Fuite de données à la DGFiP : quand le régulateur ne s'applique pas ses propres règles

2 sept. 2026 — Romain Grosos

Le 12 août 2026, un individu se faisant appeler « ZeroBytes » revendique sur un forum cybercriminel le vol de 678 438 lignes de données fiscales extraites des systèmes de la Direction générale des Finances publiques. Bercy attend près de 24 heures avant de réagir, puis confirme le 14 août : environ 678 000 particuliers et professionnels sont concernés, avec une intrusion remontant à fin juin. L'affaire s'ajoute à une liste déjà longue d'incidents touchant l'administration française, et relance une question moins technique que politique : au nom de quoi une institution qui impose aux entreprises un cadre de sécurité strict échoue-t-elle, année après année, à s'appliquer à elle-même ce même niveau d'exigence ?

Chronologie de l'incident

L'intrusion initiale remonte à fin juin 2026, via l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, complétée par un accès VPN normalement réservé au télétravail. La DGFiP affirme avoir détecté l'intrusion à l'époque et coupé les accès concernés, mais ses contrôles n'auraient pas révélé d'exfiltration de données, « en raison de la sophistication de l'attaque » selon le communiqué officiel.

Le syndicat Solidaires Finances Publiques avait pourtant alerté la direction dès juin sur des risques de piratage et d'usurpation d'identité, dans la foulée d'autres fuites touchant l'administration (Tchap, France Services). La réponse de la DGFiP à l'époque : la situation était « sous contrôle ».

Le 12 août, ZeroBytes revendique publiquement le vol de 678 438 lignes. Pendant près de 24 heures, ni la DGFiP ni Bercy ne confirment ni ne démentent. Le 13 août, un premier communiqué reconnaît un « accès illégitime » sans donner de chiffre. Le 14 août, un second communiqué détaille l'ampleur : environ 678 000 particuliers et professionnels, saisine de la CNIL, dépôt de plainte, coordination avec le Haut fonctionnaire de défense et de sécurité et l'ANSSI. Amélie Verdier, directrice générale des Finances publiques, présente ses excuses par téléphone à la presse le même jour.

Le soir du 14 août, une seconde fuite distincte est revendiquée par le même pirate : des données cadastrales concernant potentiellement plus de deux millions de propriétaires fonciers, avec une intrusion datée du 29 juillet. Cette seconde fuite n'est, à ce stade, pas confirmée officiellement par Bercy.

Données exposées et vecteur d'accès

Les données confirmées par Bercy incluent le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source pour les particuliers, la raison sociale et le numéro SIREN pour les professionnels, ainsi que des données cadastrales relatives aux adresses et surfaces de biens immobiliers. Les identifiants et mots de passe des espaces personnels n'ont, selon la DGFiP, pas été compromis.

Le vecteur technique tel que revendiqué par l'attaquant, et partiellement corroboré par les communications officielles, suit un schéma classique : identifiants usurpés, accès VPN détourné, puis utilisation d'un outil métier interne de recherche de dossiers contribuables pour une extraction automatisée jusqu'à la coupure des accès. La méthode exacte d'obtention des identifiants initiaux (hameçonnage, réutilisation de mot de passe, ingénierie sociale) n'a pas été précisée.

Le délai qui interroge

L'article 33 du RGPD impose une notification à la CNIL sous 72 heures après la prise de connaissance d'une violation présentant un risque pour les personnes concernées. Entre l'intrusion de fin juin et la reconnaissance publique de mi-août, près de sept semaines se sont écoulées, et la communication n'intervient qu'après la revendication du pirate, pas à l'initiative de l'administration.

La DGFiP distingue la détection de l'intrusion (fin juin) de la connaissance de l'exfiltration de données (plus tardive), ce qui pourrait justifier juridiquement le délai. Aucune source ne permet à ce jour de trancher si la CNIL considère ce délai comme conforme : seule la saisine est confirmée, aucune procédure de sanction n'a été annoncée.

Deux poids, deux mesures : Free contre France Travail

La comparaison la plus parlante ne vient pas de la DGFiP elle-même, mais d'un précédent voisin. En octobre 2024, Free et Free Mobile subissent une fuite touchant 24 millions de contrats, avec des IBAN exposés pour une partie des abonnés doublement clients. La CNIL sanctionne les deux entités le 13 janvier 2026 à hauteur de 42 millions d'euros au total (27 millions pour Free Mobile, 15 pour Free), pour manquement à la sécurité, à l'information des personnes et à la limitation de la conservation des données.

En mars 2024, France Travail perd le contrôle des données de 36,8 millions de personnes, sur vingt ans d'historique, incluant le numéro de sécurité sociale, une donnée plus sensible que l'IBAN. La CNIL, dans sa décision du 22 janvier 2026, relève même que France Travail avait identifié ses propres failles en interne sans les corriger. La sanction : 5 millions d'euros. Huit fois moins que Free, pour un volume de données supérieur et une sensibilité au moins équivalente.

