Piratage du fisc : la CNIL contrôle la DGFiP après 678 000 vols

Le piratage du fisc franchit une nouvelle étape. Marie-Laure Denis, présidente de la Commission nationale de l'informatique et des libertés (CNIL), a annoncé l'envoi prochain de ses équipes dans les locaux de la direction générale des finances publiques (DGFiP).

« J'ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques », a-t-elle déclaré dans l'émission Cash Investigation, diffusée jeudi 10 septembre sur France 2.

« J'ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques », Marie-Laure Denis, présidente de la CNIL.

Trois intrusions cet été, 678 000 comptes touchés

Le fisc a subi plusieurs accès illégitimes à son système d'information en juin, juillet et août 2026. Selon le ministère de l'Économie, ces intrusions reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, révélée les 12 et 13 août par un pirate qui proposait le fichier à la vente sur un forum spécialisé. Cet épisode s'inscrit dans la vague décrite par des cyberattaques qui ébranlent la confiance dans l'administration depuis l'été.

Le bilan communiqué par l'administration fiscale fait état de 678 000 particuliers et professionnels concernés. Les données extraites incluent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que des informations cadastrales et, pour les entreprises, le SIREN et la raison sociale. Les identifiants et mots de passe des usagers d'impots.gouv.fr n'ont pas été compromis, précise la DGFiP.

Vers une mise en demeure ou une sanction

Le contrôle de la CNIL doit permettre d'établir les circonstances précises de ces intrusions et d'évaluer si la DGFiP avait pris les mesures de sécurité nécessaires. « Il nous paraît important de comprendre ce qui s'est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d'ici la fin de l'année (…), soit une orientation vers une sanction », a détaillé Marie-Laure Denis.

« Il nous paraît important de comprendre ce qui s'est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d'ici la fin de l'année (…), soit une orientation vers une sanction », Marie-Laure Denis, présidente de la CNIL.

La marge de manœuvre de l'autorité reste toutefois limitée face à l'État, qui ne peut pas se voir infliger d'amende contrairement aux entreprises privées. La CNIL peut en revanche rendre publiques certaines sanctions et imposer une mise en conformité. Une note du président et du rapporteur de la commission des finances au Sénat, consultée par l'AFP, évoque déjà « plusieurs fragilités structurelles des systèmes d'information » de la DGFiP et des « lacunes dans les contrôles réalisés à la suite de ces incidents ».

L'ANTS aussi visée, un incident qui n'est pas isolé

Marie-Laure Denis a précisé avoir demandé un contrôle similaire de l'Agence nationale des titres sécurisés (ANTS), chargée notamment des pièces d'identité. Cette administration avait été ciblée en avril par une attaque ayant abouti au vol des données de près de 12 millions de particuliers et de professionnels. La cheffe de la cybercriminalité du parquet de Paris, dont Johanna Brousse dévoile les secrets du parquet cyber français dans un livre récent, suit également ce type de dossiers.

Le ministre de l'action et des comptes publics, David Amiel, avait présenté des excuses publiques dès le 18 août pour ce piratage qualifié d'inédit par son ampleur. Le premier ministre Sébastien Lecornu avait de son côté demandé à l'Agence nationale de sécurité des systèmes d'information (Anssi) de mener un audit approfondi sur l'incident, dans un contexte où certains experts évoquent déjà un possible commanditaire russe derrière ces cyberattaques. « L'État a un devoir d'exemplarité particulier. Ça fait partie justement du contrat de confiance entre l'État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l'État », a résumé Marie-Laure Denis.

La DGFiP a de son côté engagé l'information individuelle de chaque personne concernée, par courriel ou par courrier, en détaillant les données susceptibles d'avoir été consultées et les précautions à adopter face aux risques d'hameçonnage, un exercice qui rappelle la communication de crise menée après la fuite de données chez Revolut touchant passeports et RIB.