Trois fuites, trois systèmes distincts, un même ministère : la vraie question n'est plus de savoir combien de comptes ont été touchés, mais qui, précisément, se trouve le plus exposé une fois les trois fichiers mis bout à bout.
Vingt-six mille huit cent cinq contribuables au-dessus de cent mille euros de revenu de référence. Trois cent quatre-vingt-six au-dessus d'un million. Huit au-dessus de dix millions. Ce n'est pas une fuite de masse anonyme : c'est, en partie, une liste triée par fortune.
Trois systèmes distincts, pas trois morceaux d'une même fuite
Le terme de « troisième fuite » employé par la DGFiP prête à confusion s'il laisse penser à une seule intrusion fractionnée en épisodes. Les faits établis à ce jour décrivent plutôt trois vulnérabilités distinctes, découvertes coup sur coup en l'espace d'un mois, dans trois systèmes différents de la même administration : les données fiscales des particuliers et professionnels, le serveur professionnel de données cadastrales, et le portail des successions vacantes. Rien, à ce stade, n'établit qu'un seul attaquant, opérant selon une seule méthode, soit responsable des trois incidents. Ce qui est en revanche établi, c'est qu'une même administration a révélé, en moins de trente jours, trois failles indépendantes - un rythme qui trahit une fragilité répartie sur plusieurs systèmes plutôt qu'une faille unique exploitée avec une habileté exceptionnelle.
La première fuite : une liste de contribuables triée par richesse Le premier incident, confirmé le 13 août par le ministère de l'Économie et des Finances, concerne six cent soixante-dix-huit mille personnes physiques et morales. L'accès a résulté d'une usurpation d'identifiants - d'abord ceux d'un agent, puis ceux d'un tiers habilité - ayant permis de consulter et d'extraire des données allant du revenu fiscal de référence au quotient familial, en passant par le taux de prélèvement à la source, ainsi que la raison sociale et le numéro SIREN pour les entreprises.
C'est dans le détail de cette population que se niche l'information la plus significative pour évaluer le risque réel. Parmi les particuliers concernés, vingt-six mille huit cent cinq disposent d'un revenu fiscal de référence égal ou supérieur à cent mille euros, trois cent quatre-vingt-six dépassent le million d'euros, et huit dépassent dix millions d'euros. Cette hiérarchie change la nature de la menace : il ne s'agit pas seulement d'un fichier de coordonnées exploitable pour du hameçonnage de masse, mais d'un instrument permettant à un attaquant de cibler, avec une précision inhabituelle, les contribuables les plus fortunés du fichier - une population nettement plus intéressante pour une escroquerie personnalisée, un chantage ou une usurpation d'identité à fort enjeu financier que pour un hameçonnage générique envoyé à l'aveugle.
La deuxième fuite : neuf fois plus large qu'annoncé initialement Le deuxième incident touche le serveur professionnel de données cadastrales. L'estimation initiale, autour de deux cent mille comptes, a été revue à la hausse : les informations publiées ce 18 août portent le chiffre à un virgule huit million de comptes, soit environ neuf fois l'estimation de départ. L'attaquant, se présentant sous le pseudonyme ZeroBytes, revendique l'extraction de deux cent cinquante-deux mille cent quarante-neuf lignes de données, portant sur un peu plus de deux millions de titulaires de droits immobiliers - un chiffre qui ne doit pas être lu comme deux millions de personnes distinctes, une même personne pouvant apparaître pour plusieurs parcelles.
Le contenu de ce second fichier - nom, date et lieu de naissance, adresse, identifiants de parcelle, section cadastrale, titulaires de droits - ne devient réellement dangereux qu'associé au premier. Un avocat spécialisé, cité dans la presse juridique, résume la mécanique : la combinaison de plusieurs données est souvent plus dangereuse que chacune prise isolément. Pris séparément, le fichier fiscal dit combien une personne gagne, et le fichier cadastral dit où elle habite et ce qu'elle possède. Recoupés, les deux fichiers permettent de construire un profil complet reliant une identité précise à un niveau de richesse et à un patrimoine immobilier localisable - exactement le type de dossier que recherche un cambrioleur ciblé, un faux artisan pratiquant l'arnaque à la rénovation, ou un escroc préparant un démarchage frauduleux personnalisé.
