Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.
Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.
La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.
Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.
![[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés](https://next.ink/wp-content/uploads/2025/07/Cadenas-ouvert2.webp "[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés")
![[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés](https://next.ink/wp-content/uploads/2025/07/Cadenas-ouvert2-1024x496.webp "[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés")
Commentaires (91)
Abonnez-vous pour prendre part au débat
Déjà abonné ou lecteur ? Se connecter
Cet article est en accès libre, mais il est le produit d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles d'un média expert
Profitez d'au moins 1 To de stockage pour vos sauvegardes
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousLe 13 août à 19h48
Une tape sur les doigts peut-être ?
Le 13 août à 20h04
Le 13 août à 20h39
Le 13 août à 22h14
Le 13 août à 22h21
Le 14 août à 15h37
Le 14 août à 15h52
Je sais bien que les impôts perçus, ce n'est pas du CA, mais faisons comme si : ce serait drôle de devoir payer une amende correspondant à 2% des impôt prélevés (mais ça ne punirait pas du tout la bonne personne pour la boulette).
Admettons qu'ils paient une amende. Qui en est le bénéficiaire ? Il se trouve que c'est reversé au budget de l'état, géré par le ministère des finances. Ils paient une amende à eux-mêmes.
Bref, c'est drôle. C'est une blague. Rire. Tout ça. Hein, bon.
Le 14 août à 16h05
Le 14 août à 18h48
Ces commentaires auraient-ils passé le filtre du modérateur IA testé par Next ? (Hors sujet plus blague pouvant être mal interprétée vu qu'un modèle ne comprend pas forcément les références).
Le 14 août à 19h09
Ça n’existe pas ? Bon, il faut des enquêteurs et du temps, c’est sûr que ça demande des moyens contrairement à juste mettre une amende.
Le 14 août à 19h04
Modifié le 14 août à 20h20
Le 15 août à 09h17
Dans ce cas, si l'Etat est condamné, c'est nous qui payons..
Comment responsabiliser une entité qui ne perd jamais rien?
Le 15 août à 09h58
Non. nous payons des impôts et l'État indemnise les préjudices qu'il a causé ce qui est normal.
Question difficile. En responsabilisant les responsables des services et les sanctionnant si besoin.
Pour les politiques, en les sanctionnant par les urnes, mais je crains que les autres ne feraient pas mieux. Il faudrait que les assemblées fassent des commissions d'enquêtes transpartisanes sur le sujet ; ça reste aujourd'hui très opaque comme on peut le voir ici.
Le 14 août à 19h15
Le 14 août à 20h08
Et en plus ça ferait bosser la compta pour rien.
Le 14 août à 07h56
Faut croire qu'ils ont le cul formaté d'une telle manière que quand ils se font défoncer, ils ne sentent plus rien.
Le 14 août à 08h09
Le 13 août à 19h53
Malgré le danger évident que ça représente.
En toute tranquillité, en toute décontraction.
Le 14 août à 11h30
Le 14 août à 11h35
Il n'y a pas 150 choix: ils ont été soit malhonnêtes, soit délibérément incompétents.
Dans les deux cas ça peut légitimement leur être reproché.
Le 15 août à 09h22
A ma connaissance, Bercy a informé les médiais de l'existance de la fuite mais Bercy a t-il pris l'engagement d'informer les administrés concernés ?
Le 15 août à 16h22
Dis autrement, si dans les 7 jours viennent aucun journaux ne publie le courriel de Bercy c'est qu'il y a un loup.
Le 13 août à 19h59
Le 14 août à 17h40
Le 13 août à 20h10
S'ils peuvent le faire maintenant, ma boîte n'a toujours pas sa PA de remontée dessus malgré une déclaration faite en... mai
Le 13 août à 20h23
Modifié le 14 août à 03h36
Et plus le temps passe, plus il y a de connections extérieures, plus ça arrivera.
Mais comme toujours, l'externalisation s'applique : les conséquences du problème seront gérées par l'usager/client. Vraiment pratique.
Le 13 août à 21h34
Le 13 août à 22h17
Avec tout ça... On a pas fini de voir nos vies partir, en fumée, en vadrouille sur le web, en sueur dans nos fours, en oncologie, en pneumologie, ajoutez-y ce que vous voulez, c'est pas les conséquences de ces tas d'irresponsables et d'inconséquents pathologiques qui manque, et 2027 semble bien parti pour que ça dure et que ça empire... Et oui il ne faudrait surtout pas que la gauche et/ou des écologistes arrivent au pouvoir ce serait la catastrophe... C'est vrai que tout va tellement bien...
Le 14 août à 10h17
Le 14 août à 17h49
Le 14 août à 19h02
Le 13 août à 22h25
Le 13 août à 22h44
Le 13 août à 23h03
C'est pas si mal.
