Le 14 août 2026, le ministère de l’Économie confirme par communiqué un accès frauduleux au système d’information de la Direction générale des Finances publiques. Les faits remontent à juin et juillet 2026 : un attaquant a exploité les identifiants usurpés d’un agent et d’un tiers habilité pour consulter et extraire des données concernant 678 000 particuliers et professionnels. Ce chiffre officiel ne se confond pas avec les 678 438 lignes revendiquées par l’attaquant sur un forum spécialisé, qui relèvent de sa communication et non d’un décompte administratif. Les espaces personnels des usagers, leurs identifiants et leurs mots de passe n’ont pas été compromis. Ce qui a été extrait, en revanche, est précis : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, données cadastrales portant sur les adresses et les surfaces des biens immobiliers, et pour les entreprises, raison sociale et numéro SIREN. Un audit mené avec l’appui de l’ANSSI est en cours, ses conclusions doivent être transmises en septembre aux commissions des finances de l’Assemblée nationale et du Sénat.
Un troisième accès a depuis été révélé, le 17 août, sur le portail public des successions vacantes, coupé le jour même. La DGFiP a elle-même précisé que cet incident n’est pas de la même ampleur que les deux premiers, ce portail ne contenant que des données déjà publiques, consultées via un journal de demandes plutôt qu’extraites en masse. C’est une nuance qui mérite d’être maintenue plutôt que noyée dans l’inquiétude générale : les trois incidents ne se valent pas, et seuls les deux premiers portent sur des données personnelles non publiques. Les investigations sur le volume exact continuent, la presse spécialisée évoquant depuis un chiffre nettement supérieur aux 678 000 initiaux pour le seul volet cadastral, de l’ordre de 1,8 million de comptes concernés. Ces estimations restent à confirmer par l’administration elle-même, qui indiquait encore le 14 août que les investigations se poursuivaient pour déterminer précisément le volume de données extraites.
Ce n’est pas un incident isolé. C’est le troisième épisode en un peu plus d’un an à reposer sur le même mécanisme, l’exploitation d’accès légitimes détournés plutôt qu’une faille technique brute. En janvier 2026, la CNIL sanctionnait France Travail après une intrusion similaire. En février, Bercy reconnaissait un accès illégitime au fichier national des comptes bancaires, portant sur environ 1,2 million de coordonnées. En août, c’est la DGFiP. Le point commun aux trois dossiers n’est pas la sophistication de l’attaquant, c’est la difficulté d’une organisation, même dotée de moyens considérables, à détecter qu’un compte disposant de droits légitimes se met soudainement à se comporter anormalement. Pour une entreprise qui gère elle-même des accès partenaires, des prestataires ou des comptes à privilèges, la leçon dépasse largement le cas de l’administration fiscale.
Sur le plan juridique, les conséquences immédiates sont connues et suivent un chemin balisé : notification à la CNIL au titre du RGPD, plainte pénale, information individuelle des personnes concernées à partir de la mi-août, contentieux en responsabilité pour l’État devant s’articuler autour de la preuve que les mesures de sécurité déployées étaient proportionnées au risque. C’est un terrain que les juristes spécialisés couvrent déjà en détail. Ce qui reste largement absent de la couverture de cet incident, c’est une deuxième question, plus concrète, qui touche directement au métier de la sûreté : qu’est-ce que ces données précises permettent de faire à quelqu’un qui voudrait cibler physiquement une personne ou un domicile ?
La réponse tient à la nature même des champs extraits. Le revenu fiscal de référence et le quotient familial ne sont pas des données abstraites, ce sont un indicateur direct de niveau de richesse et de composition du foyer. Les données cadastrales, adresse et surface du bien, ne sont pas non plus neutres : elles permettent de localiser précisément un domicile et d’en déduire un ordre de grandeur de sa valeur, sans même avoir besoin de consulter une autre source. Pris isolément, chacun de ces éléments est banal. Combinés, ils reconstituent exactement le profil que recherche une filière organisée pour établir une liste de cibles, un revenu élevé associé à une adresse précise et à une surface de bien qui confirme le niveau de vie. La presse économique a rapporté que plus de 26 000 contribuables concernés par cette fuite affichent un revenu fiscal de référence supérieur ou égal à 100 000 euros, un chiffre qui donne une idée concrète de l’ampleur du vivier de cibles à haut profil que ce type de données constitue.
