Piratage du fisc : le Sénat révèle comment les données des Français ont fuité, et c’est très inquiétant

En bref

• Un agent public s'est fait voler ses identifiants, probablement via un logiciel infostealer

• Environ 350 000 particuliers et 250 000 professionnels ont vu leurs données fiscales exposées

• La DGFiP n'a découvert l'ampleur du piratage que le 12 août 2026, près de deux mois après l'intrusion

• Trois attaques distinctes ont visé l'administration fiscale entre juin et août 2026

• Les sénateurs Claude Raynal et Jean-François Husson pointent des failles structurelles dans la sécurité informatique de l'État

• La DGFiP promet la généralisation de la double authentification et appelle à la vigilance face au phishing

Un mot de passe volé, une porte grande ouverte

Le scénario tient en une phrase, consignée dans la note transmise le 4 septembre 2026 par les sénateurs Claude Raynal (PS) et Jean-François Husson (LR) : un agent public s'est fait dérober ses identifiants, et cette simple faille humaine a suffi à exposer les données fiscales de centaines de milliers de Français. Pas de faille zero-day ni d'exploit technique sophistiqué. Juste un mot de passe compromis, probablement récupéré via un infostealer, ce type de logiciel malveillant qui aspire identifiants et cookies de session sur un ordinateur infecté.

Entre le 23 et le 25 juin 2026, un pirate a utilisé les identifiants volés d'un agent de l'Éducation nationale pour s'introduire dans le Réseau interministériel de l'État (RIE), l'infrastructure qui relie entre eux les systèmes informatiques de plusieurs administrations. Une fois à l'intérieur, direction le portail ADER, censé servir aux administrations partenaires pour accéder à certaines applications fiscales. Pour s'y connecter, l'attaquant a réutilisé des identifiants d'agents de la DGFiP, «probablement dérobés par des logiciels malveillants présents sur leurs équipements personnels», a confirmé la directrice générale des Finances publiques Amélie Verdier devant les sénateurs, selon la note du Sénat datée du 4 septembre 2026.

A lire aussi : L'once d'or grimpe encore alors que les scandales de cybersécurité se multiplient dans les administrations françaises

Trois attaques en l'espace de deux mois

Le bilan de cette première intrusion donne le vertige : environ 350 000 particuliers et 250 000 professionnels ont vu leurs identités, coordonnées, numéros fiscaux, situations fiscales et échanges avec l'administration se retrouver entre les mains d'un tiers, selon les chiffres transmis par la commission des finances du Sénat le 4 septembre 2026. La DGFiP n'a réalisé l'ampleur du piratage que le 12 août, près de deux mois après la première intrusion, et seulement parce que l'auteur de l'attaque a lui-même revendiqué son opération.

Le calendrier s'est ensuite emballé. Fin juillet-début août, une deuxième attaque a permis de siphonner les données cadastrales de près de 435 000 foyers via la compromission du compte d'un géomètre-expert. Puis, le 17 août, cinq jours après que l'administration a pris conscience du premier incident, une troisième attaque a exploité une faille technique sur un portail dédié aux successions vacantes. Trois angles d'attaque distincts en deux mois, dont un survenu après que l'alerte avait déjà été donnée en interne.

Selon notre expert : Pendant que le fisc se fait pirater, l'argent physique séduit de plus en plus d'épargnants inquiets pour leurs données

Des failles structurelles pointées du doigt par le Sénat

Dans leur note, Claude Raynal et Jean-François Husson identifient plusieurs faiblesses qui dépassent le simple incident isolé. Trop de canaux d'accès existent aux données fiscales, chacun représentant une porte d'entrée potentielle pour un attaquant patient. Les connexions autorisées depuis des équipements personnels, hors du contrôle de sécurité de l'administration, constituent un risque que les deux parlementaires jugent inacceptable au regard de la sensibilité des données concernées.

L'absence de détection automatique des comportements anormaux sur certaines bases figure aussi parmi les reproches formulés. Aucune des trois attaques ne relève d'une méthode particulièrement sophistiquée ou inédite : les techniques utilisées sont documentées depuis des années par les experts en cybersécurité. Le diagnostic dressé par les sénateurs interroge frontalement la capacité des administrations françaises à protéger les données de leurs concitoyens, dans un secteur où la moindre négligence humaine ouvre des portes que la technique seule ne suffit plus à refermer.

Vigilance des contribuables et repli vers des actifs tangibles

Depuis la révélation, la DGFiP affirme avoir fermé plusieurs accès compromis, interdit les connexions à ses outils depuis des appareils personnels et promet de généraliser la double authentification, tout en renforçant la détection des extractions de données inhabituelles. Les personnes concernées par les trois attaques ont normalement déjà reçu une notification de l'administration. La recommandation reste identique pour tous : se méfier des tentatives de phishing qui imitent les impôts, en particulier à l'approche de la prochaine taxe foncière, et ne jamais cliquer sur un lien ou scanner un QR code reçu par mail ou SMS sans vérifier sa provenance.

Cette accumulation d'incidents nourrit une réflexion plus large sur la protection de son épargne face aux risques numériques croissants. Face à des bases de données publiques vulnérables, une partie des épargnants se tourne vers des solutions physiques et déconnectées des réseaux informatiques. Les lingots d'or, les pièces d'or et l'argent physique répondent à cette logique de débancarisation : détenus hors des circuits numériques, ces actifs échappent par nature aux piratages informatiques et offrent une diversification patrimoniale que des affaires comme celle visant la DGFiP contribuent, indirectement, à remettre en lumière.

Sources : BDOR - Sénat, commission des finances, note du 4 septembre 2026 - Direction générale des Finances publiques (DGFiP)