Après le piratage des impôts, ce que vos données permettent

Le piratage des impôts confirmé par l'administration fiscale le 13 août a changé de dimension ce week-end. Le parquet de Paris a ouvert une enquête samedi, les premiers courriers d'information doivent partir vers les victimes à partir de lundi, et les sénateurs socialistes réclament désormais une commission d'enquête parlementaire. La Direction générale des finances publiques (DGFiP) parle d'au moins 678 000 particuliers et professionnels touchés.

Ce qui a fuité n'est pas une banale liste d'adresses e-mail. D'après les éléments rendus publics, le lot contient l'identité complète — nom, prénoms, date et lieu de naissance —, l'adresse postale, le téléphone, le courriel, la composition du foyer, le numéro fiscal, le taux de prélèvement à la source, le revenu fiscal de référence, l'historique des échanges avec l'administration, et le SIREN pour les indépendants.

Mis bout à bout, ces champs forment une fiche d'identité quasi parfaite. Assez pour ouvrir un compte à votre nom, souscrire un crédit à la consommation, ou envoyer un faux courriel du fisc si crédible qu'il cite votre taux de prélèvement réel. Et contrairement à un mot de passe, un numéro fiscal ne se change pas : il vous suit toute votre vie.

Ce que les pirates ont pu récupérer sur vous

Les auteurs revendiquent 678 438 lignes de données et les ont mises en vente. Attention à la lecture du chiffre : une ligne n'est pas forcément une personne, un même contribuable pouvant apparaître plusieurs fois selon ses démarches. À l'échelle du pays, cela reste limité — la France compte environ 40 millions de foyers fiscaux — mais la sensibilité des champs concernés compense largement le volume.

Comment le piratage des impôts a été possible

L'intrusion remonterait au 26 juin, soit près de sept semaines avant l'annonce publique. Le scénario décrit est celui d'une usurpation d'identité ayant ouvert un accès au VPN interne, puis aux outils métier permettant de consulter le fichier des contribuables. Autrement dit, pas une faille spectaculaire dans le site public, mais une porte de service utilisée avec des identifiants légitimes. La DGFiP dit avoir posé de nouvelles restrictions d'accès et poursuivre les investigations avec l'Anssi.

Le parquet de Paris a saisi l'Office anti-cybercriminalité (Ofac), sur la qualification d'extraction frauduleuse de données d'un traitement automatisé mis en œuvre par l'État. La DGFiP doit par ailleurs notifier l'incident à la Cnil et déposer plainte.

Pourquoi le Sénat veut une commission d'enquête

Dans un courrier adressé le 16 août au président du Sénat Gérard Larcher, Patrick Kanner, président du groupe socialiste, estime que les incidents accumulés depuis janvier justifient que le Parlement dispose enfin d'une vision d'ensemble. L'idée : déterminer si ces attaques relèvent de circonstances isolées ou de vulnérabilités communes, puis formuler des recommandations législatives, réglementaires, organisationnelles et budgétaires. Il rappelle qu'en début d'année, le fisc avait déjà signalé un piratage visant le fichier national des comptes bancaires.

Le Sénat avait déjà tiré la sonnette d'alarme

Cette demande n'arrive pas dans le vide. Le 5 mai, la sénatrice centriste de l'Orne Nathalie Goulet avait déposé, avec 37 collègues, une proposition de résolution visant à créer une commission d'enquête sur les cyberattaques. Son périmètre : la sécurité des systèmes d'information de l'État et des opérateurs vitaux, la dépendance aux fournisseurs non européens, les moyens de l'Anssi et du CERT-FR, l'efficacité des sanctions.

C'est France passoire !

L'exposé des motifs empilait déjà les précédents du printemps : données d'élèves siphonnées sur ÉduConnect, agences régionales de santé compromises, millions de titres d'identité exposés à l'Agence nationale des titres sécurisés. Il chiffrait le coût économique de la cybercriminalité en France à 110 milliards d'euros.

Ce qu'il faut vérifier dès maintenant

Si vous faites partie des personnes notifiées, trois réflexes valent mieux qu'une inquiétude diffuse. Ils prennent une dizaine de minutes et couvrent l'essentiel du risque réel.

Les faux remboursements d'impôt vont arriver

C'est l'arnaque la plus rentable après une fuite pareille. Rappel utile : un remboursement est versé automatiquement par virement, jamais après avoir cliqué sur un lien. L'administration ne demande ni coordonnées bancaires ni numéro de carte par courriel, SMS ou téléphone. En cas de doute, tapez vous-même l'adresse du site des impôts plutôt que de suivre le message.

Reprenez la main sur votre espace particulier

Changez le mot de passe de votre espace sur impots.gouv.fr, et surtout ne le réutilisez nulle part ailleurs. Vérifiez au passage le RIB enregistré, l'adresse postale et l'adresse e-mail associées au compte : une modification que vous n'avez pas faite est le premier signal d'une prise de contrôle.

Ce que vous pouvez exiger de l'administration

Le RGPD vous donne le droit de savoir précisément quelles données vous concernant ont été exposées. La notification individuelle promise par la DGFiP doit le préciser. Si la réponse est vague ou tarde, une plainte auprès de la Cnil est gratuite, et Cybermalveillance.gouv.fr oriente les victimes d'usurpation d'identité.

Ce qu'il faut surveiller d'ici la rentrée

La suite se joue sur trois fronts. Au Sénat, la conférence des présidents devra dire si une commission d'enquête voit le jour — l'agenda est serré, les élections sénatoriales de septembre approchent. Côté judiciaire, l'Ofac devra remonter jusqu'aux identifiants détournés. Et côté contribuables, la vraie fenêtre de danger s'ouvre maintenant : surveillez vos relevés bancaires et méfiez-vous de tout message trop bien informé sur votre situation fiscale dans les prochaines semaines.