26 juin, 12 août, 13 août. Entre l’intrusion au fisc et l’aveu, il s’est passé 48 jours.
La DGFiP confirme un accès illégitime à son système d’information intervenu fin juin. L’attaquant a parlé le premier, le 12 août. Le ministère a confirmé le lendemain. La dépêche tient dans l’écart entre ces trois dates.
26 juin, 12 août, 13 août. Entre l’intrusion au fisc et l’aveu, il s’est passé 48 jours.
Fin juin, quelqu’un entre. Fin juin, l’accès est coupé lors d’un contrôle. Le 12 août, un inconnu publie ce qu’il dit avoir emporté. Le 13 août, l’État confirme. Trois des quatre dates sont officielles. C’est la quatrième qui manquait, et c’est elle qui aurait dû venir en premier.
Ce qui est confirmé par le ministère de l’Économie et des Finances, dans un communiqué publié le 13 août 2026 : le système d’information de la Direction générale des finances publiques a subi un « accès illégitime », intervenu fin juin 2026 après une usurpation d’identité. Cet accès a permis « la consultation et l’extraction de données concernant des particuliers et des professionnels ». Il avait été coupé dès la fin du mois de juin, lors d’un contrôle (AFP via France 24, Univers Simu, 13 août 2026).
Ce qui n’est pas confirmé, et qui doit rester séparé : le volume. Un acteur se présentant sous le pseudonyme ZeroBytes a revendiqué le 12 août, sur un forum spécialisé, 678 438 lignes de données extraites, en présentant cette collecte comme partielle. Le ministère, lui, ne donne aucun chiffre et indique que les investigations doivent encore déterminer « précisément les données et le nombre d’usagers concernés ». Le site spécialisé French Breaches recense de son côté 678 437 personnes, dont 392 867 particuliers. Une unité d’écart entre les deux décomptes, mentionnée ici parce qu’une divergence se signale, elle ne se tranche pas d’autorité.
La nature des données annoncées par l’attaquant, et elle seule est en cause à ce stade : identités, dates de naissance, adresses, situations familiales, revenus fiscaux de référence, taux de prélèvement à la source, nombre de personnes à charge. Aucun élément public ne permet de confirmer ni d’infirmer cette liste tant que la DGFiP n’a pas achevé ses investigations, menées avec le Service du haut fonctionnaire de défense et de sécurité et l’Agence nationale de la sécurité des systèmes d’information.
La suite annoncée par l’administration est précise et vérifiable dans le temps : notification de l’incident à la Commission nationale de l’informatique et des libertés, dépôt de plainte, information individuelle des usagers concernés précisant les données susceptibles d’avoir été consultées ou extraites. À la date de publication, aucun de ces trois actes n’a fait l’objet d’une confirmation publique distincte.
Reste l’écart, qui est le seul commentaire nécessaire. Du 26 juin, date d’intrusion avancée par l’attaquant, au 13 août, date de la confirmation officielle, il s’écoule 48 jours. De la coupure de l’accès fin juin, opérée par l’administration elle même donc connue d’elle, au 13 août, il s’en écoule environ 44. Le règlement général sur la protection des données prévoit une notification à l’autorité de contrôle dans les 72 heures après la prise de connaissance d’une violation, sauf à documenter le motif du retard. La DGFiP annonce qu’elle notifiera la CNIL. Elle l’annonce le 13 août.
Un point de méthode s’impose ici, et il joue en faveur de l’administration : couper un accès n’équivaut pas juridiquement à qualifier une violation de données. Il est possible que la DGFiP ait mis plusieurs semaines à établir qu’il y avait eu extraction, et non simple consultation. Cette hypothèse est plausible et nous n’avons aucun élément pour l’écarter. Elle appelle simplement une réponse datée, que le communiqué ne donne pas : à quelle date la violation a t elle été qualifiée en interne. C’est la seule question qui manque à la frise.
Antécédent, pour la mesure et sans lien établi à ce jour entre les deux affaires. En février 2026, Bercy avait révélé des accès illégitimes au fichier national des comptes bancaires FICOBA, après l’usurpation des identifiants d’un agent, portant potentiellement sur 1,2 million de comptes. Même mode d’entrée, une identité empruntée. Même administration. Six mois d’intervalle.
Il n’y a rien à conclure, et c’est le principe du filet. Il y a des dates, un écart, une notification annoncée et une question ouverte. Nous la reposerons quand la CNIL aura publié quoi que ce soit.
NOTE DE TRANSPARENCE · le communiqué officiel de Bercy du 13 août 2026 n’a pas pu être ouvert directement depuis notre outil de récupération, son contenu est repris ici via l’AFP et deux reprises indépendantes qui le citent, et jamais présenté comme une lecture de première main. Le chiffre de 678 438 lignes est une revendication d’attaquant, il n’est confirmé par aucune autorité et il est écrit comme tel dans chaque occurrence. La date du 26 juin est donnée par l’attaquant, l’administration parle seulement de « fin juin ». Le calcul de 48 jours repose donc sur une date non officielle et il est signalé comme tel sur le graphique. Nous n’avons trouvé aucune publication de la CNIL sur cet incident à l’heure de la mise en ligne.
.jpeg?width=1500)
Aucune planète ne change de signe cette semaine, quatre rétrogradent, et le seul rendez vous daté du ciel tombe le jeudi 20 août à 02h46 UTC en Scorpion.
Le Léopard d’or est remis le 15 août au bord d’un lac suisse. Le même week end, le Premier ministre se rend en Gironde, où 183 maisons sur 240 ont brûlé au Porge. La France a déjà perdu près de 100 000 hectares en 2026, record sur vingt ans de mesures satellitaires.
La High Court de Londres a débouté Shein le 13 août et fait droit à la demande reconventionnelle de Temu. Motif · l’injonction obtenue par Shein portait sur des images dont elle ne détenait pas les droits. La copie s’est donné un droit d’auteur, et elle n’arrive pas à le prouver.
Une association anticorruption a saisi le Parquet national financier les 10 et 12 août à propos d’emplois d’élus à la RATP. Les noms circulent déjà. Le document qui déciderait de tout, lui, n’a été publié nulle part.
À partir de la mi septembre, un badge « AI Persona » va s’afficher sur certains profils d’artistes, qui sortiront par défaut des recommandations. En lisant le texte officiel ligne à ligne, on découvre que le critère n’est pas la façon dont la musique est faite. C’est la tête qu’a l’artiste.
Karoline Leavitt quitte la porte parolerie de la Maison Blanche fin août 2026. Le motif annoncé est familial et lui appartient. La deuxième phrase de l’annonce, elle, est le vrai communiqué.