Piratage du site des impôts : comment en est-on arrivé là ?

En 2026, au moins une quinzaine de services publics français ont été piratés, dont des institutions majeures comme la Direction générale des Finances publiques (DGFiP), l'Agence nationale des titres sécurisés (ANTS) ou encore la messagerie Tchap. Ces attaques ont permis le vol de centaines de milliers, voire de millions de données sensibles. Par exemple, le fichier FICOBA des comptes bancaires a concerné 1,2 million de personnes, tandis que l'ANTS a vu 12 millions de données exposées. La DGFiP a subi une fuite de 678 000 données de particuliers et professionnels, révélée seulement 7 semaines après l'intrusion, qui s'est produite fin juin 2026. Les pirates, identifiés sous le nom ZeroBytes, ont revendiqué ces attaques et annoncé d'autres intrusions, comme celle sur les données cadastrales ou celles de l'Éducation nationale, avec 346 millions de lignes de données dérobées.

Les données volées, incluant adresses, revenus fiscaux et taux de prélèvement, exposent les victimes à des risques majeurs. La DGFiP évoque des hameçonnages (escroqueries par messages frauduleux), des appels plus crédibles grâce aux données personnelles dérobées, et des tentatives d'usurpation d'identité. Pour les contribuables fortunés, dont près de 27 000 déclarations dépassent 100 000 € et quelques centaines dépassent le million, le danger est aussi physique : cambriolages ou enlèvements ciblés. Ces risques sont illustrés par des affaires récentes, comme des enlèvements de détenteurs de crypto-monnaies ou des cambriolages après le piratage de la fédération française de tir en 2025. Les données de succession, également piratées, aggravent cette situation.

L'attaque contre la DGFiP repose sur une usurpation d'identifiants d'un agent, une méthode déjà utilisée en janvier 2026 pour le fichier FICOBA. Contrairement à une attaque massive automatisée, les pirates ont procédé par explorations manuelles puis automatisées à faible volume, évitant ainsi de déclencher des alertes. La directrice de la DGFiP, Amélie Verdier, a reconnu que l'intrusion avait été détectée en juin, mais que l'extraction des données n'avait pas été identifiée. Selon l'entrepreneur Tariq Krim, trois scénarios sont possibles : absence de logs, effacement des traces par les pirates, ou négligence dans la vérification des activités suspectes. Ces lacunes soulignent des failles dans la cybersécurité de l'État.

Malgré les recommandations de la CNIL, qui souligne que 80 % des violations en 2024 étaient dues à des comptes protégés uniquement par un mot de passe, l'État n'a pas généralisé l'authentification multifacteur (nécessitant un code envoyé par SMS ou une application en plus du mot de passe). La feuille de route 2026-2027 pour la cybersécurité de l'État prévoit cette généralisation d'ici février 2028, mais les mesures actuelles restent insuffisantes. D'autres lacunes incluent l'absence de tests réguliers de sauvegarde des systèmes critiques et la persistance de comptes génériques (utilisés par plusieurs personnes sans traçabilité). Le modèle historique de sécurité de l'État, basé sur des barrières physiques, contraste avec le principe zero trust, qui exige de ne faire confiance à aucun accès par défaut.

Les administrations publiques sont des cibles majeures pour les cybercriminels, avec une augmentation de 100 % des fuites de données issues du secteur public en deux ans, selon la CNIL. La France est le pays européen le plus cité pour ces incidents. Le CERT-FR (Centre gouvernemental de veille et de réponse aux attaques informatiques) anticipe que l'intelligence artificielle facilitera les attaques, notamment sur les environnements peu sécurisés. Le retard de la France dans la transposition de la directive européenne NIS 2 (Network and Information Security), prévue pour octobre 2024 mais toujours en débat en septembre 2026, aggrave cette situation. Le texte est bloqué par des désaccords sur l'accès aux messageries chiffrées, notamment par la DGSI (Direction générale de la sécurité intérieure).