Une fuite de données n’est pas seulement un incident technique

Ce qui se passe actuellement à la Direction générale des Finances publiques devrait inquiéter chaque Français, et pas seulement les spécialistes de cybersécurité. Le dossier documentaire transmis à Delta-Sierra contient une communication attribuée au ministère de l’Économie et des Finances / DGFiP, datée du 13 août 2026. Selon cette pièce conservée dans le dossier auteur, un accès illégitime au système d’information de la DGFiP, intervenu fin juin après une usurpation d’identité, aurait permis la consultation et l’extraction de données concernant des particuliers et des professionnels. Au 14 août 2026, Delta-Sierra n’a pas retrouvé de version publique officielle indexée permettant à un lecteur extérieur de vérifier directement cette communication : sa provenance est donc explicitement signalée au lieu d’être présentée comme une source web immédiatement reproductible. L'administration n'a pas encore publié le nombre définitif de personnes touchées ni l'inventaire exhaustif des informations compromises et annonce que les personnes identifiées seront informées individuellement. Parallèlement, le cybercriminel à l'origine de la revendication affirme que 678 437 personnes seraient concernées ; les éléments communiqués et examinés par FrenchBreaches font apparaître, selon cette source et sous réserve de confirmation indépendante, des données telles que noms, prénoms, dates et lieux de naissance, adresses, téléphones, courriels, identifiants fiscaux, situation familiale, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source et même des informations relatives à certaines démarches effectuées auprès du fisc. Et moins de vingt-quatre heures après cette confirmation officielle, une seconde cyberattaque est désormais revendiquée, cette fois contre le Serveur professionnel de données cadastrales de la DGFiP. Les attaquants prétendent avoir extrait 252 149 lignes, correspondant selon leur décompte à 2 041 778 titulaires de droits immobiliers — attention, il ne s'agit pas nécessairement de 2 041 778 personnes uniques, puisqu'un même propriétaire peut apparaître plusieurs fois — avec noms, dates et lieux de naissance, adresses, identifiants fonciers, communes, numéros de parcelles et nature des droits détenus. Cette seconde attaque n'est, à cette heure, pas confirmée par la DGFiP, et doit donc être présentée comme une revendication. Mais posez-vous malgré tout cette question très simple : quelles informations l'État possède-t-il sur moi, lesquelles ont été copiées, qui les possède aujourd'hui et comment pourront-elles être recoupées demain avec d'autres fichiers volés ?

Et surtout, cessons de considérer chaque affaire comme un accident isolé qu'il suffirait d'oublier au bout de quarante-huit heures. Au cours des trois dernières années, la France a connu une succession de compromissions absolument considérables. En mars 2024, la cyberattaque visant France Travail et Cap emploi était susceptible d'avoir permis l'extraction des données de 43 millions d'usagers ou anciens usagers, avec notamment noms, prénoms, numéros de sécurité sociale, identifiants France Travail, adresses postales et électroniques et numéros de téléphone. Quelques semaines auparavant, les opérateurs de tiers payant Viamedis et Almerys avaient subi une violation concernant plus de 33 millions de personnes. En octobre 2024, l'attaque contre Free et Free Mobile a permis l'accès à des données correspondant à 24 millions de contrats d'abonnés, avec des IBAN dans certains cas ; la CNIL a finalement infligé en janvier 2026 42 millions d'euros d'amendes aux deux sociétés après avoir notamment relevé des mesures de sécurité inadaptées. En février 2026, c'était encore la DGFiP : des identifiants usurpés ont permis des accès illégitimes à FICOBA, le fichier national des comptes bancaires, avec consultation et extraction concernant environ 1,2 million de comptes, comportant notamment RIB ou IBAN, identité et adresse du titulaire. Et France Travail a lui-même été sanctionné en janvier 2026 par la CNIL à hauteur de 5 millions d'euros pour ne pas avoir assuré suffisamment la sécurité des données des personnes en recherche d'emploi. Cybermalveillance.gouv.fr constate d'ailleurs pour 2025 une forte accélération des violations de données et explique que leur exploitation alimente désormais un véritable marché criminel permettant des campagnes d'hameçonnage, des piratages de comptes, des fraudes et des escroqueries de plus en plus personnalisées. Nous ne sommes donc plus devant une anecdote informatique : nous sommes devant un problème systémique de protection d'une matière première devenue extrêmement précieuse, notre identité numérique.

