Fisc piraté : des failles exposées au grand jour et un plan d'attaque timoré

S’il est un domaine où la France se distingue, c’est dans la fuite des données numériques. Avec 6 167 violations de données notifiées à la Cnil (Commission Nationale de l’Informatique et des Libertés) en 2025, en hausse de près de 10% par rapport à l’année précédente, le pays est le deuxième pays au monde le plus exposé au piratage de données. En témoigne la cyberattaque XXL contre la Direction générale des finances publiques (DGFiP) révélée le 13 août dernier, qui expose les données fiscales d’au moins 678 000 contribuables. Pour les particuliers, ont été dérobées notamment l’identité, le revenu fiscal de référence, le taux d'imposition, le quotient familial.

Nouvelle unité Cyber

Face à l'ampleur de la fuite, Bercy a annoncé mardi 18 août une série de mesures d’urgence, parmi lesquelles un renforcement de la formation des agents à la cybersécurité, l’accélération du plan de sécurisation des administrations lancé en avril et qui prévoit une enveloppe de 200 millions d’euros, une refonte des dispositifs de détection. Le ministre de l'Action et des Comptes publics, David Amiel, accompagné de la directrice générale de la DGFIP, Amélie Verdier en a profité pour présenter ses excuses aux contribuables et aux agents.

D’un incendie à l’autre, le premier ministre Sébastien Lecornu, de retour de Gironde, a en outre demandé à l’ANSSI (Agence nationale de la sécurité des systèmes d’information) de constituer une « nouvelle unité cyber », reconnsaissant que « peu de ministères sont au niveau requis ».

Fanny de Coster, responsable du bureau national de la CGT Finances publiques, juge ces annonces largement insuffisantes. « Les investissements depuis des années ne sont absolument pas à la hauteur des enjeux », estime la syndicaliste, pour qui  « la cybersécurité devrait  être un enjeu au plus haut niveau de l’État ».

Elle pointe en outre une contradiction dans la chronologie de l'attaque. « La DGFiP affirme avoir repéré l'intrusion dès juin, mais n'a pas identifié tout de suite le vol des données. La première faille est là ».

Conditions de travail dégradées et défiance croissante

Le syndicat redoute que la réponse à la crise conduise à déplacer une partie de la responsabilité vers les agents, notamment avec l'annonce de nouvelles formations et de rappels sur les bonnes pratiques en matière de cybersécurité. « Ces mesures peuvent laisser à penser qu’en gros, ceux qui auraient failli dans l’histoire sont les agents des finances publiques », estime Fanny de Coster. La question de la responsabilité est d'autant plus sensible que les agents sont déjà confrontés à une forte dégradation de leurs conditions de travail et à une défiance croissante envers leur administration depuis plusieurs années. Fanny de Coster craint qu'une communication mettant implicitement en cause les personnels ne constitue « une bombe à retardement » dans des services où « le moral des troupes » est déjà très dégradé.

Dans un communiqué publié le 17 août 2026, le syndicat rappelle que même si la plupart des attaques sont déjouées grâce à la vigilance des agents, le nombre d'attaques contre les systèmes de la DGFiP est passé de 2 579 en 2023 à 6 972 en 2025. « Les choix politiques et budgétaires de ces dernières années ont joué un rôle déterminant et ont accentué la probabilité d'attaques des systèmes informatiques ». Depuis 2008, toujours d’après la CGT, plus de 34 000 postes ont été supprimés, soit plus de 28 % des effectifs; Les rémunérations en berne, aboutissant à une perte de pouvoir d’achat, ont rendu les métiers des impôts moins attractifs, notamment ceux liés à l’informatique.

Des failles qui se multiplient

Alors que le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs, l’incident a révélé au grand jour la fragilité des administrations françaises face au risque de piratage informatique. Après le fisc, le duo de pirates français Zerobytes a revendiqué le vol massif de données concernant des élèves et des enseignants via le ministère de l'éducation nationale. Une réunion organisée avec les organisations syndicales mardi 18 août a, selon Fanny de Coster confirmé la gravité de la situation, lui rappelant les grandes heures de la pandémie de Covid-19. « On a bien senti au ton, au comportement, à la façon d’être de la directrice générale que l’instant était grave », raconte-t-elle.

Il faut dire que le piratage du fisc s’inscrit dans une série déjà longue d’incidents similaires. En avril dernier, une attaque visant France Titres (ex-ANTS), a touché plus de 11,7 millions de comptes. Chez France Travail, début 2024, une mega fuite avait conduit au vol des données de près de 43 millions de demandeurs d'emploi, un record absolu pour une administration française. Sans parler des hôpitaux, des Agences régionales de santé, le secteur de la santé étant particulièrement visé.

C’est après l'attaque visant l'ANTS que le gouvernement Lecornu avait annoncé 200 millions d'euros supplémentaires pour renforcer la cybersécurité des infrastructures publiques, ainsi qu'une réorganisation de la gouvernance numérique de l'État. Pour la CGT Finances publiques, ces investissements ne peuvent toutefois pas se limiter à des enveloppes débloquées après chaque crise. Fanny de Coster dénonce une logique consistant à intervenir une fois la crise survenue plutôt qu'à investir durablement dans la prévention. « Ils essayent d’éteindre des feux qu’ils allument eux-mêmes mais sans régler jamais le problème de fond ».
Une critique qui s'applique aussi dans les priorités fixées par la DGFiP en matière d'investissement numérique. L'augmentation des investissements consacrés à l'intelligence artificielle risque de se faire au détriment d'autres besoins informatiques et humain. « En langage administratif, ce que ça veut dire, c’est qu’on investit dans l’informatique pour supprimer encore plus d'emplois », affirme la responsable du bureau national. « L'obsession pour la « rentabilité », pour l'IA et pour l'externalisation fragilise la sécurité des données de l'état et des citoyens », alerte la CGT dans son communiqué.

La CGT Finances Publiques appelle à un rassemblement devant le ministère des finances, à Bercy le 8 septembre et se joint à l'appel d'un mouvement de grève le 29 septembre dans la fonction publique.