Le 14 août, la Direction générale des finances publiques, la DGFiP, a confirmé une intrusion ayant conduit à la fuite d’un fichier comportant 678 000 entrées concernant aussi bien des particuliers que des professionnels. Parmi les informations officiellement reconnues figuraient les noms et prénoms, le quotient familial, le revenu fiscal de référence ainsi que le taux de prélèvement à la source. L’analyse d’un échantillon des données revendiquées par le pirate faisait également apparaître, selon Cybernetica, des adresses postales, numéros de téléphone, courriels et informations sur le nombre de personnes à charge.
Mais le chiffre de 678 000 personnes n’est probablement pas l’élément le plus inquiétant de cette affaire. Le véritable problème apparaît lorsque l’on reconstitue la chronologie.
L’accès utilisé par l’attaquant avait été identifié et interrompu par l’administration dès la fin du mois de juin. À ce moment-là, la DGFiP avait donc compris qu’un accès non autorisé avait eu lieu et avait coupé la connexion concernée. Ce qu’elle n’avait apparemment pas détecté, en revanche, c’est que des données avaient déjà été exfiltrées. Ce n’est que le 12 août, lorsque les informations ont été proposées à la vente, que l’ampleur de la fuite est apparue. Autrement dit, l’administration avait fermé la porte après avoir repéré l’intrus, mais sans constater immédiatement qu’il était peut-être déjà reparti avec une partie du contenu du coffre.
L’affaire a pris une dimension supplémentaire lorsque le même pirate a revendiqué une seconde attaque visant cette fois le serveur professionnel des données cadastrales de la DGFiP. L’administration a confirmé cette intrusion. L’attaquant affirme avoir extrait 252 149 lignes représentant, selon lui, plus de deux millions de personnes et contenant notamment identité, date et lieu de naissance, adresse et informations foncières. Il affirme également avoir contourné un dispositif d’authentification multifacteur, affirmation qui devra naturellement être confirmée par les investigations techniques.
Le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité. Les personnes concernées par la première fuite doivent être informées individuellement. Pendant ce temps, l’affaire a commencé à provoquer une polémique politique sur la responsabilité de l’État et sur sa capacité à protéger les informations qu’il demande lui-même aux citoyens de lui confier.
Ce qui rend cet épisode particulièrement préoccupant est qu’il ne s’agit pas d’un incident isolé dans le paysage numérique français. Dans la nuit du 25 au 26 juillet, le système d’information consacré à la formation des personnels de l’Éducation nationale avait lui aussi été compromis à partir d’un compte professionnel usurpé. Les données susceptibles d’avoir été exposées concernaient des agents ayant exercé en académie depuis 2001 : identité, statut, fonctions et, pour certains, adresse, téléphone ou numéro de sécurité sociale. Cybernetica rappelle également plusieurs autres incidents intervenus en 2026, notamment autour du CNOUS et d’autres systèmes éducatifs.
Cette succession d’affaires change la nature de la question.
Il serait relativement confortable de conclure que la France a simplement été victime de pirates particulièrement talentueux. Mais ce serait probablement manquer l’essentiel. Dans tout système informatique suffisamment complexe, il faut partir du principe qu’un identifiant finira par être volé, qu’un ordinateur pourra être compromis ou qu’un utilisateur cliquera un jour sur le mauvais lien.
La vraie question devient alors beaucoup plus dérangeante : que se passe-t-il après ?
Car entrer dans un système ne devrait pas automatiquement permettre de télécharger des centaines de milliers de données. Les architectures modernes sont supposées contrôler non seulement l’identité de la personne qui se connecte, mais aussi ce qu’elle consulte, combien de données elle consulte, ce qu’elle copie et ce qu’elle tente de faire sortir du réseau. Des volumes inhabituels, des comportements atypiques ou des opérations particulièrement sensibles devraient provoquer des alertes, des limitations ou de nouvelles demandes d’authentification.
C’est précisément ce que l’affaire française vient rappeler : la cybersécurité d’un État ne peut plus être pensée uniquement comme une forteresse dont il suffirait de protéger la porte d’entrée.
Et c’est ici que l’histoire française cesse d’être seulement française.
Car le Maroc est lui aussi engagé dans une numérisation accélérée de son administration, de sa fiscalité, de sa protection sociale, de ses données foncières, de ses services publics et progressivement de l’ensemble de sa relation avec le citoyen.
Dès lors, une question devient légitime. Si demain un attaquant franchissait l’une des portes numériques de l’État marocain, combien de temps faudrait-il pour le voir ?
Et surtout : saurions-nous l’empêcher de repartir avec les données ?
Mais le chiffre de 678 000 personnes n’est probablement pas l’élément le plus inquiétant de cette affaire. Le véritable problème apparaît lorsque l’on reconstitue la chronologie.
L’accès utilisé par l’attaquant avait été identifié et interrompu par l’administration dès la fin du mois de juin. À ce moment-là, la DGFiP avait donc compris qu’un accès non autorisé avait eu lieu et avait coupé la connexion concernée. Ce qu’elle n’avait apparemment pas détecté, en revanche, c’est que des données avaient déjà été exfiltrées. Ce n’est que le 12 août, lorsque les informations ont été proposées à la vente, que l’ampleur de la fuite est apparue. Autrement dit, l’administration avait fermé la porte après avoir repéré l’intrus, mais sans constater immédiatement qu’il était peut-être déjà reparti avec une partie du contenu du coffre.