La troisième fuite : un risque d'une autre nature Le troisième incident, révélé ce 18 août par Le Parisien, concerne le portail des successions vacantes - les successions pour lesquelles aucun héritier connu ne s'est manifesté, et dont l'administration assure certaines démarches de gestion. Le volume de données concernées n'est, à ce stade, pas connu, et la DGFiP indique avoir rapidement coupé l'accès litigieux. Les catégories de données évoquées par la couverture technique - identité, adresse, informations liées au décès, situation familiale, éléments de succession et de patrimoine - restent à confirmer précisément par l'administration, qui n'a pas publié de liste exhaustive et définitive des champs concernés.
Ce troisième fichier expose un risque d'une nature différente des deux premiers. Là où les fichiers fiscal et cadastral exposent des vivants à de l'hameçonnage ou du démarchage frauduleux, un fichier de successions sans héritier identifié touche à un point de vulnérabilité juridique particulier : la difficulté, pour l'administration comme pour la justice, de vérifier rapidement l'identité de quelqu'un qui se présenterait comme un héritier légitime d'un bien resté en déshérence. Un tel fichier, entre de mauvaises mains, ne sert pas à voler une identité numérique mais potentiellement à en usurper une pour se positionner sur un patrimoine dont personne, à ce jour, n'a formellement revendiqué l'héritage.
Sept semaines de silence, une question de conformité
Un dernier point mérite d'être isolé du reste, car il ne concerne pas les pirates mais l'administration elle-même. Les accès illégitimes au premier système ont été détectés et interrompus fin juin, puis fin juillet. La confirmation publique de l'incident n'est intervenue que le 13 août, après la revendication du pirate sur un forum spécialisé le 12 août - soit près de sept semaines après la détection initiale. Le règlement européen sur la protection des données impose un délai de soixante-douze heures pour notifier une violation à l'autorité de contrôle compétente, à compter du moment où le responsable du traitement en a pris connaissance, et non à compter de sa communication publique.
« Le silence public prolongé n'est pas en soi une infraction, mais il illustre la tension entre l'obligation de notifier l'autorité et l'attente légitime d'information du public »
La CNIL a été saisie le 14 août, au lendemain de la confirmation publique. Si la notification interne à l'autorité de régulation a bien eu lieu dans le délai réglementaire, dès la détection de fin juin, alors le silence public de sept semaines respecte la lettre du règlement européen. Mais il illustre une tension réelle entre l'obligation légale, qui vise l'autorité de contrôle, et l'attente légitime du public à être informé rapidement d'un risque qui le concerne directement - une tension que la nouvelle survenue ce 18 août, avec un troisième fichier compromis, rend d'autant plus visible.
Ce que cette séquence révèle, au-delà des chiffres
Mise bout à bout, cette séquence d'un mois raconte moins une attaque informatique ponctuelle qu'un audit de sécurité mené, de fait, par les pirates eux-mêmes plutôt que par l'administration en amont. Trois systèmes différents, trois failles distinctes, une estimation qui passe de deux cent mille à un virgule huit million de comptes en quelques jours pour le seul volet cadastral : chaque nouvelle annonce ne correspond pas nécessairement à une nouvelle attaque. Elle correspond, bien souvent, à la découverte tardive, par l'administration elle-même, de l'ampleur réelle d'une exposition déjà existante. C'est cette dynamique de révision permanente, plus que le nombre brut de comptes touchés, qui devrait aujourd'hui inquiéter les contribuables concernés : le chiffre final de cette affaire n'est, à ce jour, connu de personne - pas même, semble-t-il, de la DGFiP.