Le 14 août à 08h02
Niveau confiance, je ne donne pour ma part pas plus de crédit aux premiers qu'au deuxième!
Où est-t'on, en effet, car nous y sommes déjà et ça dure...
Modifié le 13 août à 23h30
Le 14 août à 08h03
Le 14 août à 08h59
Le 14 août à 00h05
Le 14 août à 08h24
Les procédures pour obtenir un dédommagement au civil existent déjà, pas besoin de modifier quoi que ce soit. Il faut donc constituer son dossier et porter plainte.
Le 14 août à 08h47
Le 14 août à 08h59
Le 14 août à 09h11
Le 14 août à 10h23
Si on est victime, c'est qu'il y a bien un dommage, par définition même du mot.
Le 14 août à 17h55
Le 14 août à 10h31
Cette semaine, j'ai eu droit à ma première tentative d'escroquerie par tel par une personne se faisant passer pour ma banque pour me signaler un soucis de sécurité. Ton posé, discours construit, ... Du beau travail. Bon, outre ma méfiance naturelle, 2 points l'ont tué :
1) appel depuis un No mobile impossible à rappeler (pour éviter le harcèlement tel. disait-ilà
2) le fait que l'adresse mèl qu'il avait était celle que j'avais fourni à free et pas à ma banque. (une nouvelle preuve de l'intérêt 1 service = 1 adresse mèl, merci les aliases protonpass/simplelogin)
j'ai beau avoir déjoué facilement tout ce qui m'est arrivé, c'est quand même pesant. Je n'ose pas imaginer la situation de ceux qui sont fourni leur adresse mèl principale.
Le 14 août à 11h09
Le 14 août à 13h50
Modifié le 14 août à 17h52
Le 14 août à 22h00
Et c'est encore plus frustrant quand on s'aperçoit que même mettre des précautions de son côté ne sert à rien vu que les services critiques de l'État auquel on fait forcément partie sont touchés aussi et semblent aussi peu motivé à mettre les mesures en place. D'autant plus que eux s'en fiche un peu des éventuelles amendes (et que si sanction il y a, elle sera juste financièrement transvasé et non réellement subie)
Quand à l'idée de porter plainte, quand on voit l'état actuel de la justice et de la police à traiter des milliers de dossiers de pédocriminalités, y a aucune chance pour que cela aboutisse. Peut-être ai-je tort, peut-être ai-je perdu trop foi en notre système mais je ne vais pas dépenser mon énergie et prendre le risque à aller au tribunal sur un lancé de dé pour faire valoir mes droits à la protection des données. Ça devrait déjà être le cas et pas à moi de demander réparation à posteriori.
Le 15 août à 09h58
Ce qui me désole à chaque actu de ce type, c'est qu'on a rapidement un déferlement d'experts qui savent exactement ce qu'il s'est passé sur la base du communiqué de presse laconique. Que les entreprises et organismes publics ne soient pas très bons en matière de cybersécurité ne m'étonne pas, mon expérience avec le privé montre que c'est toujours l'élément sacrifié dans les projets (comme tous les NFR en général).
Cependant, faute d'information sur la cause réelle, il me paraît toujours très prématuré de juger et conclure sur base de ce simple communiqué. Les patterns d'attaque sont variés et impliquent de nombreux acteurs dans une chaîne de valeur qui peuvent tous subir une défaillance à un moment. Tout comme on peut très bien être à l'état de l'art en matière de sécurité IT et se faire poutrer par une faille non divulguée.
Sans information réelle, les jugements d'experts balancés à droite et à gauche ne sont que du bruit à mes oreilles.
Le principe de réparation ne peut avoir lieu qu'a posteriori. Comment réparer un préjudice qui n'a pas eu lieu et dont le montant est inconnu ?
Surtout qu'on ne peut que spéculer sur ce qui a été volé comme données, l'information n'étant pas publiée non plus.
Le 15 août à 12h32
Sinon, comme beaucoup, il me semble hallucinant que des milliers, des millions de données puissent être extraites sans lever d'alerte. C'est probablement parce que des prestataires externes devant avoir un accès étendu aux données ont un niveau de sécurité défaillant mais bon ...
Le 15 août à 12h47
Modifié le 15 août à 13h15
(ce biais est assez saoulant, à vrai dire - cela ne t'es pas destiné, c'est une remarque générale)
Le schéma d'attaque permet de comprendre comment le pirate a mis du temps à être repéré. Au même titre qu'un trafic peut passer au nez et à la barbe des autorités si l'organisation sait agir avec discrétion. Ce qui amène à des discussions un peu plus intéressantes que les "bouh les nuls, moi, être omniscient, je ne me serais jamais fait avoir" qui envahissent les commentaires.
Typiquement, les SOC de nos jours alertent lorsqu'il y a une extraction de données inhabituelle pour un profil ou un système. Les pirates s'adaptent donc pour passer plus inaperçu.
