Données fiscales volées : pourquoi le plan de cybersécurité de l’État est attendu au tournant par les contribuables

Que deviennent les données fiscales lorsque l’administration qui les détient est piratée ? Pour près de 700 000 particuliers et entreprises, la question n’est plus théorique. Elle concerne désormais le risque d’arnaques ciblées, de fraude à l’identité et de messages imitant les services des impôts.

Une fuite qui remet la sécurité de l’État au centre du débat

Le gouvernement a annoncé un plan d’urgence après le piratage du site des impôts. Des données appartenant à près de 700 000 contribuables ont été volées. Les informations concernées peuvent permettre de mieux connaître la situation administrative ou fiscale des victimes.

Pour les particuliers comme pour les entreprises, l’enjeu dépasse donc la simple fermeture d’une faille technique. Une donnée fiscale peut aider un escroc à rendre un courriel plus crédible. Elle peut aussi servir à préparer un appel téléphonique frauduleux ou une usurpation d’identité.

La Direction générale des Finances publiques, la DGFiP, gère des informations particulièrement sensibles. Elle connaît notamment l’identité des contribuables, leurs coordonnées et certains éléments liés à leurs revenus ou à leur situation fiscale. Cette concentration de données en fait une cible de premier plan.

Le piratage intervient dans un contexte déjà tendu. Plusieurs services publics numériques ont subi des incidents ou des fuites de données ces dernières années. En avril 2026, l’Agence nationale des titres sécurisés a ainsi signalé une intrusion susceptible d’avoir touché 11,7 millions de comptes. Les données de connexion, l’état civil et certaines coordonnées étaient notamment concernées, sans que les pièces justificatives et les données biométriques ne soient alors citées parmi les informations exposées. Le point d’étape officiel sur la fuite de l’ANTS détaille les informations communiquées aux usagers.

Le gouvernement promet d’accélérer la double authentification

Le plan présenté par le ministre des Comptes publics, David Amiel, prévoit notamment d’accélérer le déploiement de la double authentification pour les agents de l’administration fiscale.

Cette méthode ajoute une seconde vérification au mot de passe. L’agent doit, par exemple, confirmer sa connexion avec une application ou un code à usage unique. Ainsi, le vol d’un mot de passe ne suffit plus, en principe, pour accéder au compte.

La mesure correspond aux recommandations de l’Agence nationale de la sécurité des systèmes d’information. L’ANSSI conseille de privilégier l’authentification multifacteur pour les accès sensibles. Elle recommande aussi de limiter les droits administrateur et de mieux tracer les connexions. Les recommandations de l’ANSSI sur l’authentification multifacteur rappellent ces principes.

Sur le papier, la double authentification constitue donc une protection utile. Mais elle ne règle pas tout. Elle ne corrige pas une faille dans une application. Elle ne protège pas davantage contre une mauvaise configuration, un accès trop large ou un logiciel qui n’est plus correctement maintenu.

La sécurité dépend aussi de l’organisation. Il faut identifier les personnes qui peuvent consulter les données, séparer les environnements informatiques et surveiller les comportements anormaux. Il faut enfin pouvoir réagir rapidement lorsqu’une attaque est détectée.

« On veut des résultats », réclame l’expert Clément Domingo

Pour Clément Domingo, hackeur éthique et expert en cybersécurité, l’annonce gouvernementale arrive trop tard. « Je suis atterré d’entendre le pseudo plan d’action », a-t-il déclaré, estimant que les mesures annoncées étaient connues depuis longtemps.

Selon lui, les préconisations existaient déjà pour les systèmes les plus critiques de l’État. Il demande désormais une mise en œuvre concrète, avec des échéances et des résultats vérifiables.

« Ça fait deux ans qu’on le dit et il ne se passe absolument rien. On veut des résultats », a-t-il déploré. Il redoute que l’attention retombe rapidement, avant qu’une nouvelle attaque ne relance la polémique.

Son raisonnement s’appuie sur un précédent récent. Après la cyberattaque qui a touché l’ANTS, des mesures de sécurisation et d’authentification renforcée ont été annoncées. Le gouvernement a ensuite indiqué que le portail avait été fermé temporairement afin de déployer des protections supplémentaires. Cette succession d’incidents nourrit les critiques sur la capacité de l’État à transformer ses annonces en dispositifs durables.

La Cour des comptes a déjà alerté sur la réponse de l’État aux cybermenaces. Dans son analyse, elle souligne la croissance des attaques et la nécessité d’une stratégie plus cohérente. Un rapport consacré aux systèmes d’information civils indiquait aussi que les crédits dédiés à la cybersécurité avaient atteint 176,9 millions d’euros au début de 2022, dans le cadre des financements de transformation numérique.

Une difficulté technique, mais surtout une question de moyens

La controverse oppose moins deux visions de la sécurité qu’elle ne révèle un problème de calendrier et de priorités. Le gouvernement met en avant un plan d’urgence. L’expert répond que l’urgence aurait dû être traitée avant la fuite.

Les agents fiscaux sont les premiers concernés par le déploiement de nouvelles protections. Ils devront modifier leurs habitudes de connexion. L’administration devra aussi financer les outils, former les personnels et maintenir les systèmes existants pendant la transition.

Les grandes administrations disposent de moyens importants, mais elles gèrent aussi des infrastructures vastes et anciennes. Elles doivent connecter de nombreux services, parfois conçus à des périodes différentes. Cette complexité peut ralentir les changements, même lorsque la menace est identifiée.

Les petites entreprises et les indépendants peuvent subir un impact particulier. Ils disposent souvent de moins de temps et de moins de ressources pour vérifier un message suspect. Une fraude utilisant des informations fiscales crédibles peut donc les toucher plus directement, surtout lorsqu’elle vise un dirigeant, un comptable ou un service de paiement.

Les particuliers, eux, devront surtout se méfier des sollicitations qui reprennent des éléments exacts de leur situation. Une information vraie ne prouve pas qu’un message vient de l’administration. Le risque principal est celui d’un hameçonnage plus personnalisé, destiné à récupérer des identifiants bancaires ou d’autres données.

Le vrai test sera celui de l’exécution

Le gouvernement bénéficie d’un avantage immédiat : il peut annoncer une réponse visible après une crise. Les contribuables, eux, attendent une protection effective de leurs informations. Les agents fiscaux ont besoin d’outils fiables, mais aussi de consignes claires et de moyens humains.

La critique de Clément Domingo porte donc sur la crédibilité du calendrier. « La semaine prochaine, on aura déjà tout oublié parce que ça va être la rentrée, et dans trois mois, on va revivre le même type de cyberattaque et s’offusquer encore », a-t-il averti.

Cette prédiction ne constitue pas une certitude. Elle résume toutefois un risque politique concret : celui d’une réponse concentrée sur la communication de crise, sans évaluation publique des mesures engagées.

Dans les prochaines semaines, il faudra donc surveiller le calendrier précis du déploiement de la double authentification. Il faudra aussi vérifier si le plan prévoit des audits indépendants, un suivi des accès, une réduction des privilèges et des moyens budgétaires identifiés.

Autre échéance importante : les conclusions des investigations sur l’origine et l’ampleur de la fuite. Elles devront permettre de déterminer si l’incident vient d’un compte compromis, d’une faille applicative ou d’une faiblesse d’organisation. C’est ce diagnostic, plus encore que les annonces immédiates, qui dira si l’État a réellement tiré les leçons du piratage du fisc.