Piratage du fisc fin juin, information des victimes annoncée le 14 août : le délai que le RGPD impose à la DGFiP

Entre les premières alertes techniques de fin juin et l'aveu officiel du 13 août, près de deux mois se sont écoulés — pendant lesquels le groupe Cl0p a engagé une campagne d'extorsion par courriel, selon LeMagIT, avant même que l'État ne s'adresse aux personnes concernées.

Le 13 août 2026, Bercy reconnaît publiquement une intrusion dans les systèmes de la Direction générale des finances publiques, qu'il date de « fin juin », selon Cyberattaque.org. Selon les analyses techniques de TheHackerNews, Wiz.io et Cyberpress, les affiliés du groupe Cl0p ont mené leur attaque en deux temps : une phase de reconnaissance sur le point de terminaison FlexPLM, ayant permis une fuite d'informations via un fichier WSDL, précédant l'exploitation d'une faille de désérialisation du logiciel PTC Windchill (CVE-2026-12569) pour obtenir une exécution de code à distance sans authentification. Cette chaîne d'attaque, documentée dans le cadre d'une campagne plus large visant plusieurs organisations, a permis le dépôt de web shells JSP et l'exfiltration de données. Selon Cryptoast, un hacker se présentant sous le nom de ZeroBytes a par ailleurs revendiqué, sur un forum spécialisé, une intrusion dans les systèmes liés à impots.gouv.fr — une revendication publiée mi-août, sans qu'aucune source ne permette d'établir une date précise d'intrusion distincte de celle avancée par la DGFiP elle-même. Selon Le Monde, Bercy affirme avoir repéré cet accès « en juin » et l'avoir coupé dans le cadre du contrôle qu'il exerçait sur ses propres systèmes — sans en informer le public à ce moment-là.

Selon LeMagIT, les premiers courriels de revendication et d'extorsion signés Cl0p apparaissent le 20 juillet, dans le cadre d'une nouvelle campagne d'exploitation de vulnérabilités menée par le groupe — une vague décrite par LeMagIT comme provenant de comptes piratés au hasard et adressée à des centaines d'utilisateurs, sans que la source ne nomme spécifiquement la DGFiP parmi les cibles. Le rapprochement entre cette campagne et le cas de la DGFiP relève donc, à ce stade, de la coïncidence de calendrier plutôt que d'un lien formellement établi. Trois semaines plus tard, le 13 août, la DGFiP admet les faits. Le 14, elle annonce qu'elle informera individuellement les personnes concernées.

Si l'on suit cette chronologie, les pirates ont pu s'adresser à leurs cibles avant que l'État ne s'adresse aux siennes.

Le délai de 72 heures du RGPD

Le règlement général sur la protection des données ne laisse pas ce calendrier à l'appréciation de l'administration. Son article 33 dispose : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. » Bercy affirme avoir notifié la Commission nationale de l'informatique et des libertés. La date de cette notification n'a pas été rendue publique. Impossible, dans ces conditions, de vérifier si les 72 heures ont été tenues, ou même de savoir à quelle date l'administration a considéré avoir « pris connaissance » de la violation — la chronologie interne de détection à Bercy reste elle aussi non communiquée.

L'article 34 encadre l'autre obligation, celle qui concerne directement les contribuables : lorsque la violation est susceptible d'entraîner un risque élevé pour leurs droits, le responsable du traitement doit la leur « communiquer sans retard indu ». Or c'est exactement l'inverse qui semble s'être produit. Des contribuables ont pu être approchés par un rançongiciel avant d'être informés par leur propre administration. L'article 34 vise précisément à empêcher ce scénario : apprendre d'un maître-chanteur ce que l'État aurait dû annoncer le premier.

La Commission nationale de l'informatique et des libertés ne traite pas différemment le secteur public. Il représente 22 % des notifications de violations qu'elle reçoit, selon son bilan des cinq premières années du RGPD. Sa doctrine ne souffre pas d'exception : « les organismes sont tenus de notifier à la CNIL dès qu'un risque est engendré pour les droits et libertés des personnes concernées. » Elle peut vérifier le respect des délais de notification et sanctionner les organismes fautifs.

