Piratage des impôts : la sécurité des données fiscales devient un enjeu concret pour des centaines de milliers de Français

Que risque un contribuable lorsque ses informations fiscales sont consultées ou extraites par des pirates ? La réponse dépendra des données concernées. Mais, pour des centaines de milliers de particuliers et d’entreprises, l’État doit désormais expliquer précisément ce qui s’est passé et quelles protections mettre en place.

Une cellule de crise réunie après l’attaque

Le Premier ministre Sébastien Lecornu présidera lundi 17 août, dans l’après-midi, une cellule interministérielle de crise consacrée au piratage du système d’information des impôts.

La réunion se tiendra en visioconférence sécurisée, après son déplacement en Gironde. Elle réunira les administrations et les ministères concernés par la cyberattaque.

Son premier objectif sera de préparer l’information des 678 000 particuliers et entreprises dont les données ont été consultées. Les notifications doivent commencer lundi.

Cette étape est importante. Une personne ne peut pas se protéger efficacement si elle ignore quelles informations ont été exposées. L’administration devra donc préciser les catégories de données concernées et les mesures à prendre.

Le parquet de Paris a ouvert une enquête samedi. Les investigations judiciaires devront notamment déterminer l’origine de l’intrusion, son déroulement et l’identité des responsables.

La Direction générale des Finances publiques et ses services fiscaux gèrent des informations particulièrement sensibles. Elles peuvent concerner l’identité, la situation familiale, les revenus ou encore les modalités de prélèvement de millions de personnes.

Quelles données peuvent intéresser les pirates ?

Les investigations menées depuis le 12 août ont établi que des accès compromis avaient permis de consulter et d’extraire certaines données concernant 678 000 particuliers et professionnels.

Pour les particuliers, les informations citées comprennent notamment le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Ces données ne donnent pas directement accès à un compte bancaire. Elles restent toutefois exploitables pour préparer des escroqueries ciblées.

Un fraudeur peut, par exemple, utiliser une identité et une situation fiscale crédibles pour se faire passer pour un agent public, un conseiller bancaire ou un prestataire administratif.

Le risque principal est donc celui de l’hameçonnage. Cette technique consiste à envoyer un courriel, un SMS ou un appel destiné à pousser une personne à transmettre un mot de passe, un document ou des coordonnées bancaires.

Les entreprises sont également concernées. Des informations comme la raison sociale ou le numéro SIREN peuvent faciliter des tentatives de fraude au faux fournisseur, au faux dirigeant ou au faux interlocuteur fiscal.

Pour éviter les confusions, l’administration fiscale rappelle que les démarches officielles passent par les espaces sécurisés et les canaux identifiés sur le site officiel des impôts pour les particuliers. Un message inattendu demandant un paiement ou une pièce d’identité doit être traité avec prudence.

Un audit demandé sur la sécurité du fisc

Sébastien Lecornu a demandé à David Amiel, ministre de l’Action et des comptes publics, de conduire un audit sur la sécurisation des systèmes informatiques de la Direction générale des Finances publiques.

Les mesures opérationnelles issues de cet audit doivent être présentées en septembre. L’enjeu sera de repérer les failles techniques, mais aussi les faiblesses liées aux accès des agents, aux mots de passe et à la surveillance des connexions.

Dans une grande administration, la sécurité ne repose pas seulement sur un logiciel. Elle dépend aussi de la manière dont les droits sont distribués, de la rapidité avec laquelle un compte compromis est désactivé et de la capacité à détecter une extraction inhabituelle de données.

La crise pose également la question de la dette technique. Certains systèmes publics reposent sur des architectures anciennes, difficiles à moderniser sans interrompre les services. Or les impôts doivent continuer à fonctionner pendant les périodes de déclaration, de paiement et de remboursement.

Cette contrainte distingue les grandes administrations des petites collectivités. Une direction nationale dispose de compétences spécialisées et de budgets importants. Une petite mairie ou un établissement local peut, au contraire, dépendre d’un prestataire extérieur et manquer d’agents formés à la cybersécurité.

Le plan de sécurisation des services publics sous pression

La réunion de lundi permettra aussi de faire le point sur le plan de sécurisation des administrations publiques lancé le 30 avril.

Ce plan prévoit notamment le déblocage de 200 millions d’euros pour renforcer les moyens consacrés à la protection des systèmes publics. Le gouvernement veut ainsi moderniser certaines infrastructures et améliorer la capacité de réaction face aux attaques.

Après le piratage de plusieurs services numériques de l’État, l’exécutif défend une réponse plus centralisée. L’objectif est de mieux coordonner les ministères et de clarifier les responsabilités en matière de protection informatique.

Cette orientation peut bénéficier aux administrations qui ne disposent pas de ressources suffisantes. Elle soulève toutefois une difficulté concrète : l’argent débloqué doit être transformé rapidement en compétences, en outils et en procédures réellement appliquées.

Les experts de la cybersécurité insistent régulièrement sur ce point. Une nouvelle plateforme ne suffit pas si les comptes sont trop largement ouverts, si les mises à jour sont retardées ou si les agents ne sont pas formés aux tentatives de fraude.

La stratégie nationale de cybersécurité portée par l’Agence nationale de la sécurité des systèmes d’information repose justement sur plusieurs niveaux : prévention, détection, réaction et accompagnement des victimes.

Une crise qui dépasse la seule question technique

Pour les contribuables concernés, le sujet est d’abord concret. Une fuite de données peut entraîner des messages frauduleux, des tentatives d’usurpation d’identité ou des démarches administratives supplémentaires.

Pour les entreprises, le risque touche aussi les procédures comptables et commerciales. Des informations fiscales peuvent aider des escrocs à rendre leurs demandes plus crédibles auprès d’un service financier.

Pour l’État, l’enjeu est institutionnel. Les services fiscaux occupent une place centrale dans la vie quotidienne. Ils collectent l’impôt, versent des remboursements et produisent des documents utilisés par les banques, les bailleurs et les administrations.

Une attaque réussie ne menace donc pas uniquement la confidentialité des données. Elle peut aussi fragiliser la confiance dans les démarches en ligne et dans la capacité de l’administration à protéger les informations qu’elle exige des citoyens.

Le gouvernement devra enfin répondre à une question politique : comment concilier la numérisation rapide des services publics avec le niveau de protection attendu pour des données aussi sensibles ? Les grands acteurs pourront financer des systèmes complexes. Les petites structures, elles, auront besoin d’un soutien durable et de règles simples.

Les prochaines échéances à surveiller

La première échéance est la notification des 678 000 personnes et entreprises concernées. Elle doit permettre de distinguer les données effectivement exposées et les mesures de vigilance adaptées.

La deuxième concerne l’enquête ouverte par le parquet de Paris. Elle devra établir les circonstances exactes de l’intrusion et vérifier l’étendue des accès utilisés par les attaquants.

Enfin, le gouvernement attend en septembre les conclusions opérationnelles de l’audit demandé à Bercy. Elles permettront de mesurer si les 200 millions d’euros annoncés répondent à des failles précises ou s’ils traduisent seulement un renforcement général des moyens.