678 000 usagers, impots.gouv.fr piraté, données fiscales visées, ce que les arnaqueurs peuvent vraiment faire

Fin juin, le site impots.gouv.fr bascule en mode crise. Une cyberattaque expose les données de 678 000 usagers – particuliers et entreprises confondus. Pire: d’autres intrusions pourraient porter le nombre de victimes à deux millions. La DGFIP confirme et recommande la vigilance. Les syndicats, eux, crient à la faille de sécurité structurelle.

C’est là que tout bascule. Pendant des années, impots.gouv.fr s’affichait comme une forteresse numérique, le sanctuaire où l’État prétendait protéger les données les plus sensibles des Français. Un citoyen interrogé par les équipes de France 3 l’énonce avec une naïveté blessée: “Les impôts, c’est l’endroit où on est le plus rassuré, le plus sécurisé.” Cette illusion s’effondre en quelques jours. La revendication du pirate arrive en milieu de semaine. La panique monte. Les boîtes mail se remplissent de messages de méfiance.

Quels risques concrets pour les 678 000 victimes?

Les données compromises comportent des informations personnelles identifiantes: noms, adresses, numéros de sécurité sociale pour certains. Ce trésor d’or noir, les cybercriminels le savent, se revend sur le marché noir. L’usurpation d’identité devient alors le risque premier. Un pirate, armé de ces informations, peut créer des comptes bancaires fictifs, contracter des emprunts, faire des achats en ligne au nom de la victime. Les dégâts financiers peuvent être massifs et les démêlés administratifs interminables.

Autre danger: l’hameçonnage ciblé. Avec des données fiscales, les arnaqueurs construisent des messages de phishing sur mesure. “Attention si vous recevez un mail ou un message qui semble venir des impôts”, alertent les communicants publics. Le piège devient invisible: l’email paraît authentique, il cite des détails vrais, la victime clique, elle livre ses mots de passe. Depuis ce point d’entrée, les cybercriminels accèdent aux comptes bancaires, aux portefeuilles d’investissement, aux données des enfants.

La DGFIP elle-même reconnaît la menace. Son communiqué invoque cybermalveillance.gouv.fr comme ressource de secours. Elle conseille aux victimes de conserver preuves et captures d’écran. C’est avouer l’impuissance face au flot d’arnaques à venir.

Le fichier FICOBA en ligne de mire

Ce qui rend cette affaire encore plus grave: les données compromises incluent potentiellement l’accès au FICOBA, le fichier national des comptes bancaires. Ce registre, détenu par Bercy, centralise les informations de tous les comptes ouverts en France. Un criminel ayant les clés du FICOBA ne peut pas seulement voler de l’argent – il peut tracer les flux financiers, identifier les comptes richissimes, orchestrer des fraudes massives à grande échelle.

Les syndicats de la DGFIP tirent la sonnette d’alarme. Ils pointent des “failles de sécurité” et demandent des explications. Comment un pirate a-t-il pu rester des jours – voire des semaines – à l’intérieur des serveurs sans être détecté? Les systèmes de monitoring étaient-ils défaillants? Les équipes de sécurité suffisamment dimensionnées? Ces questions, officiellement sans réponse, alimentent le doute sur la capacité de l’État à protéger les données des citoyens.

Deux millions de victimes possibles: le scénario qui effraie

Le chiffre de 678 000 circule depuis les premières communications. Mais Bercy reconnaît que d’autres attaques auraient eu lieu. Le vrai bilan pourrait grimper à deux millions de contribuables piratés. Deux millions: c’est l’équivalent de la population de la Corse, de l’Alsace et du Luxembourg combinées. Pour chacun de ces usagers, les risques demeurent similaires, les délais de récupération encore plus longs, les traces numériques difficiles à nettoyer.

La DGFIP a publié un rappel de vigilance sans véritable plan de remédiation public. Aucune offre de crédit monitoring, aucun numéro d’urgence spécialisé annoncé, aucune promesse de dédommagement. Juste une recommandation: soyez prudents. C’est insuffisant. C’est même culpabilisant. Les victimes se retrouvent seules face à un risque qu’elles n’ont pas créé, qu’elles n’auraient jamais dû courir en confiant leurs données à une administration censée les protéger. Pendant ce temps, le marché noir des données se remplit, les arnaquiers affûtent leurs stratagèmes, et les Français découvrent que la forteresse numérique de l’État a des murailles en papier.