À la mi-août 2026, sur une messagerie, quelqu’un met des fichiers en vente. Les données fiscales de centaines de milliers de Français. La base des impôts pour quelques milliers d’euros. Le cadastre pour quelques centaines. C’est ainsi que l’administration fiscale a compris que des données lui avaient été volées. Pas par une alarme. Par une annonce.

Deux mois sans rien voir

Les faits remontent à juin et juillet 2026. Deux intrusions, à un mois d’écart, dans le système du fisc 1.

Le pirate n’a pas forcé une serrure inconnue. Il est entré avec des identifiants volés. Ceux d’un agent du fisc, puis ceux d’un tiers autorisé 1. Pas une faille exotique. Des clés légitimes, détournées.

Dès qu’elle a repéré ces accès, l’administration les a coupés. Mais elle n’a pas vu que des données étaient parties. Ses propres mots : les contrôles « n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données » 1.

Le vol est resté invisible environ deux mois. Il a fallu la revendication publique du pirate, les 12 et 13 août, pour le découvrir 1,2.

La direction parle d’une attaque « plus sophistiquée » que les précédentes, sans pic de requêtes qui aurait alerté 2. C’est son explication, celle de la partie qui doit rendre des comptes. Le fait, lui, tient en une ligne. Pendant deux mois, personne n’a rien vu.

Qui est exposé, et avec quoi

Pour un particulier, les données parties dressent un portrait précis. Nom, prénom, quotient familial, revenu fiscal de référence, taux de prélèvement à la source 1. Sur l’échantillon mis en vente, il y avait aussi le numéro fiscal, l’adresse, le téléphone, l’e-mail et la situation familiale 2.

Pour une entreprise : raison sociale, numéro SIREN, adresses 1,2.

S’y ajoute le cadastre. Ce fichier relie un bien immobilier à son propriétaire 2. Le cadastre est en partie public. Ce qui est sensible, c’est le lien : un nom, une situation fiscale, et le logement qui va avec.

Tout n’est pas parti. Selon l’administration, les mots de passe et les espaces personnels sur impots.gouv.fr n’ont pas été touchés. Les données volées ne donnent pas accès au compte 1,2.

Le pirate, lui, annonce plus. « Plus de deux millions de personnes » pour le cadastre. 678 437 fuités, dont 392 867 particuliers, pour les impôts 2,3. Ces chiffres viennent de lui, et il a intérêt à les gonfler : un butin plus gros se vend plus cher. La presse qui a consulté ses fichiers le rappelle noir sur blanc 3. Le seul chiffre vérifié reste celui de l’administration. 678 000, et il peut encore bouger 1.

Le danger n’est pas le compte, c’est l’arnaque

Ces données ne vident pas un compte en banque. Mais elles arment l’escroquerie 2.

Avec un revenu réel, une situation de famille, un historique fiscal exact, un faux message devient crédible. Un e-mail qui cite le bon montant d’impôt inspire confiance. C’est la porte d’entrée de l’hameçonnage et de l’usurpation d’identité 2. Le risque grandit parce que ces fichiers s’ajoutent à d’autres fuites, d’administrations et d’entreprises. Recoupées, elles dressent des profils de plus en plus complets 2.

Quelques gestes réduisent le risque. Se méfier des messages qui pressent ou réclament un paiement. Changer les mots de passe des services importants, banque et impôts en tête. Déposer plainte en cas d’usurpation 5.

Reste une limite. Une donnée diffusée ne se rappelle pas. Ces gestes protègent les accès futurs. Ils n’effacent pas ce qui circule déjà. L’autorité de contrôle elle-même prévient qu’elle ne peut pas dire à une personne si ses données sont dans la nature 5.

Deux fois la même porte

Surtout, ce n’est pas la première fois. Fin janvier 2026, la même administration a déjà été visée. Même méthode : les identifiants d’un fonctionnaire, usurpés 4.

Cette fois-là, l’intrusion a touché le fichier national des comptes bancaires. Environ 1,2 million de comptes exposés : identité, adresse, IBAN 4.

Ce sont deux affaires distinctes, dont les chiffres ne s’additionnent pas. Mais c’est deux fois la même porte, ouverte avec la même clé volée, sur la même maison, à quelques mois d’écart.

Un syndicat d’agents, Solidaires finances publiques, affirme avoir alerté « dès juin » sur ces risques. Il réclame pour la sécurité informatique « des moyens humains et techniques à la hauteur des enjeux » 2. C’est le point de vue d’une organisation d’agents, qui défend son administration et ses effectifs. Il vaut ce qu’il vaut : un dire de partie prenante, pas une preuve chiffrée.

Ce que l’incident établit est plus simple, et solidement documenté. Une faille dans la garde des accès. Un vol qui passe deux mois sous le radar. Et qui recommence.

Reste l’image du départ. Une administration détient les données de tout le monde, parce que l’impôt n’est pas une option. Deux mois durant, elle n’a pas vu qu’on les lui prenait. C’est une annonce de vente qui le lui a appris.