Bercy : comment se faire pirater deux fois en un mois

| h16 | Demaerd Awards et Grenelle de la Décomposition

Aujourd’hui, revoyons nos conjugaisons et notamment le Futur Simple, avec par exemple le communiqué publié par Bercy le 13 août. On y lit ainsi que la Direction générale des Finances publiques « notifiera » l’incident à la CNIL, « déposera » plainte et « communiquera » de nouveaux éléments à mesure de l’avancée des investigations.

Voilà un bien beau triplet de futurs simples alignés dans la même phrase, pour un accès illégitime survenu fin juin !

Au fait, le RGPD, ce texte appliqué sans flexibilité dès qu’il s’agit du fichier client d’un garagiste de Vierzon, prévoit normalement une réaction en 72 heures. Le compteur pour Bercy est à 7 semaines et la Direction n’use encore que du futur : pas de doute, ils sont assez détendus de la fuite souveraine.

Notons que ce qui a déclenché cette soudaine bouffée de transparence n’est ni un scrupule, ni un audit mais ce message sur un forum, le 12 août, déposé par un individu opérant sous le pseudonyme de ZeroBytes, qui revendique l’extraction de 678 438 lignes de données fiscales et met la base en vente.

Bercy, vaguement gêné, confirme le lendemain, sans préciser du tout ni la nature des données, ni le nombre de personnes concernées. Les chiffres, ce sont les bénévoles du site FrenchBreaches qui les fournissent (392.867 particuliers, 285.570 professionnels) et que l’AFP reprend faute de mieux. L’administration fiscale, qui sait à l’euro près ce que vous avez déclaré en 2019, s’est révélée incapable de chiffrer sa propre fuite. Il a fallu attendre qu’un site amateur le fasse à sa place.

Puisqu’on parle conjugaisons, le communiqué comporte tout de même une affirmation au passé (plus-que-parfait ici) : l’accès, écrit Bercy, « avait été coupé fin juin dans le cadre du contrôle opéré ». Ah, ouf.

Bon, n’empêche que le 14 août, le même ZeroBytes revendique une seconde intrusion, sur le Serveur Professionnel de Données Cadastrales de la DGFiP, datée du 29 juillet, soit un mois entier après cette fameuse coupure, et 2 semaines donc avant que le public n’apprenne quoi que ce soit. Il dit avoir contourné le mécanisme d’authentification multifacteur et extrait 252.149 lignes, correspondant à 2.041.778 personnes.

Ah zut, Bercy a fermé une porte en laissant la fenêtre ouverte et s’est contenté de vaguement serrer les fesses.

On pourrait se rassurer en notant que le pirate s’est arrêté à quelques centaines de milliers de lignes et n’a pas exfiltré l’intégralité de la base. Malheureusement, le pirate n’a pas été détecté, ni bloqué, ni arrêté mais s’est lassé : pour lui, l’extraction était trop lente, une récupération complète lui aurait demandé plusieurs mois et il a alors cessé de son propre chef.

Accessoirement, il estime que le service auquel il avait accès permet de retrouver les informations d’environ 20 millions de citoyens. En somme, en 2026, la seule protection réellement efficace du fichier fiscal français est sa latence.

Un décor déjà bien planté

On pourrait, à la rigueur, plaider l’imprévisible mais ça risque d’être compliqué : Solidaires Finances Publiques indique avoir interpellé la directrice générale dès juin (voire mai) sur les risques « à très court terme » de « piratage, d’usurpation d’identité ou d’hameçonnage ciblé ».

Bref, sans la revendication publique du pirate, les usagers auraient-ils été informés du vol de leurs données ?

Les mois passés offraient pourtant quelques indices.

En décembre 2025, le ministère de l’Intérieur se fait pénétrer par sa messagerie, avec consultation du traitement d’antécédents judiciaires et du fichier des personnes recherchées ; le ministre évoque « des imprudences », les identifiants circulant en clair dans des courriels.