L'écart n'est pas un accident de la jurisprudence : il est écrit dans la loi. Le plafond des sanctions CNIL applicables au secteur public est fixé à 10 millions d'euros, quelle que soit l'ampleur de la fuite. Le secteur privé, lui, encourt jusqu'à 4 % du chiffre d'affaires mondial annuel, un montant potentiellement illimité en valeur absolue pour un grand groupe. La directive NIS2, transposée en France en 2026, ajoute une responsabilité personnelle des dirigeants pour les entités régulées, un mécanisme dont aucun équivalent n'a été observé côté administrations dans les incidents documentés ici.

Quand la fuite devient un risque physique

Deux précédents distincts, l'un touchant les détenteurs de cryptoactifs, l'autre les licenciés de tir sportif, montrent que la question dépasse le strict cadre financier : une fuite de données personnelles collectées sur obligation légale peut se traduire par une agression physique.

Le cas des cryptoactifs

Depuis 2020, tout résident fiscal français détenant un compte sur une plateforme crypto à l'étranger doit le déclarer à la DGFiP via le formulaire 3916-bis. Depuis le 1ᵉʳ janvier 2026, la directive européenne DAC8 étend ce dispositif : les plateformes doivent désormais collecter et transmettre automatiquement les transactions de leurs utilisateurs aux administrations fiscales, avec un premier échange effectif prévu en 2027. Autrement dit, l'État centralise davantage de données sur le patrimoine crypto de ses citoyens la même année où sa propre administration fiscale se fait de nouveau pirater.

Un précédent, distinct de l'incident d'août, illustre le risque de façon très concrète. Une agente de la DGFiP est détenue depuis le 30 juin 2025, soupçonnée d'avoir consulté les systèmes de l'administration et vendu des dossiers incluant noms, adresses, numéros de téléphone, données fiscales et informations sur des avoirs en cryptomonnaies. La société d'analyse blockchain Chainalysis désigne cette fuite comme le facteur le plus probable de la vague d'enlèvements et de séquestrations qui a frappé les détenteurs de crypto en France en 2026, sans toutefois établir de lien de causalité prouvé pour chaque cas individuel. Les invasions de domicile représentent 37 % des incidents recensés en 2026, contre 14 % en 2025, pour plus de 30 millions de dollars dérobés. Cybermalveillance.gouv.fr, organisme d'État, confirme officiellement des cas d'enlèvements et de séquestrations signalés dès janvier 2026, ainsi que des usurpations de représentants des forces de l'ordre visant à extorquer des détenteurs de crypto à leur domicile.

Le cas de la Fédération française de tir

La FFTir n'est pas une administration mais une association titulaire d'une délégation de service public : la licence FFTir est légalement nécessaire pour la pratique du tir sportif et l'acquisition de certaines catégories d'armes. En octobre 2025, un piratage expose les données de près d'un million de licenciés actuels et anciens (identité, adresse, téléphone, email, numéro de licence). Le 8 avril 2026, le ministre de l'Intérieur Laurent Nuñez confirme à l'Assemblée nationale qu'« entre 20 et 30 cambriolages » sont directement liés à des données vendues sur le darknet. Plusieurs cas sont documentés par la presse : neuf armes volées lors d'un braquage à Villeurbanne en décembre 2025, deux pistolets dérobés à Limoges, et en février 2026, à quelques heures d'intervalle, le domicile d'un policier lui-même licencié FFTir cambriolé (arme de service et munitions volées) puis un coffre-fort forcé à Marignane (une douzaine d'armes de poing dérobées).

Le verrou juridique : l'absence d'indemnités

Dans les deux cas, la réparation reste hors d'atteinte pour la plupart des victimes. La Cour de justice de l'Union européenne a tranché, le 4 mai 2023 (affaire C-300/21), que la simple violation du RGPD ne suffit pas à ouvrir un droit à réparation : il faut démontrer un dommage réel et un lien de causalité entre ce dommage et la violation précise. Pour un licencié FFTir cambriolé, ou un détenteur de crypto séquestré, prouver que son agression découle spécifiquement de telle fuite plutôt que d'une autre source de ciblage (réseaux sociaux, transactions on-chain publiques, autre fuite) est, en pratique, très difficile. La FFTir elle-même a informé ses adhérents de cette jurisprudence dans sa communication interne. Aucun fonds d'indemnisation collectif n'a été identifié pour les victimes de ces deux affaires.

