DGFiP piratée : l’État plate-forme face à ses failles et ses obligations
Malgré ses milliers d’informaticiens, le fisc vient de subir plusieurs intrusions en quelques semaines.
Cinq mille quatre-vingt-un. C’est le nombre d’agents des équipes informatiques de la Direction générale des finances publiques (DGFiP). Pour mesurer cette force de frappe, un comparatif suffit : Spotify comptait 7.323 salariés dans le monde, fin 2025. L’informatique du fisc équivaut donc à près de 70 % des effectifs mondiaux du géant du streaming. Et pourtant, les hackers sont entrés. Après le vol de données fiscales concernant plusieurs centaines de milliers de personnes, la DGFiP a reconnu deux autres intrusions visant ses fichiers cadastraux et le portail des successions vacantes. Le nombre de comptes cadastraux concernés atteint désormais 1,8 million.
Un pirate informatique a revendiqué le 12 août une offensive menée en deux temps, en juin et en juillet, contre la DGFiP
L’administration avait détecté la compromission d’un compte mais pas d’extraction de données
Ce que l’on sait de la cyberattaque ➡️ https://t.co/laXWK44Osk pic.twitter.com/2mH1epuuQE
— Le Parisien (@le_Parisien) August 16, 2026
Le fisc, un coffre-fort numérique géant
La DGFiP n’est plus seulement l’administration qui collecte l’impôt. Son système d’information concentre revenus, coordonnées, informations fiscales et patrimoniales, mais aussi données cadastrales et successorales. Cette concentration en fait une cible de choix. Et Bercy n’est pas seul : France Travail, l’ANTS et l’Éducation nationale ont elles aussi connu d'importantes « compromissions » – on nomme ainsi, en informatique, les fuites de données et les piratages. En 2025, la CNIL a reçu 6.167 notifications de violations de données personnelles, dont la moitié résultaient d’un piratage.
Pour Maël Camerlynck, ingénieur en IA et conseiller municipal Debout la France de Roubaix interrogé par BV, le problème tient aussi à la priorité accordée à la cybersécurité : « En matière de cybersécurité, cela n’a, selon moi, pas été pris au sérieux. Ce n'était pas un axe de priorité, et on le voit aujourd’hui. »
Le hacker met en cause la sécurité de la DGFiP
Interrogé par BFM TV, le hacker ayant revendiqué l’attaque a affirmé que le site de la DGFiP était mal sécurisé. Une accusation qui devra être confrontée aux constatations techniques de l’administration et des experts. Car les 5.081 informaticiens du fisc ne sont évidemment pas tous des spécialistes de la cybersécurité.
"Leur service était mal sécurisé, c'est tout": les hackers ZeroBytes justifient leurs cyberattaques contre le fisc et l'Éducation nationale auprès de BFMTV pic.twitter.com/FR8PGQJkfG
— BFM (@BFMTV) August 19, 2026
L’enjeu ne réside pas seulement dans le vol d’un fichier mais dans la possibilité de croiser les informations dérobées. « L'intérêt des hackers, c’est de faire correspondre toutes ces données-là, de les "merger" [croiser, NDLR] [...] Vous vous retrouvez alors avec un individu dont vous connaissez quasiment toute la vie », explique Maël Camerlynck. Une donnée fiscale prend une autre valeur lorsqu’elle est rapprochée d’une adresse, d’un bien immobilier ou d’une information issue d’une autre base.
Macron voulait un « État plate-forme »
Cette concentration des données renvoie à la transformation numérique voulue par Emmanuel Macron. En juin 2017, lors de VivaTech, le Président déclarait : « Nous devons construire un État plate-forme », avec l’ambition de « numériser l’ensemble des procédures » de l’État d’ici 2022. Neuf ans plus tard, la promesse est largement devenue réalité. Impôts, cadastre, comptes bancaires, successions, emploi, éducation : l’administration concentre désormais des quantités considérables de données numériques.
La question n’est donc pas de contester la numérisation mais de savoir si leur protection a progressé au même rythme. Plus l’État devient une plate-forme, plus sa sécurité devient une question régalienne.
Qui paie lorsque l’État perd nos données ?