La cybersécurité reste un jeu de chat et de souris, dont 80 % du temps est de la gouvernance pour 20 % de technique, en réalité. Et autant dire qu'avec l'apport de l'IA dans la chaîne, ça ne fera que de s'accélérer.
Ça me rappelle la seconde série Battlestar Galactica où il était indiqué que les ordinateurs ne devaient pas être mis en réseau car vite piratés. Provoquant mécaniquement des temps de calcul plus longs.
Le 15 août à 13h39
Le 15 août à 18h47
Merci pour l'info sur l'extraction lente pour éviter de lever des alertes (mais comme le dit @fred42, on peut s'interroger sur le sens du mot "lentement" car il a quand même réussi à exfiltrer un nombre de données énorme dans un temps limité).
Modifié le 15 août à 14h19
C'était donc ça l'attaque sophistiquée ! On télécharge les données petit à petit pour ne pas alerter. C'est effectivement sophistiqué de ne pas récupérer tout à fond !
Solidaires Finances Publiques avait alerté sur les risques dès juin (lien dans l'article de France info).
Ça confirme ce que je soupçonnais : ils ne se sont rendus compte de rien fin juin au sujet de l'exfiltration de données et n'ont probablement pas bien cherché malgré l'alerte de Solidaires.
Et il reste des incohérences : ils disaient avoir détecté et bloqué l'accès illégitime fin juin. Combien de temps a-t-il fallu pour exfiltrer les données de plusieurs centaines de milliers d'usagers petit à petit ? Soit l'accès a été fait bien avant la détection, soit elle a continué après. Mais disons qu'un compte puisse télécharger les données de 100 personnes par jour sans alerte (ça fait déjà beaucoup pour une seule personne !), ça fait plusieurs milliers de jours ouvrés, ça ne tient pas la route ou leurs seuils de détections sont mal calibrés.
Pour finir :Le RGPD demande :Je sais qu'on est le WE du 15 Août, mais début de semaine prochaine ne me semble pas correspondre à "dans les meilleurs délais".
Modifié le 14 août à 08h57
Le 14 août à 10h25
Le 14 août à 09h12
L'article 33 paragraphe 1 du RGPD dispose que le responsable du traitement doit notifier l'autorité dans un délais de 72 heures au plus tard, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et les libertés des personnes.
À quel moment les données détenues par l'administration fiscale ne sont-elles pas susceptibles d'engendrer un risque pour les personnes ? Au hasard, la déclaration relative à la détention et aux opérations sur les cryptomonnaies peut donner une idée de ce patrimoine et faire de ces gens des cibles. Et les précédents remontés dans la presse ont déjà montré à quel point ça peut aller loin... (enlèvement, séquestration, torture...)
La CNIL aurait donc du être notifiée dès la découverte en juin dernier.
Le 14 août à 09h36
Ce communiqué est quand même très flou sur les dates et les actions entreprises. Et quand c'est flou, c'est qu'il y a un loup, comme disait la grand-mère de Martine Aubry.
Je pense qu'ils n'ont investigué sur une possible fuite qu'après la revendication.
Donc pour eux, il n'y a pas eu de violation de données personnelles en juin puisqu'ils n'en ont pas cherché. À partir de là, ils ont respecté l'article 33 du RGPD mais probablement pas l'article 32 : le minimum quand tu détectes un compte compromis, c'est de regarder son activité.
Modifié le 14 août à 19h50
Peut être que l'action fin juin est un simple passage en revu de routine des accès et coupure sur ce compte là mais potentiellement d'autres (genre une personne qui quitte un service ?) sans que l'accès soit illégitime à la base.Et c'est effectivement au moment de la revendication qu'ils ont regardé les traces d'accès du compte en question et voir qu'il y avait eu extraction ?Autant pour moi, on parle d'accès illégitime avec usurpation d'identité
Le 14 août à 15h23
Le 14 août à 09h41
Le 14 août à 10h27
Le 14 août à 14h46
Le 14 août à 15h21
Le 14 août à 16h28
Parce que leur communication est très floue. Ils ont coupé l'accès fin juin mais rien signalé à la CNIL à ce moment là, comme s'ils n'avaient pas étudié les logs du compte pour voir ce qu'il avait pu faire de non autorisé alors que c'est le B A BA de la sécurité d'auditer un incident. Ils semblent avoir investigué seulement suite à la revendication du pirate ces jours-ci.
Il faudrait être malin dans la question pour qu'ils ne sentent pas un piège...
Le 14 août à 16h57
Le 14 août à 18h15
Je ne sais même pas comment l'on peut encore penser être dans une démocratie. Nous sommes tellement mis à l'écart de tout ce que nous devrions normalement, en tant que souverain, savoir et sur lequel nous devrions nous positionner, nous prononcer, délibérer...
