Piratage des impôts : ce que les voleurs savent de vous

Le piratage des impôts a désormais son enquête judiciaire : la section cyber du parquet de Paris s'est saisie du dossier, une décision rendue publique le 15 août, après l'intrusion dans le système d'information de la Direction générale des finances publiques (DGFiP). Les investigations reviennent à l'Office anti-cybercriminalité. Deux qualifications sont retenues, dont l'extraction frauduleuse de données contenues dans un fichier mis en œuvre par l'État.

Le décompte est précis, et il est lourd. 678 438 lignes ont été siphonnées selon les premières estimations de la DGFiP : 392 867 concernent des particuliers, 285 570 des professionnels. Pour un particulier, le lot type contient le nom, la date de naissance, l'adresse postale, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source. S'y ajoutent des données cadastrales, soit l'adresse et la surface des biens détenus.

Aucun mot de passe n'a fuité, et l'administration insiste : ces informations ne permettent pas d'entrer dans un compte sécurisé sur impots.gouv.fr. Le vrai danger est ailleurs. Un escroc qui connaît votre revenu fiscal de référence, votre quotient familial et la surface de votre logement peut écrire un faux courriel du fisc bien plus crédible que les arnaques habituelles.

Ce que les pirates ont vraiment emporté

Vu de loin, ça ressemble à des lignes de tableur. Vu de près, c'est le portrait financier complet d'un foyer. Chaque champ dérobé raconte quelque chose de très concret sur votre vie, et c'est la combinaison qui fait la valeur du lot sur les marchés parallèles.

• Le revenu fiscal de référence conditionne les bourses, plusieurs aides, les tarifs sociaux de l'énergie et certaines exonérations locales.
• Le quotient familial révèle la composition du foyer : en couple ou non, nombre d'enfants à charge.
• Le taux de prélèvement à la source donne une lecture directe du niveau de revenu.
• Les données cadastrales indiquent où vous vivez et ce que vous possédez.

Mis bout à bout, ces éléments suffisent à monter un dossier de crédit au nom de quelqu'un d'autre, ou à convaincre un conseiller au téléphone qu'on est bien le titulaire du compte. C'est exactement le carburant de l'usurpation d'identité.

Comment le piratage des impôts est resté invisible sept semaines

L'intrusion remonte à la fin juin. L'attaquant n'est pas passé en force : il a utilisé les identifiants volés d'un agent de la DGFiP et ceux d'un tiers habilité, puis a interrogé un outil interne de recherche sur les contribuables. Un contrôle de sécurité a fini par couper l'accès, mais personne n'a fait le lien avec un vol. La fuite n'a été comprise que le 12 août, quand un individu se présentant sous le pseudonyme ZeroBytes l'a revendiquée sur un forum spécialisé.

Amélie Verdier, directrice générale des finances publiques, a décrit une attaque plus élaborée que celles subies jusqu'ici. Le pirate a évité le requêtage massif, ces rafales de requêtes qu'un système repère sans peine. Il a avancé lentement, à un rythme qui ressemblait à du travail de bureau ordinaire. C'est précisément ce qui a retardé la détection.

Que faire si vous recevez la notification

Les usagers touchés par le piratage des impôts doivent être contactés à partir du lundi 17 août, a fait savoir Matignon. Chaque message doit préciser les catégories de données exposées. La DGFiP signale par ailleurs l'incident à la Cnil et dépose plainte. Voici les réflexes utiles, dans l'ordre.

Vérifier d'où vient le message

Le fisc ne demande jamais vos coordonnées bancaires par courriel ou SMS et ne propose pas de remboursement derrière un lien. Au moindre doute, n'ouvrez rien : tapez vous-même l'adresse du site dans le navigateur et connectez-vous à votre espace. Une vague de faux « remboursements d'impôt » suit systématiquement ce genre de fuite.

Changer le mot de passe et casser les réutilisations

Même si les mots de passe ne sont pas concernés, changez celui de votre espace fiscal. Surtout, vérifiez qu'il ne sert nulle part ailleurs. Activez la double authentification partout où elle existe, en priorité sur la boîte mail qui sert à réinitialiser tous vos autres comptes.

Surveiller crédits et comptes pendant des mois

Les données volées ne périment pas : elles peuvent ressortir dans six mois comme dans deux ans. Relevez vos comptes régulièrement, méfiez-vous d'une demande de crédit que vous n'avez pas faite, et en cas d'usurpation avérée, portez plainte. Cybermalveillance.gouv.fr propose un parcours d'assistance gratuit.

Une année noire pour les services publics

Le piratage des impôts n'est pas un accident isolé. En avril, l'ANTS, l'agence qui gère passeports, cartes d'identité, permis et cartes grises, a vu des millions de comptes exposés, dans ce qui reste la plus grosse fuite publiquement attribuée à un service de l'État français. Fin juin, l'Insee reconnaissait à son tour une intrusion visant environ 12 800 agents et anciens agents. La Fédération française de tir a suivi.

Le point commun n'est pas technique, il est organisationnel : identifiants volés, accès de tiers habilités mal cloisonnés, détection trop lente. Le syndicat Solidaires finances publiques avait d'ailleurs alerté la DGFiP dès juin sur des risques d'usurpation et d'hameçonnage après un incident lié à France Services.

Les prochaines échéances à surveiller

Trois choses vont se jouer d'ici la rentrée. Le chiffre de 678 000 peut bouger, puisque la DGFiP parle d'un bilan arrêté « à ce jour » et que ces décomptes grossissent presque toujours. L'Office anti-cybercriminalité devra ensuite remonter à l'origine des identifiants compromis : agent piégé, poste infecté ou fuite plus ancienne. Enfin, la Cnil peut ouvrir sa propre procédure.

En attendant, une règle simple tient lieu de protection : traitez tout message fiscal reçu ces prochains mois comme suspect par défaut, même s'il cite correctement votre nom et vos revenus. C'est justement ce que les données volées permettent de faire. Et si la notification arrive, lisez la liste des catégories exposées jusqu'au bout : elle vous dira quoi surveiller.