Blog chiffrons.fr
Fisc, mutuelles, I-CAD : qui paie nos fuites ?
L'État exige de chaque contribuable une déclaration exacte, à la date près, sous peine de majoration. Il serait légitime qu'il s'applique la même rigueur à ce qu'on lui confie. Cet été, ce n'a pas été le cas.
Ce qui est établi
Entre mai et août 2026, quelqu'un s'est connecté aux applications de la DGFiP avec des identifiants légitimes : plusieurs dizaines, selon l'ANSSI, probablement aspirés par des logiciels espions sur des ordinateurs que la DGFiP n'administrait pas, et utilisés sur des portails qui n'exigeaient pas de second facteur. Deux vagues d'extraction ont suivi, fin juin et fin juillet. Ni la DGFiP ni l'ANSSI ne les ont vues passer : c'est l'ANSSI elle-même qui l'écrit, dans son rapport d'incident rendu public le 29 septembre. Le public l'a appris le 12 août, quand un pirate se présentant comme « ZeroBytes » a mis les données en vente sur un forum. Bercy a confirmé dès le lendemain, puis détaillé le 14.
Bilan officiel annoncé en août : au moins 678 000 particuliers et professionnels, auxquels s'ajoutent des comptes issus des fichiers cadastraux — 200 000 selon la première estimation, chiffre revu à la hausse depuis. Pour les particuliers, le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, le numéro fiscal, le téléphone et l'adresse électronique. Les mots de passe et les coordonnées bancaires ne sont pas concernés, selon la DGFiP. Le parquet de Paris a ouvert une enquête, confiée à l'Office anticybercriminalité.
Le 18 août, l'administration a reconnu une troisième fuite, sur des données liées aux successions, « repérée et coupée », et le ministre des Comptes publics a présenté des excuses en conférence de presse. Un plan a suivi : double authentification généralisée pour les agents, audit de l'ANSSI, programme de primes aux chercheurs de failles. Tout ce qui aurait dû précéder l'incident a été annoncé après. L'audit, publié fin septembre, décrit une attaque sans sophistication : pas de faille exotique, des mots de passe volés et des portails sans authentification forte.
L'enquête judiciaire, elle, avance. Un jeune homme de 18 ans, présenté comme membre de ZeroBytes, a été interpellé le 18 août, mis en examen et placé en détention provisoire ; le parquet l'a fait savoir le 4 septembre. Un second suspect, âgé de 15 ans au moment des faits, a été mis en examen le 28 octobre et placé sous contrôle judiciaire ; son avocat conteste cette mise en examen. Une mise en examen n'est pas une condamnation. Au Parlement, le député Philippe Latombe a déposé le 27 août une proposition de résolution visant à créer une commission d'enquête sur ces failles.
En août toujours, deux mutuelles ont signalé des attaques : la Mutuelle Générale de Prévoyance le 19 août, par l'intermédiaire d'un prestataire technique, avec quelque 133 000 IBAN extraits selon elle ; puis Solimut, dont l'intrusion a été détectée le 23 août et pour laquelle un pirate revendique plusieurs centaines de milliers d'IBAN, chiffre que la mutuelle n'a pas confirmé.
Ce n'est pas une série isolée. Notre compteur des fuites recense, entre novembre 2025 et novembre 2026, 12 fuites confirmées dans des organismes publics, hors mutuelles. Sur les 11 dont l'origine de la révélation est établie, 8 ont été rendues publiques par le pirate, pas par l'organisme.
Ce qui n'était que revendiqué
Le 18 octobre, un pirate a affirmé détenir le fichier I-CAD, le registre national d'identification des chiens, chats et furets : 2,9 millions de propriétaires et 50 000 vétérinaires, avec noms, numéros de puce et noms des animaux.
Le 21 octobre, l'I-CAD a confirmé une fuite, mais plus étroite que l'annonce. Elle concerne des détenteurs de chats et vient de l'utilisation frauduleuse d'un compte d'accès attribué au LOOF, le livre généalogique félin. Selon l'I-CAD, les détenteurs de chiens ne sont pas concernés, rien n'indique un accès aux données des vétérinaires, et l'extraction ne comprend ni coordonnées, ni mots de passe, ni données bancaires. Le nombre de personnes réellement touchées n'est pas établi publiquement : le chiffre de 2,9 millions qui circule vient d'abord du vendeur.