Un an et demi d'incidents

L'incident DGFiP d'août 2026 ne constitue pas un cas isolé. Depuis 2024, la liste des administrations françaises ayant subi une fuite de données s'allonge :

France Travail (mars 2024) : 36,8 millions de personnes, données de sécurité sociale incluses.
FICOBA, le fichier national des comptes bancaires géré par la DGFiP (janvier-février 2026) : 1,2 million de comptes exposés (IBAN, identité, adresse).
HubEE, plateforme de la DINUM (janvier 2026) : 70 000 dossiers, 160 000 documents.
ANTS / France Titres (avril 2026) : 11,7 millions de comptes exposés via une faille IDOR, un défaut de contrôle d'accès élémentaire connu depuis vingt ans. Un adolescent de 15 ans a été interpellé. L'État a annoncé un plan cybersécurité de 200 millions d'euros dans la foulée.
Tchap, la messagerie chiffrée de l'État (juin 2026) : 73 467 agents exposés, 643 000 messages, dont des documents classifiés « Diffusion Restreinte ».
DGFiP, deux fois en 2026 : FICOBA en février, puis l'incident d'août.

Sept à huit incidents en dix-huit mois, sur des institutions qui exigent par ailleurs, des entreprises comme des particuliers, une conformité renforcée à des cadres de sécurité de plus en plus stricts (RGPD, NIS2, référentiels ANSSI).

La tentation de la minimisation, jusque face à l'État

La France s'est classée deuxième pays au monde le plus touché par les fuites de données au premier trimestre 2026, avec environ 23,5 millions de comptes compromis selon une étude Surfshark. Le baromètre 2026 du Forum INCYBER, alimenté par les données de la CNIL, recense 8 613 violations sur un an, en hausse de 45 % par rapport à 2025. Dans ce contexte, une partie des citoyens et professionnels en tire une conclusion pratique simple : toute donnée transmise à un tiers, y compris à l'administration, doit être considérée comme potentiellement exposée un jour. Cette logique de minimisation, courante en sécurité informatique, se heurte cependant à des obligations déclaratives qui, elles, ne sont pas optionnelles.

Le cas le plus net concerne justement les cryptoactifs. Un amendement adopté en commission des finances de l'Assemblée nationale le 9 décembre 2025 (article 3 quater du projet de loi de lutte contre la fraude fiscale et sociale) prévoyait d'imposer aux détenteurs de wallets en self-custody (MetaMask, Ledger, Trust Wallet, Phantom) une déclaration annuelle dès 5 000 euros de valeur au 31 décembre, y compris en l'absence de toute cession. La Commission mixte paritaire l'a finalement retiré du texte le 28 avril 2026, pour quatre raisons cumulées : inapplicabilité technique (un wallet auto-hébergé n'a pas d'identifiant fiable rattachable à son détenteur), mobilisation du secteur (campagne « Don't touch our cryptos » portée par Ledger, Coinhouse et la Fédération française des professionnels des crypto-actifs), doublon avec le dispositif DAC8 déjà en place côté plateformes, et risque constitutionnel d'atteinte disproportionnée à la vie privée. Le retrait intervient dans le même semestre que les précédents documentés plus haut : le législateur reconnaît lui-même, en creux, qu'imposer un fichage supplémentaire des détenteurs de crypto aggrave un risque déjà matérialisé par des enlèvements et séquestrations.

En pratique, certains détenteurs anticipent malgré tout un retour du sujet en fractionnant leurs avoirs sur plusieurs wallets distincts pour rester sous des seuils déclaratifs, une pratique documentée par la presse spécialisée. Il faut le signaler clairement : cette logique de contournement ne dispense en rien des obligations réellement en vigueur, la déclaration des plus-values (formulaire 2086) et celle des comptes détenus sur des plateformes étrangères (formulaire 3916-bis, amende de 750 à 1 500 euros par compte non déclaré). La minimisation porte sur ce qui n'est pas encore exigé par la loi, pas sur ce qui l'est déjà.

La même logique de compartimentage s'observe, de façon plus banale et moins juridiquement risquée, dans l'usage croissant d'adresses email jetables ou d'alias pour la création de comptes chez des fournisseurs de services tiers. L'objectif n'est pas d'échapper à une obligation légale, mais d'empêcher la corrélation d'une identité unique à travers de multiples bases de données, chacune susceptible d'être la prochaine à fuiter. C'est une réponse individuelle, non coordonnée, à un problème resté sans réponse institutionnelle : en l'absence de garantie que les données confiées seront protégées, quel que soit le collecteur, la seule variable qu'un usager peut réellement contrôler est le volume et l'exactitude de ce qu'il transmet au-delà du strict nécessaire légal.

Conclusion

Rien dans ce dossier ne relève d'un manque de bonne foi individuelle : les communiqués de Bercy, les excuses publiques, la saisine de la CNIL relèvent d'un processus correct sur la forme. Le problème est plus structurel. L'écart de traitement entre secteur public et secteur privé en cas de fuite n'est pas une anomalie ponctuelle de la CNIL, il est inscrit dans le plafond légal des sanctions. Et l'accumulation d'incidents, du fichier bancaire national aux titres d'identité en passant par une messagerie classifiée, questionne la crédibilité d'un régulateur à exiger un niveau de sécurité qu'il peine, année après année, à s'appliquer à lui-même, sans offrir en retour à ses propres victimes de dispositif de réparation à la hauteur du préjudice.