📌 Ajoutez Le Média en 4-4-2 à vos sources préférées sur Google

Pour voir plus souvent nos articles dans “À la une”, cliquez ici pour sélectionner lemediaen442.fr.

Les échanges avec la DGFiP font aussi partie des données concernées

Il y a plus préoccupant encore. Dans sa foire aux questions publiée après l’incident, la DGFiP indique que « la liste des messages » échangés avec l’administration depuis la messagerie d’impots.gouv.fr a pu être consultée ou extraite. Pour moins de 250 contribuables, le contenu même de certains messages a pu être accessible.

La question des pièces jointes devient alors essentielle. Une messagerie fiscale peut contenir des justificatifs personnels particulièrement sensibles : actes d’état civil, décisions de justice, documents familiaux ou autres pièces administratives. À ce jour, la DGFiP ne précise pas publiquement si des fichiers joints aux messages concernés ont pu être ouverts ou copiés.

Il serait donc faux d’affirmer que des milliers de cartes d’identité ont été dérobées dans cette attaque précise. Mais l’absence de réponse détaillée sur les pièces jointes mérite d’être signalée. La DGFiP elle-même reconnaît que les données déjà récupérées peuvent être utilisées pour rendre des escroqueries beaucoup plus crédibles.

Pour les escrocs, chaque fuite complète la précédente

C’est là que le danger dépasse largement le seul dossier fiscal. Un fichier volé ne reste pas forcément isolé. Nom, adresse et numéro de téléphone provenant d’une fuite peuvent être croisés avec un numéro de sécurité sociale récupéré ailleurs, un IBAN issu d’une autre attaque ou des renseignements fiscaux obtenus aujourd’hui.

La CNIL l’avait déjà constaté : les violations massives de bases de données se multiplient. Rien qu’en 2024, elle avait reçu 5 629 notifications de violations de données personnelles, soit une hausse de 20 % en un an. Le nombre de violations touchant plus d’un million de personnes avait doublé.

Les exemples donnent une idée de l’ampleur du problème. France Travail a subi une intrusion ayant permis l’accès aux informations de dizaines de millions de personnes. Les opérateurs de tiers payant Viamedis et Almerys ont vu les données de plus de 33 millions d’assurés compromises. Chez Free, l’attaque de 2024 a concerné les données de 24 millions de contrats, avec des IBAN parmi les informations accessibles dans certains cas.

Et ce ne sont pas de simples inquiétudes théoriques. En janvier 2026, la CNIL a infligé cinq millions d’euros d’amende à France Travail après avoir constaté des mesures techniques et organisationnelles insuffisantes pour protéger les données traitées. Le problème ne peut donc pas systématiquement être résumé par la formule confortable du « pirate très sophistiqué ».

La France ressemble de plus en plus à une passoire numérique

À force d’incidents, le mot « exceptionnel » commence à perdre son sens. Les attaques touchent les services de l’État, les organismes sociaux, les opérateurs télécoms, les assurances et les bases contenant des informations d’identité. Chaque nouvelle fuite ajoute une couche supplémentaire au dossier numérique que des escrocs peuvent reconstituer sur un citoyen.

Le constat est désormais partagé jusqu’au sein des services de l’État. En avril 2026, le commandant de l’Unité nationale cyber de la Gendarmerie évoquait une « massification des attaques » pouvant « donner le vertige ». Le rapport annuel sur la cybercriminalité fait état de 453 200 atteintes numériques enregistrées en 2025, soit une augmentation de 87 % en cinq ans.

Face à de tels chiffres, demander encore aux Français de faire simplement preuve de vigilance commence à avoir quelque chose d’assez savoureux. Les institutions accumulent des millions de données extrêmement précises sur la population ; lorsqu’elles s’échappent, le dernier rempart devient le citoyen à qui l’on explique de ne surtout pas cliquer sur un mauvais lien.

Le risque n’est plus seulement de recevoir un mauvais courriel

Lorsque suffisamment de données sont recoupées, une tentative d’escroquerie peut devenir redoutablement crédible. Imaginez un faux conseiller bancaire qui connaît votre nom, votre adresse, votre téléphone, votre revenu fiscal de référence, votre situation familiale et éventuellement votre IBAN grâce à une autre fuite. Le scénario n’a plus grand-chose à voir avec le vieux courriel truffé de fautes promettant un héritage miraculeux.

Ces informations peuvent servir à préparer des fraudes bancaires, de l’hameçonnage ciblé ou des tentatives d’usurpation d’identité. La DGFiP précise qu’une usurpation complète nécessite généralement que les fraudeurs obtiennent également une copie d’une pièce d’identité. Mais après plusieurs années de fuites massives touchant différentes bases françaises, considérer chaque incident indépendamment des précédents serait particulièrement rassurant… et particulièrement naïf.

Il faut là encore rester précis : cela ne signifie pas que « toutes les cartes d’identité des Français » circulent sur Internet. En revanche, des volumes gigantesques de données d’identité et de contact ont déjà été exposés au fil des attaques. Additionnées, ces informations offrent aux fraudeurs une matière première particulièrement riche.

Les accès avaient été coupés, mais la fuite n’avait pas été détectée

Dans le cas de la DGFiP, un détail résume assez bien le problème. Les accès frauduleux avaient été détectés et fermés en juin et juillet. Pourtant, l’administration explique qu’elle n’avait pas identifié à ce moment-là le vol de données. Celui-ci n’a été établi qu’à partir du 12 août, après les revendications de l’acteur malveillant.

Les particuliers concernés sont maintenant informés et leurs comptes fiscaux font l’objet d’une surveillance renforcée. La DGFiP a saisi la CNIL, déposé plainte et annoncé des mesures de sécurité supplémentaires. Nécessaires, évidemment. Mais elles interviennent une fois les données sorties.

On peut difficilement demander aux Français de confier toujours davantage d’informations personnelles à des plateformes centralisées sans exiger, en retour, un niveau de protection à la hauteur. Quand une administration connaît votre revenu, votre famille, votre patrimoine immobilier et vos échanges privés, la sécurité informatique n’est pas un supplément technique réservé au service informatique : c’est une responsabilité publique.

Et maintenant ? Aux citoyens de surveiller les dégâts

Les personnes concernées doivent se méfier particulièrement des appels, SMS et courriels utilisant de véritables renseignements personnels pour gagner leur confiance. Aucun code reçu par SMS, mot de passe, numéro de carte bancaire ou document d’identité ne doit être transmis à la suite d’une sollicitation inattendue.

Mais le problème de fond reste entier. Après chaque fuite, la réponse destinée au public finit par se ressembler : changez vos habitudes, soyez prudents, vérifiez vos comptes, méfiez-vous des messages. En somme, les bases de données sont centralisées par les institutions et les grandes entreprises ; quand elles sont pillées, la sécurisation finale revient au particulier.

La France dispose d’agences spécialisées, de réglementations, de plans de cybersécurité, de la CNIL et de services dédiés à la lutte contre la cybercriminalité. Pourtant, année après année, les chiffres continuent de grimper. La question n’est plus de savoir si les pirates s’intéressent aux données des Français. Ils s’y intéressent déjà. La vraie urgence est de savoir combien de fuites supplémentaires il faudra avant que leur protection soit traitée avec le même sérieux que leur collecte.