678 000 dossiers fiscaux volés en 7 semaines sans alerte : l’État

Un adolescent de 16 ans a été mis en examen le 28 octobre dans l’enquête sur le piratage du fisc, comme complice présumé d’un jeune homme de 18 ans écroué depuis août. Les deux sont présumés innocents. Leur mise en examen ne dit pas comment la DGFiP a été ouverte. Le rapport de l’ANSSI, lui, le dit : des identifiants d’agents volés, un portail que personne ne surveillait, 7 semaines sans alerte. Et une administration qui, contrairement à une entreprise, ne peut pas être mise à l’amende.

Deux suspects, une enquête qui avance

Le 12 août à 13 h 50, le groupe Zerobytes revendique le vol sur un forum. L’ANSSI est notifiée le même jour à 16 h 32. Le 13 au matin, le détail des données tombe : près de 353 000 particuliers et 252 000 professionnels. La DGFiP porte plainte, la CNIL est saisie, une information judiciaire est ouverte à Paris. Le 20 août, un homme de 18 ans est mis en examen et placé en détention provisoire. Le 28 octobre, un adolescent de 16 ans est mis en examen à son tour, comme complice présumé, selon Le Monde. Une mise en examen n’est pas une condamnation. L’enquête établit des suspects, pas la faille.

Sept semaines sans que personne ne voie

Le rapport d’incident de l’ANSSI, daté du 23 septembre et publié le 29, décrit une attaque sans effraction. L’attaquant disposait de plusieurs dizaines d’identifiants d’agents de la DGFiP et de tiers habilités, dérobés sur 3 mois, probablement par des logiciels espions de type infostealer installés sur des postes personnels ou chez des partenaires. Rien n’a été forcé : on est entré avec les clés.

Le rapport, cité par Numerama, relève que plusieurs services se contentaient d’un mot de passe, et que le second facteur passait par un code envoyé par courriel. Le portail ADER, qui ouvre l’accès aux applications de la direction, n’était pas supervisé par son centre opérationnel de sécurité. Les accès ont été coupés fin juin. L’extraction, elle, avait eu lieu 7 semaines avant la revendication, et personne ne l’avait vue. Le vol n’a été établi que le 12 août, par l’attaquant lui-même. Une administration n’a pas à être inviolable. Elle doit voir passer ce qui sort de chez elle.

Ce qui est parti, et en quelle quantité

Ce ne sont pas des coordonnées, mais des données qui qualifient : identifiant fiscal, état civil, adresse postale, téléphone, courriel, situation de famille, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source. Pour les professionnels, raison sociale et numéro SIREN. Pour le volet cadastral, l’adresse et la surface des biens détenus. Un seul enregistrement dit le revenu, la famille et le patrimoine, avec l’adresse en regard.

Ce n’est pas la première fuite de l’année : le fichier du PCF a exposé 189 308 personnes avec leur opinion politique, et un pirate a revendiqué 905 097 fiches d’immatriculation avec les adresses correspondantes. Une administration qui reconnaît une violation doit publier un compte unique. Ici, il bouge encore.

Le manquement, et l’absence de sanction

Le 14 août, la DGFiP a reconnu le vol. Elle n’a pas dit ceci : elle ne peut pas être sanctionnée pécuniairement. La DGFiP est une direction d’administration centrale sans personnalité juridique ; ses traitements sont mis en œuvre par l’État. Or l’article 20 de la loi du 6 janvier 1978 exclut, dans ce cas, l’amende administrative et l’astreinte qui peut accompagner une mise en conformité. La CNIL peut rappeler à l’ordre, mettre en demeure, ordonner une mise en conformité. Elle ne peut pas faire payer.

Après l’attaque de France Travail en mars 2024, établissement public distinct de l’État, la CNIL a prononcé 5 millions d’euros d’amende et une astreinte de 5 000 euros par jour. La Fondation IFRAP, qui a comparé les deux régimes, le rappelle. À manquement identique, la sanction ne l’est pas. En septembre, le Conseil d’État jugeait encore le risque de fuite des données fiscales « très faible ».

Pour être indemnisée, la victime doit saisir le juge administratif, après une réclamation chiffrée, avec avocat obligatoire et un délai plus court que le droit commun. Le 24 août, plusieurs centaines de victimes ont rejoint une démarche coordonnée. Elles ne seront pas 678 000 à être indemnisées.

À regarder : le reportage de France 24 diffusé après la révélation de la troisième fuite, celle du portail des successions vacantes, le 18 août 2026. Il replace les trois intrusions dans l’ordre des faits et montre la réponse de l’administration.

Ce que cela change pour vous

La DGFiP affirme que ces données ne donnent pas accès à l’espace particulier. C’est exact, et cela ne règle rien. Un courriel qui cite votre taux de prélèvement exact, votre nombre de parts et votre situation de famille n’a pas besoin d’un mot de passe pour être cru. C’est le matériau des arnaques ciblées, et pour le fichier cadastral, celui des cambriolages. Aucun message reçu ne justifie que vous donniez un mot de passe, un identifiant, un RIB ou un numéro de carte. Votre situation fiscale se consulte en tapant l’adresse du site vous-même.