Deux mois dans le système, sans une alerte
Le système d’information du fisc a été forcé fin juin 2026 1,3. Une seconde intrusion a suivi fin juillet, sur le serveur des données cadastrales 2. Le vol touche 678 000 particuliers et professionnels, un décompte encore provisoire 1. Pour les particuliers : nom, quotient familial, revenu fiscal de référence, taux de prélèvement 1. Le cadastre, lui, relie des adresses et des biens à leurs propriétaires 1,2.
L’entrée ne s’est pas faite par une faille inconnue. Elle s’est faite avec les identifiants d’un agent et d’un tiers habilité, détournés 1. Une clé légitime, pas un mur enfoncé.
Le plus frappant tient à la suite. Le vol n’a pas été repéré pendant près de deux mois 3. Il a été découvert le 12 août, quand le pirate a mis les données en vente 1,3. Ce n’est pas la surveillance interne qui a donné l’alerte. C’est le voleur. La direction des finances publiques le reconnaît dans son communiqué.
« Les contrôles d’accès réalisés à cette occasion n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données. »
La même administration parle d’une « attaque sophistiquée » 1,2. C’est son explication. Le fait, lui, est simple. Des données sont restées dehors deux mois sans que rien ne sonne.
Le fisc, puis l’école, à répétition
Ce n’est pas un incident isolé. En janvier déjà, le fichier national des comptes bancaires avait été ouvert de la même façon, avec les identifiants usurpés d’un fonctionnaire 4. Identité, adresse et IBAN de 1,2 million de comptes consultés 4. Même administration, même méthode, six mois plus tôt.
L’Éducation nationale a connu sa propre série. En mars, une base de gestion des ressources humaines a fuité. 243 000 agents, tuteurs et stagiaires, par « un compte externe » usurpé 5. En juillet, c’est le système de formation des personnels 6,7. Là, les données touchent les agents ayant travaillé en académie depuis 2001, vingt-cinq ans d’historique 6. Pour certains, l’adresse, le téléphone et le numéro de sécurité sociale 6,7. Le ministère n’a pas chiffré le nombre de personnes concernées 7. Un troisième épisode, environ un mois après le premier, a touché des données d’élèves 7.
Les administrations qui centralisent le plus de données sont les plus visées. Éducation et recherche : 34 % des incidents traités par l’agence nationale de cybersécurité en 2025. Ministères et collectivités : 24 % 8.
Une clé volée, pas un mur forcé
Dans chaque cas, la porte d’entrée est la même. Un compte légitime, usurpé 1,6. Pas une prouesse technique inédite. C’est le mode opératoire le plus courant à l’échelle du pays. Le régulateur des données l’avait déjà noté pour 2024. Les attaquants « ont obtenu des identifiants et mots de passe valides d’employés ou partenaires ». Et le vol n’était souvent repéré qu’à la mise en vente 11.
Le reste suit la même logique. Fin 2025, plus de 6 200 équipements français de sécurité (pare-feux, VPN, passerelles) restaient vulnérables à des failles connues depuis 2023 ou 2024 8. La faille n’était pas inconnue. Elle était juste non corrigée. Ce n’est pas une question de génie adverse. C’est une question de maintenance et de surveillance.
Un numéro de sécurité sociale ne se change pas
Un mot de passe se change. Un nom, une adresse, un numéro de sécurité sociale, non. Ces données-là, une fois sorties, le restent. Elles nourrissent l’hameçonnage ciblé et l’usurpation d’identité, d’autant plus crédibles qu’elles viennent d’une administration réelle.
Et la personne concernée n’est pas toujours prévenue. La loi impose de notifier le régulateur sous 72 heures 13. Mais l’information directe aux personnes n’est obligatoire que si le risque est jugé « élevé » 13. Un particulier peut donc voir ses données circuler sans recevoir la moindre lettre.
Tout n’est pas à prendre pour argent comptant pour autant. Le pirate, lui, revendiquait « plus de deux millions » de victimes 2. Ce chiffre n’est pas vérifié. Les voleurs gonflent souvent leur butin pour le vendre plus cher 2. Le seul chiffre solide reste le décompte officiel, encore provisoire 1.
Des moyens comptés, un guichet d’aide gelé depuis 2017
Les moyens de l’État en cybersécurité sont comptés. Les crédits « métiers » de l’agence nationale sont stables, à 26,9 millions d’euros pour 2026, avec douze postes de plus 9. C’est un périmètre étroit, pas la dépense totale de l’État 9. Le volet grand public, lui, est à l’arrêt. L’aide aux victimes, particuliers, petites entreprises et communes, est financée par une subvention inchangée depuis 2017 9.
Pendant ce temps, les demandes explosent. 420 000 sollicitations d’assistance en 2024, quand l’agence traitait 4 386 signalements 9.
Ces intrusions de 2026 ne sont pourtant pas passées par un manque de budget. Elles sont passées par un compte volé et une détection en panne 1,6. Le seul sous-investissement clairement chiffré concerne un autre secteur : les hôpitaux. Ils consacrent 1,7 % de leur budget au numérique. Leur programme de mise à niveau n’a reçu que 223 millions sur les 750 prévus 10. Le transposer au fisc serait un raccourci.
Chaque partie intéressée pousse son cadrage. Le syndicat des finances publiques réclame des moyens « à la hauteur des enjeux » 2. L’administration met en avant la sophistication de l’attaque 1. L’un et l’autre défendent une position. Les constats indépendants, eux, pointent ailleurs : un écosystème éclaté, sans programmation pluriannuelle des moyens, et onze recommandations d’une juridiction financière restées à appliquer 9.
L’amende va au Trésor, pas aux victimes
La loi existe, et elle a des dents. Elle impose une obligation de sécurité, des mesures adaptées au risque 12. Une attaque réussie ne suffit pas à prouver la faute. Il faut établir que les protections étaient insuffisantes 12. Le manquement, lui, peut coûter cher : jusqu’à 10 millions d’euros, ou 2 % du chiffre d’affaires mondial 14.
Et ça tombe. En janvier 2026, l’opérateur public de l’emploi a été sanctionné de 5 millions d’euros 15. En cause : des défauts de sécurité ayant exposé près de 37 millions de personnes 15. Le même mois, un opérateur télécom a écopé de 42 millions 16. L’État répond donc, y compris pour lui-même.
Deux limites demeurent. Pour les vols de 2026 au fisc et à l’école, aucune sanction n’a été rendue à ce jour. Le régulateur est saisi, la suite est inconnue 1,6. Et quand l’amende tombe, elle va au Trésor public, pas aux personnes dont les données ont fui. Le responsable paie l’État. La victime, elle, garde ses données dans la nature.
Des clés volées sur les données de millions de gens
Reste le fait le plus solide de toute cette série. Des systèmes qui rassemblent les données fiscales, bancaires et personnelles de millions de gens, agents publics compris, ont été ouverts avec des clés volées. Et pendant deux mois, du côté de ceux qui devaient veiller, rien n’a sonné.