Cyberattaque du fisc : ce que révèle l'alerte des syndicats sur la sécurité de nos données
La Direction générale des finances publiques (DGFiP) a subi deux intrusions dans ses systèmes informatiques. Le syndicat Solidaires pointe une cause précise : des systèmes informatiques « anciens » et un manque de moyens humains pour les protéger. Concrètement, cela signifie que les données fiscales de millions de contribuables et d'entreprises — revenus, patrimoine, numéros bancaires, chiffres d'affaires — reposent en partie sur des infrastructures vieillissantes. Pour un dirigeant, l'enjeu est direct : vos déclarations, vos coordonnées bancaires transmises au fisc, les données de vos salariés peuvent transiter par ces systèmes. Voici ce qu'il faut comprendre de cette affaire, ce qu'elle change pour vous, et les réflexes à adopter dès maintenant.
Article d'actualité économique et administrative — état des informations publiques à la date de publication. Les éléments techniques de l'enquête relèvent des autorités compétentes.
Ce que dit le syndicat : des systèmes « anciens » comme talon d'Achille
Le message porté par Solidaires est frontal : les deux intrusions qui ont touché la DGFiP ne seraient pas de simples accidents, mais le symptôme d'un problème structurel. D'un côté, des systèmes informatiques décrits comme vieillissants. De l'autre, un manque de moyens — humains et financiers — pour les maintenir à niveau face à des attaquants de plus en plus organisés.
Cette critique mérite d'être décodée. Dans l'administration, une bonne partie des applications critiques repose sur des technologies parfois développées il y a des décennies. Elles fonctionnent, mais elles n'ont pas été conçues pour l'environnement de menaces actuel. Les moderniser coûte cher, prend du temps, et se heurte à la contrainte de ne jamais interrompre un service utilisé quotidiennement par des dizaines de millions d'usagers.
Le point que soulève le syndicat dépasse donc l'incident technique. Il pose une question politique : est-on prêt à investir massivement dans la sécurisation des données publiques, alors même que l'administration se numérise à marche forcée ?
Pourquoi la numérisation de l'administration multiplie les risques
Depuis une quinzaine d'années, l'État a fait un choix assumé : dématérialiser. Déclaration de revenus en ligne, prélèvement à la source, télédéclarations pour les entreprises, échanges automatisés entre administrations. Le gain de fluidité est réel. Mais chaque nouveau service en ligne est aussi une nouvelle porte d'entrée potentielle.
C'est le paradoxe de la transformation numérique publique : plus l'administration centralise de données pour vous simplifier la vie, plus elle concentre une valeur considérable pour un attaquant. Une base fiscale, c'est un trésor. Elle contient de quoi usurper une identité, monter des fraudes ciblées, ou lancer des campagnes de hameçonnage d'une précision redoutable.
Le point que peu d'observateurs relèvent : le vrai danger d'une fuite de données fiscales n'est pas toujours immédiat. Les informations volées peuvent rester « dormantes » plusieurs mois, puis ressurgir dans des arnaques au faux remboursement d'impôt ou au faux conseiller bancaire. Un contribuable qui n'a rien remarqué au moment de l'intrusion peut être ciblé bien plus tard, précisément parce que l'escroc dispose de données authentiques qui rendent l'arnaque crédible.
Contribuables et entreprises : quelles données sont réellement exposées ?
Tout dépend de ce qui a été atteint, et l'enquête technique relève des autorités. Mais il est utile de comprendre la nature des données que la DGFiP manipule au quotidien :
- Données d'identité : nom, adresse, numéro fiscal, situation familiale.
- Données financières : revenus, patrimoine déclaré, coordonnées bancaires (pour le prélèvement à la source et les remboursements).
- Données d'entreprise : chiffre d'affaires, TVA, résultats, effectifs.
- Données sociales indirectes : par le prélèvement à la source, le fisc reçoit des informations sur les rémunérations versées par l'employeur à ses salariés.
Ce dernier point concerne directement les dirigeants. En tant qu'employeur, vous transmettez chaque mois, via la déclaration sociale nominative, des données de paie qui alimentent le prélèvement à la source. Une partie de la vie salariale de votre entreprise transite donc par ces circuits.
Le réflexe à avoir en cas de doute sur vos données fiscales
Face à ce type d'incident, l'inaction est le pire choix. Voici une marche à suivre concrète, valable pour un particulier comme pour un dirigeant :
- Surveiller vos comptes fiscaux et bancaires. Connectez-vous régulièrement à votre espace impots.gouv.fr et vérifiez qu'aucune modification (RIB, adresse, situation) n'a été effectuée sans votre accord.
- Méfiez-vous des sollicitations « officielles ». L'administration fiscale ne demande jamais vos coordonnées bancaires par mail ou SMS. Tout message annonçant un remboursement à confirmer via un lien doit être considéré comme suspect.