La distinction compte, et l'I-CAD en donne l'illustration : la fuite existe, elle n'a pas la forme annoncée. Les chiffres annoncés par les pirates sont des arguments de vente, souvent gonflés ; un fichier de 678 438 lignes ne fait pas forcément 678 438 personnes. Une indignation qui mélange le confirmé et le revendiqué se fait démonter au premier démenti, et sert alors de preuve que « tout ça est exagéré ». Les faits établis suffisent largement.
Un contrat tenu d'un seul côté
Le consentement à l'impôt repose sur un échange : le citoyen paie et déclare, l'État protège, y compris ce qu'il sait du citoyen. La première moitié de ce contrat est contrôlée, sanctionnée, majorée au moindre retard. La seconde ne l'est pas : aucune sanction automatique quand une administration perd les données de 678 000 contribuables — la loi Informatique et libertés exclut même l'amende lorsque le traitement est mis en œuvre par l'État —, aucune indemnisation prévue d'office, et la révélation vient du vendeur.
Il ne s'agit pas de cesser de payer. Il s'agit d'exiger que l'obligation de résultat pèse aussi sur celui qui collecte.
Ce que coûterait de faire sérieusement
La mesure Cybersécurité citoyenne et PME chiffre une réponse d'ensemble. Son cœur : doubler l'ANSSI, de 1 200 à 2 400 agents, en faisant passer son budget d'environ 200 à environ 450 M€ par an, et étendre sa protection aux hôpitaux publics et aux collectivités de plus de 20 000 habitants. S'y ajoutent un diagnostic gratuit annuel pour les PME et les petites collectivités, une cyber-réserve de 20 000 personnes et un fonds d'indemnisation des particuliers victimes.
Coût brut sur cinq ans : 3,8 Md€. Solde net : +0,4 Md€ par an, soit +2 Md€ sur cinq ans, parce que les attaques évitées coûtent plus que la protection — le cabinet Asterès estimait à 2 Md€ le coût des cyberattaques réussies contre les organisations françaises en 2022, un chiffre probablement bas.
Ce solde positif repose sur une hypothèse forte : que l'effort réduise effectivement le nombre et le coût des attaques. C'est le point le plus fragile du chiffrage, et la fiche le détaille. Mais même en le ramenant à zéro, la question reste posée : quelques centaines de millions par an, face à un budget de l'État qui en dépense plus de 500 milliards.
La mesure Souveraineté numérique et technologique traite l'autre moitié du problème : la dépendance de l'administration à des prestataires et des logiciels qu'elle ne maîtrise pas — le vecteur de l'attaque contre la MGP.
Ce que chacun peut faire dès maintenant
- Vérifier s'il est concerné et rester vigilant : avec un revenu fiscal de référence ou un IBAN en main, un faux appel « des impôts » ou « de votre mutuelle » devient très crédible. Aucune administration ne demande un mot de passe ou un code par téléphone.
- Pour la fuite des impôts, inutile de saisir la CNIL : elle indique instruire déjà le dossier et qu'une plainte individuelle n'est pas nécessaire. Pour les autres fuites, une réclamation auprès d'elle reste possible, après une démarche auprès de l'organisme concerné. Le détail, les modèles de courrier et le signalement à 17Cyber figurent dans notre kit fuite de données.
- Demander réparation. L'article 82 du RGPD ouvre droit à l'indemnisation du préjudice causé par une violation de données, y compris par un organisme public. Les associations de consommateurs agréées peuvent porter des actions de groupe.
- Écrire à son député pour qu'il pose une question écrite au gouvernement. La réponse est publique et le ministère est tenu de la produire.
- Poser la question aux candidats. La campagne présidentielle est ouverte : quel budget pour l'ANSSI, quelle obligation de résultat pour les administrations qui collectent nos données, quelle indemnisation pour les victimes ?
En résumé
L'été 2026 a montré qu'une administration qui majore de 10 % un paiement en retard n'a pas su voir qu'on se servait dans ses fichiers, à deux reprises, à un mois d'intervalle. Se mettre en colère est légitime. La rendre utile suppose de séparer ce qui est établi de ce qui est revendiqué, et de chiffrer ce que coûterait de faire autrement : c'est l'objet de ces deux fiches, et chacun peut en contester les hypothèses dans le simulateur.
Article inspiré par : Next — Piratage du fisc : 678 000 usagers touchés, enquête de l'Office anticybercriminalité