Le piratage du fisc dépasse désormais le seul cadre d’une fuite de données. Depuis que la Direction générale des Finances publiques a reconnu, le 14 août, des accès illégitimes à son système d’information survenus en juin et juillet, l’exécutif tente de répondre aux interrogations sur la capacité de l’État à protéger ses infrastructures numériques. Environ 678 000 particuliers et entreprises sont concernés par l’exposition de données personnelles et financières.
La DGFiP insiste sur un point : le site impots.gouv.fr et les espaces personnels des contribuables n’ont pas été directement compromis. Mais l’attaque, passée inaperçue pendant plusieurs semaines avant d’être revendiquée publiquement par les pirates, nourrit les critiques sur les dispositifs de détection et la vétusté d’une partie des systèmes informatiques publics.
Cyberattaque du fisc : une menace pourtant identifiée depuis plusieurs années
Le risque n’était pourtant pas inconnu de l’administration fiscale. Dans son schéma directeur du numérique publié en 2025, la DGFiP qualifiait elle même ses données de « sensibilité critique » dans un environnement technologique et géopolitique « toujours plus menaçant ». Le document relevait surtout une explosion du nombre d’attaques contre ses systèmes : 2 579 en 2023, contre 4 925 en 2024, soit une hausse de 90 %.
La DGFiP assurait alors disposer d’une architecture capable d’offrir une « résistance de très haut niveau » aux cybermenaces et indiquait augmenter régulièrement ses moyens techniques et humains. L’attaque de cet été met cependant en lumière une faiblesse classique des administrations et des grandes entreprises : il n’est pas toujours nécessaire de s’attaquer frontalement à l’infrastructure la mieux protégée pour accéder à des données sensibles.
Quelques mois plus tôt, en janvier, le fichier national des comptes bancaires, FICOBA, avait déjà subi des accès illégitimes après l’usurpation des identifiants d’un fonctionnaire. Les pirates avaient alors pu consulter des données comprenant des coordonnées bancaires, des identités et des adresses.
L’exécutif reconnaît une « dette technique »
Face à l’ampleur de la nouvelle attaque, le gouvernement a durci son discours. Le ministre des Comptes publics David Amiel a reconnu l’existence d’une « dette technique » accumulée par les systèmes informatiques de l’administration, selon Le Monde. Un audit du système d’information de la DGFiP est désormais conduit avec l’Agence nationale de la sécurité des systèmes d’information. Ses conclusions sont attendues en septembre.
Matignon a également repris directement la main sur la gestion de la crise. Le gouvernement a annoncé 200 millions d’euros supplémentaires destinés à renforcer la cybersécurité des administrations. L’enjeu dépasse largement Bercy. Les services publics manipulent aujourd’hui des volumes considérables de données fiscales, sociales, médicales ou d’identité devenues particulièrement recherchées par les cybercriminels.
La fuite de la DGFiP présente en outre un risque particulier en raison de la précision des informations détenues par l’administration fiscale. Même lorsqu’elles ne permettent pas directement de se connecter au compte d’une victime, elles peuvent être utilisées pour fabriquer des tentatives d’hameçonnage beaucoup plus crédibles.
Les données volées, carburant des futures arnaques
L’administration fiscale alerte depuis longtemps sur les courriels et SMS frauduleux qui imitent ses communications afin de récupérer des identifiants ou des coordonnées bancaires. La possession de véritables informations personnelles permet aux escrocs de personnaliser leurs messages et de réduire les signaux qui permettent habituellement d’identifier une fraude.
La réponse de l’État ne se jouera donc pas uniquement sur la fermeture de la faille ayant permis cette intrusion. La question porte aussi sur sa capacité à moderniser des systèmes parfois anciens, à détecter plus rapidement les accès anormaux et à limiter les conséquences lorsqu’un compte interne est compromis.
À LIRE AUSSI : Piratage du fisc : données volées, contribuables concernés, arnaques… huit questions sur la cyberattaque
Le calendrier rend le sujet d’autant plus sensible que la DGFiP poursuit parallèlement la numérisation de ses missions. À partir du 1er septembre 2026 doit notamment commencer le déploiement de la facturation électronique pour les entreprises. Cent une plateformes avaient déjà été agréées fin 2025 pour accompagner cette réforme.