Ce raisonnement n’est plus seulement celui d’un professionnel de la sûreté qui anticipe un usage possible. Il a été formulé presque à l’identique par un observateur économique au lendemain de la révélation du volet cadastral : croiser les données cadastrales avec les informations fiscales permet d’identifier une résidence secondaire inoccupée une partie de l’année, appartenant à un contribuable aisé, soit exactement le renseignement dont a besoin une équipe organisée pour planifier un cambriolage plutôt que de cibler au hasard. Quand un scénario de sûreté professionnel et un constat de presse indépendant convergent aussi précisément, ce n’est plus une hypothèse de travail, c’est un risque déjà identifié par plusieurs regards distincts.
Ce n’est pas une spéculation théorique. La France dispose déjà d’un précédent documenté qui établit ce lien de manière incontestable. En juin 2025, une agente des services fiscaux de Bobigny a été mise en examen pour avoir transmis à des criminels des informations extraites des fichiers de l’administration, le patrimoine déclaré, l’adresse personnelle et la composition familiale de personnes identifiées comme détentrices de cryptoactifs. Cette affaire a été un facteur déclencheur reconnu d’une vague de criminalité qui n’a cessé de s’amplifier depuis. Chainalysis, dans son rapport sur la criminalité liée aux cryptoactifs, désigne l’exploitation abusive des fichiers fiscaux français comme la cause la plus probable de la hausse des attaques physiques contre les détenteurs de cryptoactifs sur le territoire national. Le ministère de l’Intérieur recensait, fin juin 2026, 77 enlèvements, séquestrations et tentatives d’extorsion liés aux cryptoactifs depuis le début de l’année, contre 45 sur l’ensemble de 2025 et une trentaine en 2024. La France concentre aujourd’hui l’essentiel des cas recensés dans le monde pour ce type d’agression, ce que les enquêteurs spécialisés appellent des attaques par contrainte physique directe, visant à obtenir sous la menace l’accès à un portefeuille numérique plutôt qu’à en pirater les protections.
Le risque d’hameçonnage ciblé, lui, est déjà largement couvert : des professionnels de la sécurité informatique, y compris au sein des forces de sécurité intérieure, ont rappelé à juste titre qu’une donnée fiscale isolée semble anodine mais que plusieurs données croisées permettent de construire un message frauduleux d’une crédibilité redoutable, et ont détaillé les bons réflexes à adopter face à un courriel ou un appel se présentant comme émanant de l’administration fiscale. Ce travail de pédagogie est nécessaire et bien fait par d’autres. Ce qui reste largement absent de cette couverture, en revanche, c’est le prolongement physique du même raisonnement : les mêmes données croisées qui rendent un message d’hameçonnage crédible permettent tout autant d’établir une liste de cibles pour un cambriolage ou, dans le cas de profils identifiables comme détenteurs de cryptoactifs, pour une agression directe.
Il faut être exact sur ce que l’on peut affirmer et ce que l’on ne peut pas affirmer à ce stade concernant la fuite DGFiP d’août 2026 elle-même. Rien n’indique aujourd’hui que les données extraites lors de cet incident précis aient déjà servi à cibler physiquement quelqu’un. La comparaison avec l’affaire de Bobigny porte sur le mécanisme, pas sur ce dossier en particulier : elle démontre qu’un canal existe et qu’il a déjà été emprunté avec des conséquences graves, pas que ce canal a été emprunté cette fois-ci. Cette nuance n’enlève rien à la gravité du sujet, elle en précise seulement les termes. Une donnée fiscale qui circule, quelle que soit la fuite dont elle provient, entre dans un écosystème où ce type d’usage est désormais établi, documenté et statistiquement en forte croissance.
Pour un dirigeant ou un responsable sûreté, la conséquence pratique est directe. Une fuite de données fiscales ou patrimoniales concernant un dirigeant, un cadre dirigeant ou un actionnaire identifiable ne doit plus être traitée uniquement comme un sujet de conformité RGPD à transmettre au service juridique. Elle doit déclencher un réflexe de sûreté, au même titre qu’une alerte de sécurité classique. Cela signifie identifier qui, dans l’organisation, dispose d’un profil de richesse ou de visibilité qui en ferait une cible plausible, vérifier si des informations sur son domicile, sa famille ou son patrimoine sont sorties par un canal quelconque, et adapter les mesures de protection personnelle en conséquence, plutôt que d’attendre qu’un incident physique révèle après coup qu’un signal avait déjà circulé. C’est exactement la même logique de traçabilité et de réaction documentée que celle développée à propos du Duty of Care en mobilité internationale dans nos articles précédents : la donnée qui fuit n’est jamais seulement une question de conformité, elle porte en elle un risque de sûreté que seule une organisation attentive au terrain sait repérer avant qu’il ne se matérialise.
Pour lire nos prochains articles avant leur mise en ligne publique : inscription à la newsletter
Laisser un commentaire