L'administration fiscale française a été victime d'une cyberattaque ayant exposé des données personnelles liées à environ 678 000 contribuables, ont confirmé les autorités cette semaine. La faille a concerné à la fois des contribuables particuliers et professionnels et a déclenché une enquête sur la manière dont les attaquants ont accédé aux systèmes gouvernementaux.

L'incident vient renforcer les inquiétudes croissantes en matière de cybersécurité dans le secteur public français. L'agence publique pour l'emploi France Travail avait révélé en mars 2024 qu'une intrusion avait exposé les données d'environ 10 millions de demandeurs d'emploi actuels et anciens, et des hôpitaux français, notamment des établissements à Dax et Corbeil-Essonnes, ont été frappés par des rançongiciels ces dernières années. Les autorités s'attachent désormais à déterminer précisément quelles informations les attaquants ont obtenues et si les données volées pourraient faciliter de nouvelles tentatives de fraude ou d'usurpation d'identité.

Enquête en cours

La Direction générale des Finances publiques, l'administration fiscale française, a détecté l'incident après que des attaquants ont obtenu un accès non autorisé à un système interne. Selon les rapports, l'intrusion s'est produite en juin, tandis que les informations volées ont été rendues publiques en août.

Les autorités françaises ont restreint l'accès aux systèmes concernés et lancé des investigations techniques. Elles évaluent également l'étendue des informations volées avant d'informer les contribuables concernés des risques spécifiques et des mesures de protection à prendre. En tant qu'organisme public, l'administration fiscale est soumise au RGPD, le règlement européen sur la protection des données, qui impose de signaler les violations éligibles à la CNIL, l'autorité française de protection des données, dans un délai de 72 heures et d'informer directement les personnes concernées lorsque le risque pour elles est élevé.

L'incident survient quelques mois après une autre faille de sécurité impliquant la base de données nationale des comptes bancaires de l'administration fiscale. Cet incident antérieur avait potentiellement exposé des informations liées à environ 1,2 million de comptes, après qu'un attaquant a utilisé des identifiants volés appartenant à un agent de l'État.

Des risques de cybersécurité en hausse

Cette dernière intrusion pourrait accroître le risque de phishing, d'usurpation d'identité et d'autres escroqueries financières visant les contribuables. Les autorités françaises de cybersécurité ont déjà averti que les criminels exploitent couramment les événements liés à la fiscalité en envoyant de faux messages demandant des informations personnelles ou bancaires, et les contribuables peuvent vérifier l'authenticité des communications via leur espace personnel sur le portail officiel impots.gouv.fr.

Pour les entreprises comme pour les particuliers, l'incident met en lumière les risques financiers créés lorsque les bases de données gouvernementales deviennent des cibles. Les informations fiscales volées peuvent fournir aux criminels des détails crédibles pour mener des tentatives de fraude très convaincantes.

Les autorités n'ont pas encore divulgué la nature complète des informations compromises ni la méthode d'accès exacte utilisée par les attaquants. L'impact financier final demeure incertain à mesure que les enquêtes se poursuivent.