Le fisc n’a pas découvert le vol de 678 000 dossiers. Il l’a appris par le voleur.

Deux intrusions, fin juin et fin juillet. Une double authentification contournée. Une extraction massive qui ne déclenche aucune alerte. Et une administration qui prend la mesure du désastre le jour où l’attaquant met son butin en vente. La chronologie officielle dit une chose que personne n’a écrite en clair.

Reprenons la séquence telle que l’administration elle même la raconte. En juin 2026, les services de Bercy détectent la compromission du compte d’un agent par un tiers et coupent immédiatement ses accès. À cette date, précise le récit officiel, l’administration n’avait pas identifié que l’assaillant était parvenu à extraire des données personnelles. L’intrus avait contourné la double authentification, puis récupéré un volume important de données sans générer l’activité anormale qui aurait pu alerter les services. Il n’a été identifié qu’au moment de la revendication de l’attaque, le 12 août (LCP, 17 août 2026).

Lisez cette phrase deux fois. Entre l’intrusion et sa qualification réelle, il s’écoule environ six semaines pendant lesquelles la Direction générale des finances publiques croit avoir refermé un incident d’accès alors qu’elle a subi une exfiltration. Ce n’est pas la supervision de l’État qui rétablit la vérité. C’est un forum de revente du darkweb, où un individu opérant sous le pseudonyme « ZeroBytes », déjà repéré sur des cibles françaises, revendique les deux opérations. Bercy publie son communiqué le 13 août.

Le décompte arrêté à ce jour : 678 000 usagers, particuliers et professionnels, pour la première attaque. Une seconde, perpétrée fin juillet contre le Serveur professionnel de données cadastrales, concerne 200 000 comptes supplémentaires. Pour les particuliers, les données dérobées comprennent les noms et prénoms, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source, a détaillé la directrice générale des finances publiques Amélie Verdier. Le fisc souligne que ces données ne permettent pas d’accéder au compte sécurisé sur impots.gouv.fr. C’est exact. C’est aussi hors sujet : ce qui a fuité est précisément le matériau d’une usurpation d’identité crédible, pas d’un vol de mot de passe.

Dans le même courrier, le chef du gouvernement reconnaît qu’en matière de cybersécurité « peu de ministères sont au niveau requis » et ajoute : « Ce n’est pas acceptable. » Il demande à l’Agence nationale de la sécurité des systèmes d’information de constituer une équipe de contact chargée d’intervenir en première ligne, et veut une proposition d’organisation d’ici vendredi (LCP, 19 août 2026). Un aveu de niveau et un délai de quarante huit heures. La combinaison des deux est le vrai document de la semaine.

Voici la donnée que les reprises ont laissée de côté. Le gouvernement rappelle qu’un plan de sécurisation des administrations, articulé autour d’une nouvelle gouvernance numérique de l’État et d’un renforcement des moyens, a été lancé le 30 avril 2026. L’intrusion date de fin juin. Le plan tournait donc déjà quand la porte s’est ouverte. On ne mesure pas un dispositif de sécurité à son annonce, on le mesure à ce qui passe au travers pendant qu’il existe. Deux mois après son lancement, ce plan n’a détecté ni l’exfiltration de juin, ni celle de juillet.

La séquence politique, elle, a été rapide et bien huilée. Cellule interministérielle de crise le lundi 17 août, présidée en visioconférence sécurisée. Excuses publiques du ministre des Comptes publics David Amiel aux usagers le mardi 18. Courrier à l’ANSSI le mercredi 19. Bercy a notifié l’incident à la Commission nationale de l’informatique et des libertés, et le syndicat Solidaires Finances Publiques a dénoncé une communication « tardive ». Le règlement européen sur les données personnelles prévoit une notification à la Cnil dans les 72 heures après la découverte d’une violation susceptible de présenter un risque, et une information des personnes concernées « dans les meilleurs délais ». Toute la question tient dans un mot : à quelle date place-t-on la découverte, celle de juin ou celle du 12 août ? Nous n’avons pas d’élément permettant de trancher, et nous ne trancherons pas à la place de la Cnil.

La section cyber du parquet de Paris a ouvert une enquête, confiée à l’Office anticybercriminalité, portant notamment sur l’extraction frauduleuse de données contenues dans un système de traitement automatisé mis en œuvre par l’État. Les sénateurs socialistes ont demandé à Gérard Larcher une commission d’enquête parlementaire. Le député socialiste Hervé Saulignac a rappelé de son côté que le projet de loi cybersécurité déposé en octobre 2024 attend depuis mars 2025 un examen à l’Assemblée. Le candidat Les Républicains Bruno Retailleau a réclamé un « plan Vauban » et une « forteresse numérique ».

Vauban est une métaphore intéressante, et fausse. Une citadelle protège un périmètre. Ici, il n’y a pas eu de brèche dans un mur : il y a eu un compte d’agent légitime, une authentification à deux facteurs franchie, et un débit de données qui n’a rien déclenché parce que rien ne le surveillait comme une anomalie. Ce n’est pas un problème de fortification, c’est un problème de détection interne. Les deux ne coûtent pas le même prix et ne se photographient pas de la même manière. Quatre jours avant ce courrier, l’État promulguait une loi de programmation militaire actualisée à 36 milliards d’euros supplémentaires, dont 1,6 milliard pour la lutte anti drones. La menace qui a réussi cet été n’est pas passée par le ciel.

Reste le chiffre qui compte vraiment, et il n’est dans aucun communiqué. Ce n’est ni 678 000, ni 200 000. C’est le nombre de jours pendant lesquels l’État a cru qu’il ne s’était rien passé.