Piratage d’impots.gouv : «Les réductions des dépenses publiques conduisent aussi à plus de vols de données fiscales»

«Cette nouvelle attaque n’a rien d’étonnant», s’agace Sandra Demarcq, secrétaire générale du syndicat Solidaires finances publiques. Fin juin, le portail du fisc, impots.gouv.fr, a été victime d’un piratage informatique et d’une fuite de données de contribuables particuliers et professionnels. Un vol officialisé par Bercy seulement jeudi 13 août, dans un succinct communiqué, une fois confronté à la revendication du hackeur, mercredi 12 août, et à la publication d’articles de presse sur le sujet. Le ministère a précisé, vendredi 14 août, que les données extraites concernaient 678 000 comptes particuliers et professionnels confondus.

A lire aussi

Le syndicat majoritaire de l’administration avait pourtant donné l’alerte dès le 18 juin, en interpellant par courrier la patronne de la Direction générale des finances publiques (DGFIP), Amélie Verdier, au sujet d’une «mise en vente sur le darkweb, le 12 juin, de données concernant le portail France services», réseau des services administratifs. Parmi ces données, «potentiellement» celles d’agents de la DGFIP dont l’obtention par un cybercriminel pourrait «faciliter des tentatives de piratage, d’usurpation d’identité ou d’hameçonnage ciblé» pour accéder au système d’information du fisc.

Si le syndicat concluait sur la possibilité, «à très court terme», de nouvelles attaques, après de précédentes fuites de données en février et en juin, reconnues par les services du ministère, la direction a répondu en substance au syndicat «que tout était sous contrôle et qu’aucune donnée n’avait fuité», indique un communiqué de Solidaires finances publiques. Sans que le lien entre les deux piratages ne soit pour l’heure établi, Bercy a confirmé «un accès illégitime au service d’information» de la DGFIP, survenu fin juin, «après une usurpation d’identité» conduisant à «la consultation et l’extraction de données».

D’après l’AFP, le pirate affirme avoir récupéré l’accès à un VPN utilisé par les agents du fisc pour se connecter à distance de façon sécurisée aux outils internes. Ce même pirate revendique une seconde attaque perpétrée, fin juillet, contre le serveur professionnel de données cadastrales qui recense les propriétés immobilières et foncières. Le ministère a confirmé, ce vendredi, ce piratage à hauteur de 200 000 comptes mais insiste, concernant ces données, sur «un degré de sensibilité» inférieur.

Lors d’un brief presse organisé dans la soirée vendredi, la directrice de la DGFIP a justifié les raisons de ce délai de deux mois. En juin, la compromission du compte d’un agent du fisc a été détectée et l’accès a été coupé dans la foulée. En revanche, «cette attaque était plus sophistiquée que ce qu’on a vu par le passé et nous n’avions pas identifié que l’attaquant avait pu récupérer des données», précise Amélie Verdier. La raison, le pirate n’a pas réalisé un «requêtage massif avec l’utilisation de robots» mais a «procédé d’une manière plus sophistiquée avec des explorations d’abord manuelles puis automatisées mais avec de faibles volumes» soit «un comportement qui ne paraissait pas atypique». La fuite n’a été «repérée et identifiée que le 12 août quand l’attaquant l’a revendiquée», insiste-t-elle, tout en précisant qu’en 2025, 6 975 attaques ont été déjouées.

Au-delà de la communication «tardive» et «parcellaire» de la part de Bercy, le courroux du syndicat est redoublé : avant l’officialisation du piratage, «a priori aucun usager n’a été prévenu des fuites de données», déplore Sandra Demarcq. Pourtant, le règlement européen sur la protection des données personnelles prévoit que les personnes concernées par un risque élevé doivent être informées «dans les meilleurs délais». «Les usagers concernés recevront une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites», fait valoir le ministère dans son communiqué. A savoir «tout début de semaine prochaine», précise Amélie Verdier.

La secrétaire générale du syndicat s’interroge aussi sur les priorités de l’administration. «La direction générale n’est pas à la hauteur en termes de sécurisation des données fiscales. Lui accorder plus de moyens techniques et humains devrait être sa priorité plutôt que développer l’intelligence artificielle dans les outils informatiques», estime-t-elle, tout en reconnaissant que «le risque zéro est impossible» à atteindre. La DGFIP indique avoir «mis en œuvre de nouvelles mesures de restriction» pour «mettre fin et prévenir de nouveaux accès illégitimes».

Derrière cette nouvelle attaque, Sandra Demarcq voit la conséquence des coupes budgétaires. «Les réductions des dépenses publiques c’est aussi plus de fuites de données, juge-t-elle. Quand vous réduisez le budget de fonctionnement d’une administration ou de services publics, il y a le risque que la sécurité informatique passe au second plan.»

D’après les informations du site spécialisé FrenchBreaches qui documente les cyberattaques, et confirmées par la DGFIP, parmi les données des particuliers prélevées, figurent, au-delà des informations d’identité (nom, date de naissance, situation familiale) et des coordonnées (numéro de téléphone, mail, adresse postale), des informations fiscales plus sensibles : numéro fiscal, composition du foyer, nombre de parts jusqu’au revenu fiscal de référence et au taux de prélèvement à la source… De telles données, qui donnent une appréciation de la situation financière d’un contribuable, ouvrent le champ des possibles pour les criminels. Il est, par exemple, possible d’imaginer qu’avec une adresse postale et un revenu fiscal de référence dans la nature, des contribuables fortunés deviennent la cible d’autres actes de criminalité comme des cambriolages.

Car, parmi les contribuables touchés, se trouvent de potentiels gros poissons. D’après le Parisien, qui a pu consulter un échantillon des données usurpées, plus de 25 000 contribuables auraient un revenu fiscal de référence supérieur à 100 000 euros, plus de 380 supérieur à 1 million d’euros et 8 au-delà des 10 millions d’euros.

Sans compter les risques plus classiques d’usurpation d’identité, de campagnes de phishing par mail ou de tentatives de fraude… «Plus vous avez des informations personnelles, précises et réelles sur les usagers, plus vous êtes crédible», redoute Sandra Demarcq.

«En elles-mêmes, les données auxquelles l’assaillant a eu accès ne permettent pas de se connecter à son espace sécurisé qu’il s’agisse de particuliers ou de professionnels, tient à rassurer Amélie Verdier. Il n’y a donc pas lieu de considérer que ces données peuvent permettre à un assaillant de modifier quelques données fiscales ou comptes en banque que ce soit.»

Concernant les entreprises, «les données sont moins sensibles que pour les particuliers, insiste la directrice générale. Elles sont soit totalement publiques ou très facilement accessibles dans les bases de données qui recensent les entreprises» comme le numéro Siren ou l’adresse de l’entreprise ou du mandataire.