Piratage des impôts : pourquoi la sécurité des données fiscales devient un enjeu politique pour chaque contribuable

Que risque réellement un contribuable lorsque l’administration fiscale est piratée ? D’abord, une inquiétude très concrète : voir ses informations personnelles utilisées pour une arnaque, une usurpation d’identité ou un faux message des impôts.

Cette inquiétude prend de l’ampleur après une nouvelle intrusion visant la Direction générale des finances publiques, la DGFiP. Le sénateur Les Républicains Jean-François Husson juge insuffisantes les premières réponses du gouvernement. Il demande une stratégie plus structurée et davantage de confiance envers les spécialistes de la cybersécurité.

Une série d’incidents qui fragilise la confiance

La DGFiP a été touchée par trois cyberattaques. L’une d’elles aurait permis le vol de données personnelles concernant environ 700 000 usagers. Le chiffre donne la mesure du problème. Les fichiers fiscaux contiennent des informations sensibles sur les revenus, les adresses, la composition des foyers et les démarches administratives.

Le gouvernement a présenté un plan d’urgence. Il prévoit notamment d’accélérer le déploiement de la double authentification pour les agents de la DGFiP. Ce dispositif ajoute une deuxième vérification au mot de passe. Il limite donc les risques lorsqu’un identifiant est dérobé.

Le plan prévoit aussi une meilleure formation des agents publics. La sécurité dépend en effet des outils, mais également des pratiques quotidiennes. Un courriel piégé, un mot de passe réutilisé ou un accès trop large peuvent suffire à ouvrir une brèche.

La DGFiP affirme par ailleurs que les espaces personnels et professionnels des usagers n’ont pas été compromis dans l’incident révélé en août 2026. Les accès illégitimes auraient concerné le système d’information interne, avec des opérations intervenues en juin et juillet. Les précisions officielles sur l’accès illégitime au système de la DGFiP permettent de distinguer ces deux situations.

Husson critique une réponse jugée trop limitée

Pour Jean-François Husson, la gravité des faits impose autre chose qu’une communication de crise. « C’est navrant d’entendre ce type de réponse, il faut arrêter les fantaisies de communication », a-t-il déclaré mercredi 19 août.

Le rapporteur général du budget au Sénat estime que la situation est trop sérieuse pour chercher des responsables individuels parmi les agents. Il refuse notamment que l’on transforme la crise en débat sur les comportements de quelques fonctionnaires.

« La situation est suffisamment sérieuse », a-t-il insisté. Selon lui, il ne faut pas « proposer des débuts de solution sur les agents qui ne feraient pas ceci ou cela ». Sa demande est claire : faire confiance aux experts de la sécurité informatique, qu’ils travaillent dans le secteur public ou dans le secteur privé.

Cette position bénéficie d’abord aux professionnels de la cybersécurité. Elle défend une approche technique, fondée sur l’audit des systèmes, la limitation des droits d’accès et la surveillance des réseaux. Elle écarte aussi une réponse uniquement disciplinaire, qui pourrait déplacer le débat sans corriger les failles structurelles.

Le gouvernement, lui, cherche à rassurer rapidement les contribuables. Le plan d’urgence lui permet d’afficher des mesures immédiates. Mais cette logique comporte une limite : une succession d’annonces ne suffit pas à démontrer que les failles sont corrigées.

Le problème dépasse la seule question des moyens

Jean-François Husson estime que la difficulté ne se résume pas au budget consacré à l’informatique. Il pointe surtout un manque de coordination à Bercy, le ministère de l’Économie et des Finances.

« Si la France devait mettre toujours plus de moyens humains et financiers à chaque fois qu’il y a un problème, on n’en finirait pas et on devrait déjà être les champions du monde », a-t-il déclaré. Son raisonnement porte sur l’organisation. Des moyens supplémentaires peuvent être nécessaires. Ils ne remplacent pas une chaîne de décision claire.

