C’est un scandale d’État. Un scandale d’incompétence pure et simple. Pendant près de deux mois, les données fiscales de 678 000 Français et entreprises ont donc circulé, extraites, stockées, revendues ou prêtes à l’être, et l’administration fiscale n’a quasiment rien vu.
Fin juin, un pirate – qui se fait appeler ZeroBytes – s’introduit dans le système de la Direction générale des finances publiques via le compte d’un agent. Il aspire des informations extrêmement sensibles : noms, prénoms, quotient familial, revenu fiscal de référence, taux de prélèvement à la source. Pour les entreprises, des données un peu moins brûlantes mais toujours utiles. Puis il recommence fin juillet sur les fichiers cadastraux. Et personne, ou presque, ne s’en aperçoit.
La DGFiP détecte bien la compromission du compte. Elle coupe les accès. Elle se croit tirée d’affaire. Elle a l’habitude : 6 972 cyberattaques déjouées en 2025, nous dit-on avec fierté. Sauf que cette fois, l’attaquant a opéré avec une sophistication suffisante pour ne générer « aucune activité anormale ». Traduction : il a tout pris sans faire de bruit, et les services de Bercy n’ont même pas réalisé qu’il y avait eu vol de données.
Il a fallu attendre le 12 août, quand ZeroBytes a revendiqué son coup sur un forum du dark web, pour que la machine administrative se réveille. Seulement alors la CNIL est saisie. Seulement alors on commence à parler. Seulement alors on prépare l’information des victimes… qui démarrera ce lundi 17 août. Deux mois après les faits.
Le règlement européen impose une notification à la CNIL dans les 72 heures en cas de violation présentant un risque. Ici, on a attendu la revendication publique du pirate. On a attendu la presse. On a attendu que le scandale soit impossible à étouffer. Et maintenant, on a droit aux excuses, à la cellule de crise interministérielle présidée par Sébastien Lecornu, et aux promesses de David Amiel.
Le ministre des Comptes publics reconnaît lui-même que « l’État a accumulé certaines dettes techniques pendant des décennies ». Des dettes techniques. Comme si on parlait d’un vieux logiciel de comptabilité. Non. On parle des données fiscales de centaines de milliers de Français. Des données qui permettent l’usurpation d’identité, le phishing de haute précision, le croisement avec d’autres fichiers. Des données que l’État prétend protéger avec une rigueur absolue quand il s’agit de vous taxer, mais qu’il laisse fuiter comme une passoire quand il s’agit de les sécuriser.
Et le comble de l’ironie ? Fin avril, le gouvernement avait annoncé en grande pompe un plan de sécurisation des systèmes d’information de l’État : 200 millions d’euros d’urgence, 5 % des budgets informatiques consacrés à la cybersécurité… à partir de 2027. Une feuille de route avec des actions à échéance du 30 juin 2026. Or c’est précisément à cette période que le pirate a opéré. La réunion interministérielle de début juillet qui devait vérifier l’exécution des mesures est devenue, a posteriori, le constat d’un échec monumental.
On nous dit que les administrations françaises sont la cible d’attaques de plus en plus sophistiquées. C’est vrai. Mais ce n’est pas une excuse. C’est même l’inverse. Quand on sait que l’on est la cible, on se protège. On ne se contente pas de couper un compte compromis et de se rassurer en se disant que « tout va bien ». On ne laisse pas un pirate extraire des centaines de milliers de dossiers sans déclencher d’alerte. On ne met pas deux mois à informer les citoyens concernés.
Le fisc, c’était l’administration efficace par excellence. Celle qui trouve toujours le moyen de vous rattraper. Celle qui croise, qui vérifie, qui traque. Aujourd’hui, c’est une passoire. Et les 678 000 Français concernés vont payer le prix de cette négligence, pendant que les ministres multiplient les cellules de crise et les formules creuses sur les « dettes techniques ».
Il ne s’agit plus de « modernisation de l’État ». Il s’agit d’une faillite de base. L’État français n’est même plus capable de protéger les données qu’il force les citoyens à lui confier. C’est inacceptable. Et ce n’est pas une cellule de crise en visioconférence qui va changer quoi que ce soit.