678 437 personnes selon French Breaches

Sur le nombre de personnes concernées, aucune source ne raconte tout à fait la même chose. French Breaches, cité par Le Figaro et Le Monde, avance 678 437 personnes, dont 392 867 particuliers et 285 570 professionnels. Franceinfo parle, de son côté, de « près de 400 000 particuliers » et « près de 300 000 professionnels » — des ordres de grandeur voisins, sans chiffre arrêté. Le Figaro évoque ailleurs plus de 600 000 personnes. Le Journal du Geek titre sur deux millions de victimes ; le corps du même article mentionne 678 438 lignes de données. La multiplication par trois entre le titre et le texte n'est expliquée nulle part. Cyberattaque.org fait par ailleurs état d'une seconde cyberattaque revendiquée, portant sur plus de deux millions de personnes concernées — un incident distinct qui ajoute encore à la confusion des chiffres.

Ce que Bercy, en revanche, n'a communiqué à aucun moment, c'est un chiffre. Le communiqué du 13 août évoque un « accès illégitime » ayant permis « la consultation et l'extraction de données concernant des particuliers et des professionnels », sans qu'aucun total ne soit avancé.

L'accès aux systèmes a été obtenu par usurpation d'identité, selon IT Social, qui ne précise pas si le compte détourné était celui d'un agent de la DGFiP, d'un prestataire ou d'un autre type d'utilisateur — une zone d'ombre que ZDNet et Actu17 confirment également sans la lever. Le fichier dérobé est aujourd'hui mis en vente pour plusieurs milliers d'euros, d'après French Breaches. Ce que l'administration protège par une notification tardive, le marché du piratage l'a déjà tarifé.

« Les pirates ont pu joindre leurs cibles avant que l'État ne s'adresse aux siennes. »

« Les équipes informatiques de la DGFiP sont pleinement mobilisées, en lien avec les services du ministère des finances — service du haut fonctionnaire de défense et de sécurité — et l'Agence nationale de la sécurité des systèmes d'information, afin de traiter cet incident et de renforcer la sécurité du système d'information », annonce le ministère. La phrase ne dit rien du délai écoulé entre les premières alertes de juin et l'aveu d'août. Elle ne dit rien non plus des campagnes d'extorsion signées Cl0p observées durant l'été, avant toute communication officielle.

Depuis 2019, des crédits en baisse

La faiblesse de la DGFiP face aux intrusions ne date pas de juin 2026. En 2019, la Cour des comptes relevait déjà une baisse des crédits informatiques du ministère. Le syndicat Solidaires finances publiques chiffrait cette baisse à 22 % entre 2012 et 2017, hors investissements liés au prélèvement à la source. Sept ans plus tard, l'analyse de l'exécution budgétaire 2025 publiée par la Cour des comptes en avril 2026 constate une nouvelle réduction : 44,2 millions d'euros en autorisations d'engagement et 34,9 millions d'euros en crédits de paiement retranchés aux dépenses informatiques.

La cybersécurité ne s'achète pas avec des autorisations d'engagement en baisse.

La DGFiP n'est pas non plus un cas isolé cette année. L'Agence nationale des titres sécurisés a vu, selon Le Monde, jusqu'à 11,7 millions de comptes exposés par un « accès non autorisé » révélé en avril 2026. Le ministère de l'Intérieur a vu 111 528 agents et gendarmes revendiqués dans une fuite fin juillet. Santé publique France comptait près de 80 000 personnes exposées le 11 août — deux jours avant l'aveu de Bercy sur la DGFiP.

« Ce que l'administration protège par une notification tardive, le marché du piratage l'a déjà tarifé. »

Le nombre définitif de personnes réellement notifiées par la DGFiP n'est pas connu.

Le 20 juillet, selon LeMagIT, les premiers courriels d'extorsion signés Cl0p sont observés. Les destinataires ont attendu le 14 août pour recevoir, eux, un message de l'État.

Repères

• Fin juin — intrusion confirmée par la DGFiP, selon Cyberattaque.org (le hacker ZeroBytes revendique une intrusion sur un forum spécialisé mi-août, selon Cryptoast, sans date d'intrusion précisée)
• 20 juillet — selon LeMagIT, apparition des premiers courriels d'extorsion signés Cl0p, dans le cadre d'une campagne plus large non nommément rattachée à la DGFiP
• 13 août — Bercy reconnaît publiquement l'intrusion
• 14 août — annonce d'une information individuelle des personnes concernées