Après le piratage du fisc, les contribuables demandent des réponses sur la sécurité de leurs données personnelles

Que peut faire un contribuable quand ses données fiscales ont été volées ? La question est devenue concrète pour plusieurs centaines de milliers de particuliers et de professionnels. Elle touche à la fois la vie privée, la sécurité financière et la confiance dans l’administration.

Une intrusion révélée après plusieurs semaines

Le système d’information de la Direction générale des finances publiques (DGFiP) a fait l’objet d’accès illégitimes à la fin du mois de juin et en juillet 2026. Près de 700 000 usagers seraient concernés par l’extraction de données personnelles.

L’administration fiscale a indiqué que l’attaque reposait sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Autrement dit, les pirates ne se seraient pas contentés de contourner une protection technique : ils auraient utilisé des comptes disposant déjà d’un accès autorisé.

Le 12 août, un acteur malveillant a revendiqué l’opération. Cette révélation a déclenché une nouvelle séquence politique. Les services fiscaux ont alors renforcé les restrictions d’accès, lancé des investigations et annoncé une notification à la Commission nationale de l’informatique et des libertés, l’autorité chargée de veiller à la protection des données personnelles.

Le parquet de Paris a également ouvert une enquête. Les investigations doivent notamment déterminer quelles informations ont été consultées ou extraites, pendant combien de temps et par quels moyens.

Les données évoquées comprennent des informations d’identité et des éléments liés aux situations fiscales. Dans certains cas, des informations cadastrales ou patrimoniales pourraient aussi être concernées. Le périmètre exact doit encore être établi par les enquêteurs et l’administration.

Pourquoi Mathilde Panot demande une commission d’enquête

La présidente du groupe La France insoumise à l’Assemblée nationale, Mathilde Panot, a demandé le 19 août la création d’une commission d’enquête parlementaire. Son objectif serait de comprendre comment l’intrusion a été possible et pourquoi elle n’a pas été détectée plus tôt.

La députée juge la situation « extrêmement grave ». Elle estime que l’alerte publique n’est intervenue qu’après la revendication de l’attaque par les cybercriminels. « Si les cybercriminels n’avaient pas revendiqué leurs attaques, nous n’aurions pas su qu’il y avait 700 000 données personnelles volées », a-t-elle déclaré.

Son raisonnement repose sur deux hypothèses. Première possibilité : la DGFiP n’aurait pas identifié le vol au moment où il s’est produit. Deuxième possibilité : elle en aurait eu connaissance sans en informer immédiatement les personnes concernées. Mathilde Panot demande donc que les responsabilités soient clairement établies.

La députée affirme également que des représentants syndicaux de Bercy auraient signalé plusieurs intrusions en juin et en juillet. La direction générale des finances publiques conteste cette présentation. Sa directrice, Amélie Verdier, a déclaré que ses services n’avaient « pas connaissance du vol de données avant le 12 août ».

Cette divergence est centrale. Elle oppose la question des alertes internes à celle de la capacité de l’administration à les traiter. Une commission d’enquête pourrait entendre des responsables informatiques, des agents, des représentants syndicaux, des experts et les autorités de contrôle.

Un débat qui dépasse le seul piratage du fisc

La sécurité des données publiques est devenue un enjeu national. Les administrations concentrent des informations particulièrement sensibles : identité, revenus, coordonnées, prestations sociales, comptes bancaires ou données de santé.

La CNIL a relevé une progression des violations de données. Dans son bilan 2025, elle indique avoir reçu la notification de 6 167 incidents. Un sur deux relevait d’un piratage. L’autorité souligne aussi que les collectivités, les entreprises, les associations et les ministères sont tous exposés.

La difficulté ne tient pas uniquement aux logiciels. Elle concerne aussi les habilitations, les mots de passe, la surveillance des connexions et la réaction aux signaux faibles. Un compte légitime peut devenir une porte d’entrée si ses identifiants sont volés ou si ses droits sont trop larges.

Le gouvernement devra donc répondre à une question simple en apparence : l’administration dispose-t-elle des moyens humains et techniques nécessaires pour protéger les bases qu’elle exploite ?