Ce mot, "démocratie" n'a vraiment plus aucun sens, si ce n'est qu'il définirait, que nous ne sommes pas, dans un régime sanguinaire, et encore... Par leur gouvernance tellement nulle, tellement orientée vers les plus riches, les victimes et les morts sont légions, certes pas (toujours) par balles, mais après tout, le meutre, n'est pas toujours violent...
PFAS, changement climatique, cadnium, pesticides, pollution de l'air, hexane, amiante, chloredécone, droit de tuer des FdO, guerres néocoloniales., destruction de l'hôpital public, de l'éducation nationnale, de l'assurance chômage, etc, etc.... Le profit, la seule boussole des fous qui gouvernent ce pays, élus et réélus par des non moins fous, fait de nombreuses victimes... Une démocratie, cette blague...
Le 14 août à 18h25
Le 14 août à 19h34
Les faits sont têtus, la science n'a que faire des opinions, mais pour le comprendre il faut savoir comment fonctionne la science, or, manifestement vous confondez sciences et opinions politiques, comme nos dirigeants, c'est bien notre drame, ignorance et/ou déni, seront nos tombeaux...
Le 14 août à 20h28
Le 15 août à 12h36
Le 15 août à 14h22
Dans ma liste, pardon de lister une partie des maux de notre monde (...). Oui ce sont bien les politiques des dernières décennies qui les ont, si ce n'est causé, en tout cas, pas jugulés.
Ensuite vous avez tout à fait la liberté de penser que ce sont des choses positives et qu'il faille que ça dure ...
Modifié le 15 août à 13h57
Et que ce soit le Bélarus ou la France ni l'un l'autre n'ont ces deux points, donc pas besoin de débat, ni l'un ni l'autre ne sont des démocraties c'est un point commun par défaut.
Après on peut définir ce qu'est le régime en France, ploutocratie (?), proto-oligarchie (?), vassale de Washington... et au Bélarus, dictature-oligarchique (?), vassal de Moscou donc dictature (?).
Le débat sur la définition de ce que sont ces deux pays peut se faire, mais sur ce qu'ils ne sont pas, des démocraties, il n'y a pas lieu d'en débattre, sauf à changer la définition du mot démocratie et là c'est un tout autre sujet.
Le 17 août à 12h02
Le 18 août à 14h15
Enfin on peut aussi changer les définitions si elles ne nous conviennent pas, mais du coup on ne se comprend plus...
Donc autant employer les termes adaptés, et arrêter d'etre dans le déni ou dans le moule médiatique ambiant qui modifie, comme les politiques le sens des mots... Tout comme on a les "preneurs d'otages" quand il s'agit de cheminots grévistes ou des "terroristes " pour des lanceurs de sauce tomates sur tableaux (protégés), on a la "démocratie " française.
On peut y croire, mais dans ces trois exemple, les mots employé ne sont que des caricatures avec une très fortes connotation politique...
Modifié le 19 août à 11h33
Vous dites tout et son contraire :
Le débat sur la définition de ce que sont ces deux pays peut se faire, mais sur ce qu'ils ne sont pas, des démocraties, il n'y a pas lieu d'en débattre, sauf à changer la définition du mot démocratie et là c'est un tout autre sujet.
Le 15 août à 16h40
Le 15 août à 19h17
Modifié le 14 août à 21h13
Et ils ne s'en sont rendu compte que lorsque le pirate a revendiqué 678000 comptes exfiltrés (dont environ 380000 comptes de particuliers)
Le 14 août à 23h22
Donc, madame la directrice, si vous me lisez : on se moque de vous et on vous fait dire des conneries. Virez les responsables afin de faire un exemple et que les systèmes informatiques de l'état soient vraiment sécurisés.
Le 15 août à 12h43
Le 15 août à 13h05
Le 15 août à 08h50
Le 15 août à 09h26
Les données sensibles c'est en local avec toutes les mesures d'autentification ET de sécurisation de l'accès au données, point barre.
Il devrait y avoir un audit obligatoire des procedures par l'ANSSI qui ne devrait pas être que consultatif.
Le 17 août à 08h24
On se croirait à un super tir au pigeon perpétuel dans GTA V, avec nos datas sans cesse mises en valeur dans la mire des snipers (les hackers), le tout dans un joyeux climat de relativisme consistant à minimiser les conséquences potentielles pour les victimes, tant les particuliers que les entreprises et autres collectivités.
Est-il seulement encore temps d'agir et de durcir techniquement l'accès à toutes nos datas ? (spoiler alert : nan).
Et que fait-on lorsque le problème initial se situe entre la chaise et le clavier ?
Modifié le 19 août à 10h47
L’État Français est devenue une passoire numérique...
#FrancePassoire
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?