Piratage des impôts : deux fuites de données en sept mois, et des alertes ignorées depuis 2019

Le 12 août 2026, un individu utilisant le pseudonyme ZeroBytes revendique sur un forum du dark web spécialisé dans la revente de données volées la possession de 678 438 lignes de données fiscales extraites des systèmes de la Direction générale des Finances publiques (DGFiP), l'administration derrière impots.gouv.fr. Le lendemain, le ministère de l'Économie confirme officiellement les faits : un accès illégitime au système d'information de la DGFiP, survenu fin juin 2026 à la suite d'une usurpation d'identité d'un agent.

Le communiqué officiel (n°950, 13 août 2026) est direct sur ce point : cet accès a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels. Point de méthode important : à ce stade, la DGFiP ne confirme ni le chiffre de 678 438 enregistrements ni le périmètre exact des données extraites — l'ampleur précise de la fuite repose donc encore sur la revendication du pirate, pas sur un chiffrage officiel, pendant que l'enquête se poursuit avec l'ANSSI et le Haut fonctionnaire de défense.

Reste un fait, lui, entièrement confirmé par l'administration elle-même : entre la détection de l'intrusion, fin juin, et sa reconnaissance publique le 13 août, il s'est écoulé six à sept semaines. Ce n'est pas une communication spontanée qui a mis fin au silence, mais la revendication du pirate lui-même, publiée la veille sur le dark web.

Des données très sensibles

L'échantillon diffusé par le pirate, repris par plusieurs médias spécialisés, détaille le contenu de la fuite : identité complète, date et lieu de naissance, adresse postale, situation familiale, nombre de parts fiscales, revenu fiscal de référence, taux de prélèvement à la source, identifiant fiscal, numéro de téléphone, adresse e-mail et historique des démarches administratives. Ce n'est pas un fichier commercial anodin : c'est la photographie complète que l'administration fiscale possède de chaque foyer, la matière première idéale pour un phishing ciblé bien plus crédible qu'un message générique.

Un scénario déjà vécu

Cette fuite n'est pas la première subie par la DGFiP en 2026. Entre fin janvier et le 18 février, le ministère de l'Économie avait déjà annoncé un accès illégitime au fichier FICOBA, le fichier national des comptes bancaires, avec environ 1,2 million de comptes bancaires — RIB, IBAN, identité du titulaire, adresse — consultés frauduleusement, là aussi via l'identifiant usurpé d'un agent disposant de droits d'accès aux échanges d'informations entre ministères.

Le mode opératoire est strictement identique dans les deux cas : un agent public voit son identité usurpée, ce qui ouvre à l'attaquant un accès en apparence légitime aux outils internes. Si la première fois n'a pas suffi à corriger la faille qui la rend possible, la question n'est plus de savoir comment cela a pu arriver, mais pourquoi cela s'est reproduit à l'identique.

Deux fuites majeures de données personnelles en moins de sept mois, par le même vecteur d'attaque, sur les systèmes de la DGFiP.

Des alertes ignorées depuis 2019

Ce sous-investissement n'a rien d'une découverte récente. Un rapport de la Cour des comptes de mai 2019 sur les systèmes d'information de la DGFiP relevait déjà, entre 2012 et 2018, une baisse de 13 % des effectifs informatiques — supérieure à la baisse générale des effectifs de l'administration sur la même période — et une baisse de 22 % du budget informatique entre 2012 et 2017, aux côtés de faiblesses structurelles importantes en matière de gouvernance, de stratégie et de gestion des ressources humaines.

Sept ans plus tard, et quelques semaines avant cette fuite, le syndicat Solidaires Finances Publiques republiait l'alerte dans une tribune datée du 26 mai 2026 : les moyens alloués, qu'ils soient financiers ou humains, restent insuffisants et, malgré des alertes répétées, peu de progrès ont été réalisés. Une tribune syndicale reste un point de vue engagé, pas un audit indépendant — mais son constat converge, sept ans après, avec celui, chiffré, de la Cour des comptes.

Vos recours si vous êtes concerné

Premier réflexe, gratuit et accessible à tous : la plainte auprès de la CNIL, prévue par l'article 77 du RGPD dès lors qu'on estime qu'un traitement de ses données personnelles constitue une violation du règlement — démarche disponible en ligne sur cnil.fr. La CNIL peut instruire, mettre en demeure et sanctionner la DGFiP ; elle ne peut en revanche pas indemniser personnellement les victimes, ce n'est pas son rôle.

Pour une réparation financière, c'est l'article 82 du RGPD qui s'applique : toute personne ayant subi un dommage matériel ou moral du fait d'une violation a droit à réparation, mais la seule violation ne suffit pas — il faut démontrer un préjudice réel (fraude bancaire, usurpation d'identité, temps perdu à sécuriser ses comptes). Point technique à ne pas négliger : la DGFiP étant une autorité publique agissant dans l'exercice d'une mission de service public, l'action se joue vraisemblablement devant le tribunal administratif plutôt que le tribunal judiciaire, précédée d'une réclamation préalable écrite obligatoire dès lors que la demande porte sur une somme d'argent (article R. 421-1 du Code de justice administrative). Un point suffisamment technique pour justifier l'avis d'un avocat avant toute démarche.

Reste la voie pénale contre l'auteur du piratage : l'article 323-1 du Code pénal punit l'accès frauduleux à un système de traitement automatisé de données, avec une peine portée à 7 ans d'emprisonnement et 300 000 € d'amende — contre 3 ans et 100 000 € dans le cas général — dès lors que le système visé est à caractère personnel et mis en œuvre par l'État. La DGFiP a elle-même annoncé son intention de porter plainte, ce qui n'empêche pas une victime de déposer la sienne et de se constituer partie civile ; en revanche, l'État lui-même échappe à toute responsabilité pénale (article 121-2 du Code pénal) — une plainte ne peut viser que l'auteur du piratage. Pour agir collectivement plutôt que seul, l'article 37 de la loi Informatique et Libertés permet de mandater une association pour une action de groupe, mais sans mandat individuel exprès, elle ne peut obtenir qu'un arrêt de la violation, pas une indemnisation.

Personne ne choisit de confier ses données à l'administration fiscale : déclarer ses revenus à cette même administration est une obligation légale, pas un choix. Cela devrait s'accompagner d'une obligation de moyens bien plus stricte pour les protéger. Les recours listés ci-dessus sont réels, mais aucun ne remplace ce qui aurait dû être fait en amont : sécuriser correctement l'accès de ses propres agents à des données que 678 000 personnes n'ont jamais eu la possibilité de refuser de transmettre.