Fin juin, le système informatique de la Direction générale des finances publiques (DGFiP) a subi un « accès illégitime » permettant la consultation et l’extraction de données personnelles et professionnelles. Le ministère de l’Économie et des Finances l’a confirmé jeudi 13 août. Selon les données documentées, près de 678 000 personnes seraient concernées, dont plus de 392 000 particuliers. Les contribuables touchés recevront une notification détaillant les informations exposées.
C’est par la revendication d’un « acteur malveillant » qu’émerge la réalité d’une intrusion informatique majeure au cœur du fisc français. Deux mois après les faits – fin juin – l’État confirme jeudi 13 août ce que les spécialistes en sécurité informatique suspectaient: le système d’information des impôts a été pénétré. L’intrusion s’est effectuée « après une usurpation d’identité », précise le ministère. Un détail qui dit long sur la sophistication de l’attaque. Non pas un pirate tentant de forcer une porte, mais un individu se présentant comme quelqu’un d’autre pour franchir le seuil.
Quelles données ont été consultées et extraites?
Le ministère de l’Économie et des Finances reste étonnamment discret sur la nature précise des informations compromises. Pas de liste détaillée des données exposées, pas de catégorisation entre les données sensibles et les informations moins critiques. Seule certitude: l’accès illégitime a permis « la consultation et l’extraction de données concernant des particuliers et des professionnels ». Cela suffit à mesurer l’étendue du problème quand on sait l’épaisseur des dossiers conservés par le fisc: déclarations de revenus, adresses, numéros de sécurité sociale, données bancaires, situationen professionnelle, composition du foyer fiscal.
Les investigations sont en cours pour évaluer l’ampleur réelle de la fuite. Le ministère promet que « les usagers concernés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter ». Une notification qui intervient après le fait, une fois la brèche déjà ouverte et le contenu potentiellement diffusé ou vendu sur les marchés souterrains d’Internet.
Un périmètre massive: 678 000 personnes touchées
Le chiffre que redoutent les responsables de la sécurité informatique vient de tomber. Environ 678 000 personnes seraient concernées par cette intrusion, selon les données documentées. Parmi elles, 392 000 particuliers – des citoyens français dont l’intimité fiscale a potentiellement été compromise. Le reste correspond à des professionnels: auto-entrepreneurs, dirigeants de PME, sociétés.
Ramené à l’échelle de la population française, le chiffre parle de lui-même. C’est comme si chaque habitant d’une ville de la taille de Lyon voyait ses données financières personnelles exposées. Pour beaucoup de ces contribuables, la notification arrivera comme une surprise déstabilisante. Ils n’ont fait rien de mal. Aucune malveillance de leur côté. Pourtant, quelque part, leurs informations circulent désormais hors de contrôle.
Le timing de l’annonce: une confirmation tardive
Pourquoi attendre deux mois avant d’informer le public? Le ministère ne l’explique pas. Les investigations prennent du temps, certes. Identifier l’étendue d’une fuite, tracer les accès, évaluer ce qui a été exfiltré – tout cela ne se fait pas en quelques jours. Mais deux mois, c’est un délai considérable pour les contribuables ignorant qu’ils figurent parmi les victimes. Pendant ce temps, leurs données auraient pu être reproduites, vendues, réutilisées par d’autres cybercriminels.
La revendication de l’acteur malveillant intervient jeudi – la veille de l’annonce officielle du ministère. Coïncidence? Peu probable. Généralement, les attaquants revendiquent une intrusion pour faire du bruit, démontrer leur compétence, ou préparer un chantage. L’État confirme alors, pressé par l’actualité naissante plutôt que par son propre calendrier de communication.
Ce que l’État fait pour réagir
La DGFiP enclenche la procédure standardisée en cas de cyberattaque sur données personnelles. Trois étapes: notification à la Commission nationale de l’informatique et des libertés (Cnil), l’autorité garante de la protection des données en France; dépôt de plainte, formalisant l’incident auprès des autorités judiciaires; communication progressive des éléments nouveaux au fur et à mesure des investigations.
Cette procédure est rassurante sur le papier. Elle montre que le cadre légal existe, que les obligations de signalement sont respectées, que les autorités compétentes sont saisies. Mais elle ne ramène pas les données déjà exfiltrées. Elle ne gomme pas le fait qu’un système informatique críatique – celui du fisc – s’est avéré pénétrable.
Les mesures de vigilance promise aux contribuables
Bercy promet qu’une information individuelle arrivera dans les boîtes aux lettres (ou e-mails) des contribuables touchés. Cette notification précisera quelles données « susceptibles d’avoir été consultées ou extraites » les concernent, et quelles « mesures de vigilance » adopter. Concrètement: surveiller ses relevés bancaires, consulter ses antécédents de crédit auprès des bureaux d’enregistrement, mettre en place une protection contre l’usurpation d’identité.
C’est peu, mais c’est le strict minimum auquel s’engagent les organisations victimes de fuites de données. Aucun crédit de surveillance gratuit n’est généralement proposé; aucune compensation financière automatique ne gomme le préjudice moral et le risque réel d’usurpation identitaire.
L’incident du fisc français revêt une dimension supplémentaire: ce ne sont pas les données d’une banque ou d’une plateforme de commerce en ligne qui s’échappent. Ce sont les données du système fiscal lui-même, concentrant ce que l’État français connaît de plus intime sur la situation financière et personnelle de ses ressortissants. Une atteinte moins visible que le vol direct d’argent, mais peut-être plus préoccupante à long terme.