La DGFiP gère des systèmes très différents. Ils servent à collecter l’impôt, suivre les déclarations, traiter les paiements et partager certaines informations avec d’autres administrations. Cette architecture complexe multiplie les points de vigilance.

Un incident révélé en février 2026 l’a déjà illustré. Un acteur malveillant avait utilisé les identifiants usurpés d’un fonctionnaire pour consulter une partie du fichier national des comptes bancaires, FICOBA. Cette base recense notamment des identités, des adresses et des coordonnées bancaires. La DGFiP avait alors indiqué que l’incident pouvait concerner environ 1,2 million de comptes. Le dossier officiel consacré à la fuite du fichier FICOBA détaille les données concernées et les mesures prises.

Pour les usagers, le risque ne s’arrête pas à l’accès initial. Une donnée volée peut être recoupée avec d’autres fichiers. Elle peut ensuite servir à personnaliser une escroquerie. Les fraudeurs peuvent imiter le ton des impôts, évoquer un remboursement ou réclamer un paiement urgent.

La numérisation crée aussi de nouvelles vulnérabilités

Le sénateur critique plus largement la transformation numérique des services publics. La France encourage les démarches en ligne. Pourtant, une partie de la population reste éloignée de ces outils, par manque d’équipement, de compétences ou d’accompagnement.

Cette double difficulté concerne surtout les personnes âgées, les ménages modestes et les habitants des territoires où les services publics sont moins accessibles. Elles peuvent subir à la fois la fracture numérique et les conséquences d’une fuite de données.

Jean-François Husson décrit la France comme une « passoire numérique ». La formule est politique. Elle traduit une critique de la sécurité globale du pays, au-delà du seul ministère de l’Économie. Elle met aussi en cause la confiance accordée aux démarches entièrement dématérialisées.

Le gouvernement défend, à l’inverse, un renforcement progressif des protections. La double authentification, les restrictions d’accès et la formation des agents constituent des réponses concrètes. Elles peuvent réduire les risques. Toutefois, leur efficacité dépendra de leur déploiement réel, de leur calendrier et de leur contrôle.

Une commission d’enquête encore en suspens

La France insoumise et le Parti socialiste réclament une commission d’enquête parlementaire. Une telle commission permettrait d’examiner les responsabilités, les procédures de sécurité et la coordination entre les services.

Jean-François Husson ne ferme pas la porte à cette demande. Il attend d’abord les réponses de l’administration fiscale. Ces éléments avaient été demandés en mai par la sénatrice centriste Nathalie Goulet, membre de la commission des Finances du Sénat. Ils sont attendus dans les prochains jours.

Cette prudence répond à une logique institutionnelle. Une commission d’enquête peut disposer de pouvoirs importants pour entendre des responsables et obtenir des documents. Mais elle ne peut être pleinement utile que si son périmètre repose sur des faits établis.

La contradiction politique est donc nette. L’opposition veut accélérer le contrôle parlementaire. Le sénateur LR demande d’abord des informations précises. Le gouvernement veut, de son côté, montrer qu’il agit immédiatement. Ces trois temporalités ne répondent pas au même objectif.

Les prochaines étapes seront décisives

Le premier rendez-vous sera la transmission des éléments demandés par le Sénat. Ils devront préciser les failles exploitées, les données consultées et les mesures prises depuis la détection des intrusions.

Il faudra ensuite suivre le déploiement de la double authentification auprès des agents. La question ne sera pas seulement de savoir si la mesure est annoncée. Il faudra vérifier quels services sont concernés, selon quel calendrier et avec quels contrôles.

Enfin, les usagers devront rester attentifs aux faux courriels et aux appels frauduleux. La DGFiP rappelle qu’elle ne demande pas de transmettre des informations sensibles en dehors de l’espace sécurisé. Les prochaines semaines permettront de mesurer si le gouvernement apporte une réponse durable ou seulement une réaction à chaud.