L’affaire a pris une dimension supplémentaire lorsque le même pirate a revendiqué une seconde attaque visant cette fois le serveur professionnel des données cadastrales de la DGFiP. L’administration a confirmé cette intrusion. L’attaquant affirme avoir extrait 252 149 lignes représentant, selon lui, plus de deux millions de personnes et contenant notamment identité, date et lieu de naissance, adresse et informations foncières. Il affirme également avoir contourné un dispositif d’authentification multifacteur, affirmation qui devra naturellement être confirmée par les investigations techniques.
Le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité. Les personnes concernées par la première fuite doivent être informées individuellement. Pendant ce temps, l’affaire a commencé à provoquer une polémique politique sur la responsabilité de l’État et sur sa capacité à protéger les informations qu’il demande lui-même aux citoyens de lui confier.
Ce qui rend cet épisode particulièrement préoccupant est qu’il ne s’agit pas d’un incident isolé dans le paysage numérique français. Dans la nuit du 25 au 26 juillet, le système d’information consacré à la formation des personnels de l’Éducation nationale avait lui aussi été compromis à partir d’un compte professionnel usurpé. Les données susceptibles d’avoir été exposées concernaient des agents ayant exercé en académie depuis 2001 : identité, statut, fonctions et, pour certains, adresse, téléphone ou numéro de sécurité sociale. Cybernetica rappelle également plusieurs autres incidents intervenus en 2026, notamment autour du CNOUS et d’autres systèmes éducatifs.
Cette succession d’affaires change la nature de la question.
Il serait relativement confortable de conclure que la France a simplement été victime de pirates particulièrement talentueux. Mais ce serait probablement manquer l’essentiel. Dans tout système informatique suffisamment complexe, il faut partir du principe qu’un identifiant finira par être volé, qu’un ordinateur pourra être compromis ou qu’un utilisateur cliquera un jour sur le mauvais lien.
La vraie question devient alors beaucoup plus dérangeante : que se passe-t-il après ?
Car entrer dans un système ne devrait pas automatiquement permettre de télécharger des centaines de milliers de données. Les architectures modernes sont supposées contrôler non seulement l’identité de la personne qui se connecte, mais aussi ce qu’elle consulte, combien de données elle consulte, ce qu’elle copie et ce qu’elle tente de faire sortir du réseau. Des volumes inhabituels, des comportements atypiques ou des opérations particulièrement sensibles devraient provoquer des alertes, des limitations ou de nouvelles demandes d’authentification.
C’est précisément ce que l’affaire française vient rappeler : la cybersécurité d’un État ne peut plus être pensée uniquement comme une forteresse dont il suffirait de protéger la porte d’entrée.
Et c’est ici que l’histoire française cesse d’être seulement française.
Car le Maroc est lui aussi engagé dans une numérisation accélérée de son administration, de sa fiscalité, de sa protection sociale, de ses données foncières, de ses services publics et progressivement de l’ensemble de sa relation avec le citoyen.
Dès lors, une question devient légitime. Si demain un attaquant franchissait l’une des portes numériques de l’État marocain, combien de temps faudrait-il pour le voir ?
Et surtout : saurions-nous l’empêcher de repartir avec les données ?
La France vient de recevoir un avertissement grandeur nature
Et pendant que l’on débat pour savoir si la France est réellement moins bien protégée que la Bulgarie, l’affaire du fisc est déjà entrée dans une nouvelle phase : celle des conséquences très concrètes pour les victimes.
Depuis lundi 17 août 2026, la Direction générale des finances publiques a commencé à contacter individuellement les 678 000 particuliers et professionnels concernés afin de leur préciser quelles données ont pu être exposées et quelles mesures de vigilance adopter.
Le même jour, le Premier ministre Sébastien Lecornu a réuni une cellule interministérielle de crise consacrée à cette cyberattaque. L’enjeu n’est désormais plus seulement technique. Il devient politique : comment l’État peut-il demander aux citoyens de lui confier toujours davantage d’informations personnelles tout en garantissant qu’elles resteront sous contrôle ?
Car derrière les 678 000 notifications envoyées aujourd’hui se cache peut-être la véritable mesure de la souveraineté numérique de demain. Un État moderne ne se juge plus seulement à sa capacité à collecter, centraliser et exploiter les données. Il se juge également à sa capacité à savoir, presque immédiatement, quand quelqu’un est en train de les emporter.
Et sur ce terrain-là, la France vient de recevoir un avertissement grandeur nature.
Depuis lundi 17 août 2026, la Direction générale des finances publiques a commencé à contacter individuellement les 678 000 particuliers et professionnels concernés afin de leur préciser quelles données ont pu être exposées et quelles mesures de vigilance adopter.
Le même jour, le Premier ministre Sébastien Lecornu a réuni une cellule interministérielle de crise consacrée à cette cyberattaque. L’enjeu n’est désormais plus seulement technique. Il devient politique : comment l’État peut-il demander aux citoyens de lui confier toujours davantage d’informations personnelles tout en garantissant qu’elles resteront sous contrôle ?
Car derrière les 678 000 notifications envoyées aujourd’hui se cache peut-être la véritable mesure de la souveraineté numérique de demain. Un État moderne ne se juge plus seulement à sa capacité à collecter, centraliser et exploiter les données. Il se juge également à sa capacité à savoir, presque immédiatement, quand quelqu’un est en train de les emporter.
Et sur ce terrain-là, la France vient de recevoir un avertissement grandeur nature.