Environ 700 000 contribuables ont eu leurs données personnelles exposées lors de deux cyberattaques contre la Direction générale des finances publiques (DGFiP) en juin et juillet. L’administration fiscale a immédiatement suspendu les accès compromis et promet de contacter chaque victime pour préciser les données concernées et les mesures de vigilance à adopter.
Ce vendredi, la DGFiP confirme le bilan lourd d’une double offensive informatique qui a visé ses systèmes sensibles. Deux assauts distincts, fin juin puis fin juillet, ont permis aux auteurs d’extraire des données personnelles massives. Le piratage soulève une question fondamentale pour les contribuables: quand on vous fait confiance avec ses numéros de compte, ses déclarations de revenus, ses coordonnées – comment cette confiance peut-elle s’effondrer en quelques heures?
Un double coup porté au cœur de l’administration fiscale
La première attaque, confirmée par la DGFiP, a permis aux cybercriminels d’aspirer des données personnelles de contribuables. L’administration fiscale indique que « quelques centaines de milliers d’usagers » sont concernés par cet acte malveillant, chiffre rejoignant le bilan global de 700 000 personnes exposées. Les auteurs ont revendiqué cette intrusion sur un forum de revente de données du « darkweb », mettant ainsi en vente les informations dérobées.
Dès que la compromission a été détectée, la réaction a été rapide. La DGFiP a immédiatement coupé les accès de l’ensemble des comptes utilisés dans les incidents identifiés. Par mesure de précaution additionnelle, l’administration a également suspendu les accès à d’autres applications sensibles, créant ainsi un isolement de sécurité autour de ses systèmes vulnérables. Mais le mal était déjà fait: le bilan définitif des données volées n’est pas encore établi. L’administration a annoncé qu’elle communiquerait prochainement un « bilan consolidé ».
La seconde attaque: des données cadastrales exposées
Une deuxième fuite, revendiquée fin juillet et attribuée à un pirate se présentant sous le pseudo « ZeroBytes », a visé le Serveur professionnel de données cadastrales (SPDC). Selon l’assaillant, environ 250 000 lignes auraient été extraites, contenant l’identité et l’adresse des titulaires de droits sur des parcelles cadastrales. Le hacker affirme même que ces données correspondraient à plus de deux millions de titulaires de biens immobiliers.
La DGFiP ne confirme qu’en partie ce diagnostic. L’administration évoque « 200 000 comptes » compromis et reconnaît avoir « encore des approfondissements à faire » pour établir l’ampleur réelle du vol. Ce décalage entre les affirmations du pirate et celles du fisc crée une zone d’incertitude: on ne sait pas exactement combien de propriétaires de biens sont réellement exposés.
Sur la sensibilité de ces données cadastrales, l’administration fiscale tente de relativiser. « Il est relativement simple, à condition de motiver sa demande, d’avoir accès aux données cadastrales détaillées », indique le fisc. Cette précision vise à diminuer l’inquiétude des contribuables: contrairement aux identifiants bancaires ou aux numéros de sécurité sociale, l’information relative à la propriété foncière n’est pas verrouillée. Elle est accessible légalement, moyennant justification. Reste que la publicité involontaire, liée au vol, pose un problème distinct.
Comment les contribuables seront informés et protégés
Face à cette crise de confiance, l’administration fiscale s’engage sur une trajectoire de transparence progressif. La DGFiP promet de contacter directement chaque particulier et professionnel touché. Ces notifications directes devront préciser quelles données exactes ont été compromises – information capitale pour que chacun sache s’il doit renforcer sa vigilance contre l’usurpation d’identité, le vol de coordonnées bancaires ou d’autres fraudes.
L’administration indique également qu’elle communiquera, si nécessaire, les mesures de vigilance à adopter. Ce flou résiduel – « si nécessaire » – reflète l’incertitude qui persiste sur l’exploitation réelle des données volées. Certains contribuables pourraient être conviés à activer la double authentification sur leurs comptes fiscaux en ligne, à surveiller leurs comptes bancaires, à vérifier les demandes de crédits établies à leur nom, ou à consulter des services spécialisés dans le monitoring de vol d’identité.
Un bilan consolidé annoncé mais pas encore établi
Ce qui frappe, dans la gestion de cette crise, c’est le décalage temporel: nous sommes fin août, les attaques remontent à fin juin et fin juillet, et l’administration fiscale indique toujours que le bilan n’est pas finalisé. Cela signifie que des semaines d’investigations approfondies sont encore en cours pour déterminer l’étendue exacte du vol et ses contours précis.
Le fisc communiquera « prochainement » un bilan consolidé. Cette promesse de clarté future laisse en suspens les questions des 700 000 contribuables concernés: quelle est ma part exacte du désastre? Mes comptes courants ont-ils été vus? Ma déclaration d’impôts sur le revenu entière a-t-elle transité par les mains des pirates? Dois-je modifier immédiatement mes codes d’accès, ou suis-je seulement concerné par des données moins sensibles?
Jusqu’à cette communication consolidée, les contribuables restent dans une situation de demi-connaissance – informés du risque, mais privés des détails qui leur permettraient d’adapter leur comportement. C’est sur cette ambiguïté que les jours et les semaines à venir vont se jouer, tandis que la DGFiP finalise son inventaire et que les victimes potentielles attendront leur notification personnelle.