Et c'est précisément pourquoi je refuse que cette nouvelle affaire se termine par trois communiqués, quelques formules sur des « mesures correctives », puis le silence. Il faut mettre les points sur les i et les barres aux t. Lorsqu'une entreprise privée ne protège pas correctement des millions de données personnelles, elle peut être contrôlée, poursuivie, condamnée et lourdement sanctionnée : Free et Free Mobile viennent d'en faire l'expérience avec 42 millions d'euros d'amendes. France Travail, opérateur public, vient lui-même d'être sanctionné à hauteur de 5 millions d'euros. L'État ne peut pas réclamer chaque année toujours davantage d'informations aux citoyens, centraliser leurs revenus, leur patrimoine, leurs comptes, leur situation familiale, leurs propriétés et une part considérable de leur existence économique, puis considérer qu'une compromission de ces informations relèverait simplement du risque informatique ordinaire. Il existe même une particularité juridique que les citoyens doivent connaître : lorsqu'un traitement est mis en œuvre par l'État lui-même, la loi Informatique et Libertés exclut l'amende administrative de la CNIL qui pourrait frapper une entreprise ou certains autres organismes publics. La CNIL peut néanmoins prononcer d'autres mesures, notamment un rappel à l'ordre ou une injonction de mise en conformité. Cette immunité à l'amende administrative ne doit surtout pas devenir une immunité à la responsabilité. Si l'enquête révèle des failles connues, des alertes ignorées, des procédures insuffisantes, des décisions fautives ou des manquements graves, alors il faudra établir précisément la chaîne de responsabilité. Les responsables devront rendre des comptes, du sommet jusqu'au niveau où les fautes auront réellement été commises. Et si certains responsables ne sont plus en mesure d'assumer leurs fonctions à l'issue de ces constatations, alors oui : ils devront partir. Dans le privé, nous trouvons normal que des responsabilités managériales soient tirées après une défaillance majeure. Il n'existe aucune raison démocratiquement acceptable pour que l'exigence soit moindre lorsque celui qui détient les données est précisément celui qui possède également le pouvoir de contrôler, redresser et sanctionner les citoyens. L'État contrôle le contribuable. Il est temps de rappeler que le contribuable a, lui aussi, le droit d'exiger des comptes de l'État.

Ce qui est établi, ce qui reste revendiqué

Dans un dossier encore évolutif, la première exigence est de séparer trois niveaux : les faits reconnus par l’administration, les éléments établis par des autorités indépendantes et les chiffres revendiqués par les attaquants ou relayés par des sources spécialisées. Les nombres de 678 437 personnes pour le premier incident et de 252 149 lignes / 2 041 778 titulaires de droits pour l’attaque cadastrale doivent rester présentés comme des revendications tant qu’une autorité publique n’en a pas confirmé le périmètre. Cette distinction protège la crédibilité du débat : demander des comptes à l’État n’autorise pas à transformer une allégation en fait.

Le précédent incident FICOBA de février 2026 donne un repère officiel utile : la DGFiP avait alors reconnu des accès illégitimes après usurpation d’identifiants d’un fonctionnaire, avec consultation et extraction de données concernant environ 1,2 million de comptes. L’administration avait annoncé des restrictions d’accès immédiates, l’information des usagers concernés, une notification à la CNIL et un dépôt de plainte.

Le sujet dépasse donc la seule question du nombre de lignes exfiltrées. La vraie question est celle de la concentration de données fiscales, bancaires, patrimoniales et cadastrales, de la gestion des habilitations, de la traçabilité des accès, de la détection des comportements anormaux et de la capacité à informer rapidement les personnes exposées.

Pourquoi le problème est systémique

Les violations de données ne sont plus des événements exceptionnels. France Travail, Viamedis et Almerys, Free et Free Mobile, puis FICOBA ont montré qu’une compromission peut exposer des volumes considérables de données d’identité, de contact, de sécurité sociale ou bancaires. Cybermalveillance.gouv.fr constate pour 2025 une accélération du phénomène et une hausse de 107 % des demandes d’assistance liées aux violations de données.

Le risque vient aussi du croisement. Une adresse seule n’a pas la même valeur qu’une adresse associée à un numéro de téléphone, un identifiant fiscal, un revenu fiscal de référence, une situation familiale ou un patrimoine. Les marchés criminels de données permettent de recomposer des profils de plus en plus crédibles, puis d’alimenter des campagnes d’hameçonnage, des fraudes au faux conseiller, des piratages de comptes et des usurpations d’identité.