Mathilde Panot réclame davantage de moyens pour l’Agence nationale de la sécurité des systèmes d’information, l’Anssi, qui accompagne les acteurs publics face aux cybermenaces. Elle cite aussi la CNIL, chargée de contrôler la conformité et la protection des données.

La députée estime que les renforts accordés ces dernières années restent insuffisants face au nombre d’attaques. Cette demande bénéficie d’abord aux autorités publiques et aux citoyens, qui attendent une meilleure prévention. Elle suppose toutefois des recrutements, des formations et des investissements durables, alors que les administrations arbitrent déjà leurs dépenses.

Les conséquences concrètes pour les usagers

Pour les personnes touchées, le risque ne se limite pas à une fuite abstraite. Des données fiscales peuvent servir à préparer des tentatives d’hameçonnage très crédibles. Un fraudeur connaissant l’identité, l’adresse ou certains éléments patrimoniaux d’une victime peut personnaliser son message.

Les particuliers doivent donc se méfier des courriels, appels ou SMS demandant un paiement, un mot de passe ou une copie de pièce d’identité. Les services fiscaux ne demandent pas de transmettre des identifiants confidentiels par message. En cas de doute, il faut passer directement par son espace officiel, sans utiliser un lien reçu.

Les entreprises peuvent être exposées à d’autres risques. Des informations sur leurs dirigeants, leurs établissements ou leur situation administrative peuvent faciliter l’usurpation d’identité et les escroqueries ciblées. Les petites structures sont souvent plus vulnérables, car elles disposent de moins de personnel spécialisé en cybersécurité.

Les grands groupes peuvent davantage investir dans la surveillance et la protection des comptes. En revanche, ils gèrent des volumes de données plus importants. Les collectivités et les services déconcentrés, eux, doivent souvent sécuriser des systèmes anciens avec des équipes limitées.

Le renforcement des contrôles peut aussi avoir un effet concret sur les agents. Des procédures plus strictes peuvent ralentir certaines tâches et compliquer l’accès aux outils. Elles sont pourtant indispensables si elles permettent de limiter les comptes trop puissants et de repérer rapidement les comportements anormaux.

Un contrôle politique désormais attendu

Le gouvernement met en avant la mobilisation immédiate de la DGFiP, du service du haut fonctionnaire de défense et de sécurité et de l’Anssi. Il rappelle aussi que l’enquête doit permettre de distinguer les faits établis des affirmations diffusées par les pirates.

Cette prudence est nécessaire. Une revendication publiée en ligne ne suffit pas à déterminer l’ampleur réelle d’un vol. Elle ne permet pas non plus, à elle seule, de savoir si les données ont été utilisées ou revendues.

Mais la réponse institutionnelle devra être suffisamment précise pour restaurer la confiance. Les usagers veulent savoir s’ils sont concernés, quelles informations ont été exposées et quelles mesures prendre. Les agents, de leur côté, attendent que les éventuelles alertes internes soient examinées sans être écartées.

La question parlementaire met enfin en lumière un choix plus large : faut-il concentrer les efforts sur la modernisation numérique des services ou renforcer en priorité les équipes chargées de les administrer et de les surveiller ? Dans les faits, les deux dimensions sont liées. Un système moderne reste fragile si ses accès sont mal gérés. Un agent bien formé ne peut pas compenser durablement des outils dépassés.

Les prochaines étapes à surveiller

La première échéance concerne l’information des usagers concernés. La DGFiP doit préciser progressivement la nature des données exposées et les personnes touchées.

Il faudra ensuite suivre les conclusions de l’enquête judiciaire et les éventuelles mesures correctrices demandées par la CNIL. Le débat sur la création d’une commission d’enquête dépendra, lui, de l’initiative des groupes parlementaires et des règles de recevabilité applicables à ce type de procédure.

Enfin, les réponses budgétaires seront déterminantes. Les prochains débats sur les moyens de la DGFiP, de l’Anssi et de la CNIL montreront si la sécurité des données devient une priorité durable ou reste une réaction ponctuelle après chaque attaque.