Ce que la DGFiP a réellement perdu
L'intrusion dans la Direction générale des Finances publiques française a commencé le 26 juin 2026, lorsqu'un attaquant a utilisé des identifiants volés appartenant à un agent de la DGFiP et à un tiers autorisé distinct pour accéder aux systèmes de l'administration. Des contrôles internes ont coupé cet accès avant la fin juin, et le communiqué officiel du ministère des Finances chiffre les données exposées à environ 678 000 particuliers et entreprises - un chiffre proche des 678 438 lignes que l'attaquant lui-même a ensuite revendiquées. Pour les contribuables particuliers, les champs exposés sont le nom complet, la classification du quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source ; pour les entreprises, le numéro SIREN, l'adresse de l'entreprise et l'adresse du représentant autorisé.
La DGFiP a déclaré qu'aucun compte sécurisé de contribuable sur le portail impots.gouv.fr n'avait été compromis, si bien que les données seules ne donnent accès aux déclarations fiscales actives de personne. Mais l'administration elle-même a décrit l'intrusion comme plus sophistiquée que tout ce qu'elle avait affronté auparavant, et les champs exposés - niveau de revenu, taux d'imposition, situation familiale, immatriculation d'entreprise et données d'adresse - sont exactement le genre de détails qui rendent crédible un appel de hameçonnage ou un courriel frauduleux ultérieur.
Quarante-huit jours entre la coupure et la divulgation publique
Le calendrier qui compte ici n'est pas l'intrusion elle-même mais le silence qui a suivi. La DGFiP a coupé l'accès de l'attaquant fin juin, et la fuite est restée non annoncée jusqu'au 12 août, lorsque l'attaquant a publié sa propre revendication du vol de données. Ce n'est que le lendemain, le 13 août, que le ministère des Finances a publié un communiqué officiel confirmant l'intrusion, indiquant que la DGFiP notifierait la CNIL, l'autorité française de protection des données, et déposerait plainte auprès du parquet de Paris, qui a depuis ouvert une enquête impliquant l'OFAC, l'unité nationale de lutte contre la cybercriminalité.
Cet écart de 48 jours est légal au regard de la lettre du RGPD : le délai de 72 heures du règlement s'applique uniquement à la notification à l'autorité de contrôle, pas à la notification des personnes concernées, auxquelles une divulgation n'est due que 'dans les meilleurs délais' lorsqu'une violation présente un risque élevé - une norme sans chiffre précis attaché. Le ministre chargé des Comptes publics, David Amiel, a ensuite demandé à la DGFiP de notifier directement les contribuables concernés et de proposer des procédures de sécurité renforcées, mais cette demande est arrivée après que la publication de l'attaquant lui-même a forcé la main de l'administration, et non avant.
L'amende qui ne s'applique pas à celui qui devrait la payer
Voici l'asymétrie que devrait retenir un dirigeant du secteur privé : selon la loi française qui transpose le RGPD, une entreprise qui aurait géré une fuite comme l'a fait la DGFiP - identifiants d'un tiers compromis, semaines de silence, divulgation seulement après que l'attaquant l'a rendue publique - pourrait s'exposer à des amendes de la CNIL pouvant atteindre 10 millions d'euros ou 2 pour cent du chiffre d'affaires annuel mondial pour ne pas avoir notifié les personnes concernées dans les meilleurs délais. La même législation exclut explicitement les 'traitements mis en oeuvre par l'État' de ces sanctions administratives. Le mécanisme censé faire de la divulgation rapide une question d'intérêt financier propre pour chaque entreprise que régule la DGFiP n'existe tout simplement pas pour la DGFiP elle-même.
Un syndicat de la fonction publique a posé exactement cette question dès que la fuite est devenue publique : sans la révélation de l'attaquant lui-même, quand et comment les contribuables et entreprises concernés auraient-ils jamais appris ce qui s'était passé. Ce n'est pas une hypothèse pour les quelque 678 000 personnes et entreprises qui détiennent désormais une information qu'elles n'avaient pas il y a deux mois - et c'est une leçon de gouvernance directe pour tout dirigeant qui suppose que les incitations d'une contrepartie publique en matière de traitement des données reflètent celles que la réglementation impose à sa propre entreprise. Ce n'est pas le cas, et l'écart ne se referme que lorsque l'attaquant décide de parler. Toute entreprise dont le numéro SIREN et l'adresse enregistrée se trouvaient dans cette exposition devrait considérer les semaines à venir comme une fenêtre active de risque d'usurpation d'identité, et non comme un incident clos, quel qu'ait été le temps mis par la DGFiP elle-même pour le dire.
À lire ensuite: La faille de Beacon échappe à tous les filets de sécurité | Violation CEVA Logistics touche les acheteurs Steam
