Impôts piratés : 678 000 Français livrés aux cybercriminels, l'État joue les vierges effarouchées

Le bastion sacro-saint de Bercy est tombé. Pas sous les coups d'une armée étrangère, mais sous les assauts de deux petits malins français qui ont dérobé les données de 678 000 contribuables. Pendant que le gouvernement présente ses excuses et promet des millions, les victimes, elles, attendent des réponses. Tout le monde sait que le numérique de l'État est une passoire. Ben voyons.

Que s'est-il passé au site des impôts ?

Trois attaques successives, en juin, juillet et août, ont permis au groupe ZeroBytes de faire main basse sur des données sensibles de la Direction générale des finances publiques (DGFiP). Le parquet de Paris a ouvert une enquête pour « extraction frauduleuse de données » et « association de malfaiteurs ». Le ministre de l'Action et des Comptes publics a présenté ses excuses, le 18 août. Trop aimable. Les Français, eux, aimeraient surtout savoir pourquoi leurs données ont été vendues sur le dark web.

Quelles données ont été volées par les hackers ?

Pour les particuliers, la liste est longue : identifiant fiscal, état civil, coordonnées, situation fiscale, revenu fiscal de référence, nombre de parts, taux de prélèvement à la source. De quoi brosser un portrait complet de chaque victime. Pour les professionnels, les pirates se sont contentés du SIREN et des adresses. Moins juteux, mais tout aussi illégal.

La deuxième attaque, en juillet, a visé les données cadastrales. Le Serveur professionnel de données cadastrales (SPDC) a été mis à contribution. Les cybercriminels ont revendiqué deux millions de personnes, mais l'administration, elle, reconnaît « maximum 433 485 particuliers et 1 082 professionnels ». On est loin du compte, mais c'est déjà ça.

Une troisième fuite, concernant les successions, a été rapidement « coupée ». La patronne de la DGFiP, Amélie Verdier, assure qu'elle n'est « vraiment pas du tout de la même ampleur ». On la croit sur parole. En revanche, elle jure que les pirates n'ont pas réussi à s'introduire dans un compte fiscal ni à récupérer des codes d'accès. Une bonne nouvelle, si elle est vraie.

Comment les hackers ont-ils piraté la DGFiP ?

Les cybercriminels ont fait preuve d'une « sophistication » inédite, selon Amélie Verdier. Fini les requêtes massives, trop faciles à détecter. Ils ont compromis le compte d'un agent de l'administration en exploitant une faille de sécurité. L'accès a été « fermé immédiatement », mais les investigations ont « échoué à repérer ce qu'il s'est passé ». Autrement dit, l'État a été aveugle jusqu'à la revendication des hackers.

ZeroBytes, duo de pirates français, assume. Sur X, ils promettent : « Les impôts, ce n'était que le début ». Ils visent les services de l'État, les trouvent mal sécurisés, et revendent les données au plus offrant. Plusieurs dizaines de milliers d'euros déjà engrangés. Le service public, une vache à lait pour les cybercriminels. Résistance, mon œil.

Que fait l'État pour protéger les contribuables ?

Le gouvernement a réuni une cellule interministérielle le 17 août. Le ministre David Amiel a reconnu que les « systèmes d'information comportent des faiblesses ». Il fallait oser. Plus de 100 emplois dédiés à la cybersécurité, plus de 5 300 signalements, et pourtant, le système est resté poreux.

Le plan d'action prévoit des « token USB » pour sécuriser les comptes des agents, des formations renforcées et des campagnes internes d'hameçonnage. Bref, on réapprend à l'État à fermer la porte de l'écurie après que les chevaux se sont enfuis.

En avril 2026, l'État avait déjà annoncé un plan de sécurisation numérique avec l'autorité « Ariane » et 200 millions d'euros d'investissement. Désormais, on parle de doubler le budget informatique, évalué à 489,9 millions d'euros en 2025. Le milliard d'euros serait en vue. Et c'est Nicolas qui paie, comme toujours.

Les victimes du piratage des impôts doivent-elles s'inquiéter ?

Oui, et c'est normal. Les données volées peuvent servir à des usurpations d'identité, des arnaques ciblées ou des tentatives de fraude. La DGFiP a commencé à envoyer des courriers aux victimes depuis le 17 août. Le processus est long, car « ce n'est pas facile de recouper les profils concernés », selon une source ministérielle. Les contribuables doivent rester vigilants face aux e-mails suspects et aux appels frauduleux.

FAQ : Ce que les victimes du piratage doivent savoir

Quelles données personnelles ont été dérobées lors du piratage de la DGFiP ?

Les pirates ont volé des identifiants fiscaux, des états civils, des coordonnées postales et électroniques, des situations fiscales, des revenus fiscaux de référence, ainsi que des informations sur les personnes à charge et les taux de prélèvement à la source. Pour les professionnels, les numéros SIREN et les adresses ont été compromis.

Comment savoir si je suis victime du piratage des impôts ?

La DGFiP envoie des courriers aux personnes concernées depuis le 17 août. Si vous recevez un courrier officiel, suivez les recommandations de l'administration. En cas de doute, contactez les services des impôts via les canaux officiels. Ne répondez jamais à des e-mails non sollicités demandant vos informations personnelles.

Les hackers ont-ils accédé à mon compte fiscal en ligne ?

Selon la DGFiP, aucune attaque n'a permis de récupérer des codes d'accès aux comptes sécurisés des contribuables. Les pirates n'ont pas réussi à s'introduire dans les comptes fiscaux. Cependant, les données volées peuvent être utilisées pour des tentatives d'usurpation d'identité. Restez vigilant.

Que fait le gouvernement pour renforcer la cybersécurité après ce piratage ?

Le gouvernement a annoncé un plan d'action comprenant la sécurisation des comptes des agents avec des « token USB », le renforcement de la formation cyber et l'intensification des campagnes internes contre le phishing. Un doublement du budget informatique, qui pourrait atteindre un milliard d'euros, est également envisagé.

Conclusion : L'État doit rendre des comptes

Ce piratage massif révèle une vérité inconfortable : l'administration française est à la traîne en matière de cybersécurité. Pendant que les élites déconnectées se félicitent de leurs plans, les contribuables paient les pots cassés. La souveraineté numérique, c'est aussi protéger les données de ceux qui financent l'État. Espérons que cette leçon servira. Mais ne retenons pas notre souffle. Après tout, c'est Nicolas qui paie, et il a l'habitude.