Le problème devient aussi juridique. Les Français ne choisissent pas toujours de transmettre leurs informations à l’administration : pour déclarer leurs revenus ou leur patrimoine, ils y sont contraints.
Le RGPD prévoit qu’une violation présentant un risque doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après que le responsable du traitement en a connaissance. Il faudra donc connaître les dates de découverte des intrusions et de leur notification au régulateur. Au-delà de cette obligation, une question demeure : que doit l’État aux citoyens lorsqu’il leur demande de confier toujours davantage de données à ses serveurs ? Maël Camerlynck avance une piste : « On a des audits réguliers à effectuer dans toutes les administrations, dans tous les ministères. »
Macron voulait un « État plate-forme ». Il l’a obtenu. Reste désormais à savoir si la France saura construire un État coffre-fort. Lorsque l’État connaît nos revenus, notre patrimoine et une part croissante de notre vie administrative, leur protection n’est plus une simple affaire informatique. Elle devient une question de souveraineté.
Yann Montero
Journaliste Boulevard Voltaire
Pour ne rien rater
Les plus lus du jour
Eliot Deval encense le travail de BV !
84 commentaires
Il existait dans le temps une section spéciale à Bercy, chargée de traiter les dossiers fiscaux de tout ce qui était, people, ainsi que les dossiers de toutes les grandes fortunes, les politiques etc. Cette section a-t-elle été piratée également ou bénéficie-t-elle d’une protection beaucoup plus renforcée que celle du commun des contribuables?
« Leur service était mal sécurisé » dit le hacker : évidemment ! Tout le problème est là. C’est quand même incroyable que les responsables de la sécurité informatique recrutés au niveau de l’État soient aussi incompétents. Dans ce cas, il faudrait les remplacer immédiatement, car avoir laissé fuiter autant de données est une faute grave.
Tout les comptes bancaires du president Macron n’ont pas était piratés ? Pourquoi ? la DGFiP pourrat me repondre ? Oui ? non ? pourquoi ???
L’une des conséquences d’u piratage de données personnelles est l’usurpation d’identité. Elles sont à la fois financières, juridiques et psychologiques.
Risques financiers et bancaires : L’usurpateur peut ouvrir des comptes bancaires, souscrire des crédits à votre nom ou effectuer des achats frauduleux, entraînant des dettes impayées. La victime risque de se retrouver fichée à la Banque de France (FICP/FCC), d’être interdite bancaire ou de voir ses comptes bloqués.
Sanctions pénales injustifiées : L’usurpateur peut commettre des délits ou des crimes en votre nom, ce qui peut mener à des poursuites judiciaires, des condamnations à tort, un casier judiciaire entaché, voire une arrestation. La victime doit alors prouver son innocence face à la justice.
Préjudice moral et réputationnel : L’identité usurpée peut être utilisée pour nuire à la réputation de la victime, porter atteinte à son honneur, ou créer de faux profils sur les réseaux sociaux. Cela provoque un stress émotionnel important, une perte de confiance et une détresse psychologique durable, sans compter la perte d’opportunités professionnelles
Vous avez fort bien résumé et ça ils s’en moquent , des problèmes qui en résultent et de notre quotidien parasité par des problèmes aussi importants, sans compter ceux qui ne supporteront pas tous ces problèmes et qui mettent fin à leurs jours….
Dans quelques mois, la constatation sera encore plus amère..à l’heure du bilan et le passage du Témoin le pays ressemblera à cette terre brûlée de Gironde et du Var…..bonjour tristesse ! mais Dame Nature reprend ses droits, avec le Temps ça s’arrangera car il faut garder l’ Espoir. je me demande si nos services secrets ont eux aussi été infiltrés ?? pourquoi pas, mais là, pas de réponse…..CHUTTT… secret défense.
Personne ne sait qui se cache derrière Zerobytes ? Bien sûr que si, les services vont l’identifier.
Mais alors : avons-nous toujours un service « action » ? Pouvons-nous encore déclencher une opération « homo » ? Quand vous en aurez flingué 10 du même genre, les autres réfléchiront à deux fois… Tout le reste, c’est de la rigolade.
« La cyber sécurité n’est pas prise au sérieux par l’État »… y-a-t-il encore un seul vrai sujet pris au sérieux par l’État à part nous pomper du fric?