En février, Bercy annonce un accès illégitime au FICOBA, le fichier national des comptes bancaires, après usurpation des identifiants d’un fonctionnaire : 1,2 million de comptes, avec RIB, identité, adresse et parfois identifiant fiscal.

En avril, l’ANTS expose 11,7 millions de comptes par une faille consistant à modifier un chiffre dans une requête.

En juin, c’est Tchap, la messagerie chiffrée de l’État, qui se fait visiter.

En août, Bloctel se fait siphonner trois millions de numéros via un compte professionnel dépourvu de double authentification, offrant aux démarcheurs la liste exacte des gens qui demandaient qu’on leur fiche la paix.

La DGFiP en est, pour la seule année 2026, à sa troisième violation.

Le calendrier ne lasse pas de surprendre : le 29 janvier 2026, la ministre déléguée au Numérique dévoile en grande pompe la Stratégie nationale de cybersécurité 2026-2030, plaçant la cybersécurité « au rang de priorité stratégique pour la souveraineté, la sécurité nationale et la protection de la démocratie ». L’encre de cette Stratégie nationale bidule-truc n’a même pas eu le temps de sécher puisque c’est « à compter de la fin janvier 2026 » que débute l’intrusion dans le FICOBA.

De la ligne de tableur au palier d’immeuble

Ces aventures numériques ont potentiellement des conséquences très graves dans le monde réel, et il n’est même pas nécessaire de spéculer : une agente des impôts de Bobigny a été mise en examen et écrouée pour avoir tripatouillé dans le logiciel fiscal Mira pour localiser un surveillant de la maison d’arrêt de la Santé, aboutissant, le 26 septembre 2024, à son agression à son domicile de Montreuil. L’instruction a révélé qu’elle avait également effectué des recherches sur un juge d’application des peines, sur des investisseurs en cryptomonnaie et sur Vincent Bolloré. Elle était rétribuée par Western Union et les exécutants avaient été recrutés pour 800 euros.

Bref, ce qu’une fonctionnaire vendait au détail circule désormais en gros sur un forum.

Les autorités recensaient déjà, à la mi-avril 2026, plus d’une quarantaine de séquestrations et d’enlèvements liés aux cryptomonnaies pour la seule année en cours, et le mois de juillet a vu 18 665 logements cambriolés, en hausse de 7,1 % sur un an.

Vive l’égalité : grâce aux dernières fuites, le sort jusqu’à présent réservé aux détenteurs de cryptomonnaies est étendu à tous les Français. Bercy transforme le prélèvement à source en prélèvement à l’open-source…

Et la sanction, donc ?

Ah ah ah.

Dans un cadre normal, rappelons que le 22 janvier 2026, la CNIL infligeait 5 millions d’euros d’amende à France Travail pour la fuite touchant 36,8 millions de personnes. En septembre 2025, Google écopait de 325 millions d’euros pour des traceurs de pub non sollicités.

Mais voilà, la DGFiP ne paiera rien car c’est juridiquement impossible : l’article 20 de la loi Informatique et Libertés réserve ces amendes administratives à tout le monde « à l’exception des cas où le traitement est mis en œuvre par l’État ». Quant au défaut de notification d’une violation de données, il est puni de 5 ans d’emprisonnement et de 300.000 euros d’amende, qui ne seront jamais appliqués.

Le contribuable, lui, notifiera, déclarera, et paiera.

Bitcoin QR code: 1BuyJKZLeEG5YkpbGn4QhtNTxhUqtpEGKf

J'accepte les BTC, ETH et BCH !

1BuyJKZLeEG5YkpbGn4QhtNTxhUqtpEGKf

Vous aussi, foutez les banquiers centraux dehors, terrorisez l’État et les banques en utilisant les cryptomonnaies, en les promouvant et pourquoi pas, en faisant un don avec !

Powered by Bitcoin Tips