- Renforcer vos accès. Activez l'authentification à deux facteurs quand elle est disponible, changez vos mots de passe et n'utilisez jamais le même sur plusieurs services.
- Alerter vos équipes. Dans une entreprise, prévenez la comptabilité et la paie : ce sont les cibles privilégiées des fraudes au faux fournisseur ou au faux ordre de virement, qui prospèrent après une fuite de données.
- Conserver les preuves. En cas de tentative de fraude, gardez les mails, SMS et captures d'écran : ils seront utiles pour un signalement.
Pour signaler une escroquerie ou une tentative d'hameçonnage, les plateformes publiques existent (signalement des contenus illicites, dispositif d'assistance aux victimes d'actes de cybermalveillance). Utilisez-les sans attendre un préjudice avéré.
Ce que cette affaire dit de la responsabilité de l'employeur
Un dirigeant pourrait se dire : « c'est le problème de l'État, pas le mien ». Erreur. Vous restez responsable des données personnelles de vos salariés que vous collectez et transmettez, y compris à l'administration. Le règlement général sur la protection des données (RGPD) impose à tout employeur des obligations de sécurité sur les données de paie et de gestion RH.
Une cyberattaque visant l'administration ne vous exonère de rien concernant vos propres systèmes. Au contraire, elle doit vous alerter : si des infrastructures publiques dotées de moyens conséquents sont vulnérables, une PME avec un parc informatique non maintenu l'est bien davantage. Les données de vos salariés — bulletins de paie, RIB, numéros de sécurité sociale, éléments de situation familiale — constituent une cible de choix.
Le bon réflexe : cartographier où sont stockées vos données RH, qui y a accès, et comment elles circulent vers vos prestataires (expert-comptable, éditeur de logiciel de paie, organismes sociaux). C'est cette chaîne complète qu'un attaquant cherche à exploiter, et son maillon le plus faible détermine votre niveau réel de protection.
Sécurité des données publiques : le vrai débat de fond
L'alerte syndicale a le mérite de replacer le sujet là où il doit être : dans une réflexion large sur la sécurisation des données publiques. La numérisation de l'administration est une bonne chose pour l'usager, mais elle crée une dette de sécurité qui ne peut pas être ignorée.
Trois arbitrages structurent ce débat. Le premier concerne l'investissement : moderniser des systèmes critiques sans interrompre le service coûte cher et suppose une continuité budgétaire pluriannuelle. Le deuxième concerne les compétences : la sécurité informatique repose sur des experts rares et courtisés par le privé, ce qui rejoint le « manque de moyens » dénoncé. Le troisième concerne la transparence : jusqu'où l'administration doit-elle informer les citoyens dont les données ont pu être exposées ?
Pour les entreprises, la leçon est transposable : la cybersécurité n'est pas une dépense ponctuelle, c'est un poste permanent. La question n'est jamais « serai-je attaqué ? » mais « quand, et serai-je prêt ? ».
Questions fréquentes
Comment savoir si mes données fiscales ont été touchées par une cyberattaque ?
Il n'existe pas de moyen automatique de le vérifier soi-même. Surveillez votre espace personnel impots.gouv.fr, vos relevés bancaires et méfiez-vous de toute sollicitation inhabituelle se présentant comme l'administration. En cas de communication officielle des autorités sur une fuite, suivez les instructions données.
L'administration doit-elle me prévenir si mes données ont fuité ?
En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour les personnes, le responsable de traitement doit en principe informer les personnes concernées, en application du RGPD. Les modalités concrètes dépendent de la nature et de l'ampleur de l'incident, appréciées par les autorités.
En tant qu'employeur, suis-je responsable si les données de paie transmises au fisc fuitent chez lui ?
Vous n'êtes pas responsable d'une faille survenue dans les systèmes de l'administration. En revanche, vous restez pleinement responsable de la sécurité des données de vos salariés sur vos propres systèmes et dans vos échanges avec vos prestataires, au titre du RGPD.
Que faire si un salarié reçoit une arnaque au faux remboursement d'impôt ?
Ne cliquer sur aucun lien, ne communiquer aucune coordonnée bancaire, conserver le message comme preuve et le signaler via les plateformes publiques dédiées. L'administration fiscale ne réclame jamais de RIB par mail ou SMS pour un remboursement.
Une fuite de données peut-elle avoir des conséquences longtemps après l'attaque ?
Oui. Les données volées peuvent être exploitées plusieurs mois après l'intrusion, notamment dans des campagnes d'hameçonnage ciblées rendues crédibles par des informations authentiques. La vigilance doit donc rester durable, pas seulement au moment de l'incident.
Quelles données de mon entreprise transitent par la DGFiP ?
Principalement vos données fiscales (chiffre d'affaires, TVA, résultats) et, via le prélèvement à la source et la déclaration sociale nominative, des informations sur les rémunérations versées à vos salariés. Cette double circulation justifie une attention particulière à la sécurité de vos flux comptables et de paie.