcé ses restrictions d’accès afin d’empêcher de nouvelles intrusions similaires.
Des données beaucoup plus sensibles qu’une simple adresse mail
L’ampleur du problème tient surtout à la nature des informations récupérées.
Pour les particuliers, les fichiers contiendraient des données d’identité et de contact : nom, date de naissance, adresse postale, téléphone ou adresse électronique.
Mais d’autres informations sont nettement plus sensibles.
Numéro fiscal, composition du foyer, nombre de parts, revenu fiscal de référence ou encore taux de prélèvement à la source figureraient parmi les données compromises.
Prises séparément, certaines peuvent sembler peu exploitables. Croisées entre elles, elles permettent pourtant de dresser un portrait extrêmement précis d’un contribuable.
Et donc de fabriquer des escroqueries beaucoup plus crédibles.
Un fraudeur connaissant le nom, l’adresse, la composition familiale et certaines caractéristiques fiscales de sa cible dispose de suffisamment d’informations réelles pour se faire passer plus facilement pour l’administration, une banque ou un autre organisme.
Des contribuables fortunés dans les fichiers
La fuite pourrait également exposer certaines personnes à des risques dépassant la fraude numérique.
Selon un échantillon des données dérobées consulté par la presse française, plus de 25 000 contribuables concernés présenteraient un revenu fiscal de référence supérieur à 100 000 euros.
Plus de 380 dépasseraient le million d’euros et huit franchiraient les 10 millions.
Si ces informations sont associées à des identités et à des adresses physiques, elles peuvent potentiellement servir à identifier des personnes disposant d’un patrimoine important.
Le risque ne se limite alors plus au phishing ou à l’usurpation d’identité : ces données pourraient également être utilisées pour sélectionner des victimes d’autres formes de criminalité.
La DGFIP veut éviter la panique
L’administration insiste cependant sur une distinction importante.
Les informations dérobées ne permettraient pas, à elles seules, de se connecter à l’espace fiscal sécurisé d’un contribuable.
Elles ne permettraient donc ni de modifier directement une déclaration, ni de changer les coordonnées bancaires enregistrées auprès du fisc.
Pour les entreprises, la DGFIP considère également qu’une grande partie des informations concernées étaient déjà publiques ou facilement accessibles dans des registres professionnels.
Cela ne règle pourtant pas la question centrale soulevée par l’attaque.
La DGFIP concentre une quantité exceptionnelle d’informations personnelles, financières et patrimoniales sur des millions de Français. Sa sécurité informatique ne protège donc pas seulement le fonctionnement d’une administration : elle protège une cartographie particulièrement détaillée de la population.
L’enquête devra établir précisément comment le pirate a contourné les défenses du fisc. Mais la controverse politique et administrative est déjà ouverte : au-delà de la sophistication de l’attaque, il faudra déterminer si l’État consacre réellement suffisamment de moyens à la protection des données qu’il exige de ses citoyens.