La politique publique doit donc raisonner en chaîne : collecte minimale, habilitation stricte, authentification forte, journalisation, détection, segmentation, limitation des exports, gestion des prestataires, réponse à incident, information des victimes et responsabilité. Une faiblesse sur un seul maillon peut neutraliser les protections installées ailleurs.

L’asymétrie de puissance entre le citoyen et l’État

La thèse centrale de cet article est simple : plus une administration dispose d’informations et de pouvoirs coercitifs sur les citoyens, plus son obligation de sécurité, de transparence et de responsabilité doit être élevée. La DGFiP contrôle, recoupe, redresse et sanctionne. Cette puissance est légitime lorsqu’elle est exercée conformément à la loi ; elle implique en contrepartie une exigence tout aussi forte lorsque l’administration protège les données qu’elle oblige les contribuables à lui transmettre.

Le droit français crée ici une asymétrie particulière. La loi Informatique et Libertés prévoit que la CNIL peut prononcer différentes mesures correctrices, mais exclut l’amende administrative lorsque le traitement est mis en œuvre par l’État. Cette exception ne signifie ni absence de contrôle, ni absence de responsabilité : rappels à l’ordre, injonctions et autres mécanismes restent possibles selon les cas, tandis que les responsabilités administrative, disciplinaire, civile ou pénale obéissent à leurs propres conditions.

À l’inverse, des organismes privés et certains opérateurs ont récemment reçu de lourdes amendes : la CNIL a sanctionné Free Mobile et Free à hauteur de 42 millions d’euros au total après la violation de 2024, et France Travail à hauteur de 5 millions d’euros en janvier 2026 pour insuffisance de sécurité. Comparer ces régimes ne suffit pas à conclure qu’ils devraient être identiques ; cela justifie en revanche un débat public sur les mécanismes de responsabilité applicables lorsque l’État est lui-même responsable de traitement.

Et maintenant, que doivent faire les citoyens ?

Parce que l’indignation ne suffit plus. Tant que l’enquête n’a pas déterminé l’ensemble des données et des usagers concernés, l’absence de message ne permet pas de conclure que l’on est hors du périmètre. Mais cela ne signifie pas qu’il faille rester passif.

1. Conservez des preuves

2. Si vous avez un doute, interrogez la DGFiP par écrit

3. Si vous êtes concerné, demandez le périmètre exact

4. Si la réponse est absente ou insuffisante, saisissez la CNIL

5. Si vous subissez un préjudice, documentez-le

6. Organisez-vous collectivement

La question centrale : qui savait, qui devait agir, qui décide ?

Une cyberattaque n’établit pas automatiquement une faute personnelle. Une organisation peut être victime d’un attaquant sophistiqué malgré des mesures sérieuses. La responsabilité ne doit donc jamais être présumée. Elle doit être instruite.

En revanche, si les investigations font apparaître des failles connues, des alertes ignorées, des procédures insuffisantes, des habilitations excessives, des règles contournées, des mesures recommandées mais jamais déployées ou des décisions managériales ayant exposé inutilement les données, alors il faudra identifier la chaîne réelle des responsabilités.

La responsabilité ne doit pas s’arrêter au lampiste si les alertes avaient été remontées. Inversement, elle ne doit pas être diluée dans la hiérarchie si une faute personnelle grave est démontrée à un niveau opérationnel. Le principe doit être le même partout : établir les faits avant de sanctionner, mais ne pas neutraliser les conséquences une fois les faits établis.

Ce que j’attends des investigations

Ce n’est pas demander une chasse aux sorcières. C’est demander que l’État accepte pour lui-même l’exigence de traçabilité, de sécurité et de responsabilité qu’il impose aux citoyens et aux entreprises.

Plus de pouvoir implique plus de responsabilité

La DGFiP connaît les revenus, la situation fiscale et de nombreux éléments économiques des contribuables ; elle accède aussi, dans le cadre légal de ses missions, à des fichiers et plateformes permettant de recouper des données. La CNIL a encore rappelé en 2026, à propos du traitement CFVR et de la plateforme sécurisée des données, l’importance de limiter les accès à un nombre restreint d’agents habilités et de maîtriser les risques liés à la concentration des données.

Alors oui : contrôlez la fraude, poursuivez ceux qui fraudent et faites respecter l’impôt. Mais lorsque l’État faillit à protéger les données qu’il oblige lui-même les citoyens à lui confier, il doit accepter à son tour d’être contrôlé. Et si des fautes sont établies, les responsables doivent répondre de leurs actes.