Aujourd’hui, revoyons nos conjugaisons et notamment le Futur Simple, avec par exemple le communiqué publié par Bercy le 13 août. On y lit ainsi que la Direction générale des Finances publiques « notifiera » l’incident à la CNIL, « déposera » plainte et « communiquera » de nouveaux éléments à mesure de l’avancée des investigations.
Voilà un bien beau triplet de futurs simples alignés dans la même phrase, pour un accès illégitime survenu fin juin !
Au fait, le RGPD, ce texte appliqué sans flexibilité dès qu’il s’agit du fichier client d’un garagiste de Vierzon, prévoit normalement une réaction en 72 heures. Le compteur pour Bercy est à 7 semaines et la Direction n’use encore que du futur : pas de doute, ils sont assez détendus de la fuite souveraine.
Notons que ce qui a déclenché cette soudaine bouffée de transparence n’est ni un scrupule, ni un audit mais ce message sur un forum, le 12 août, déposé par un individu opérant sous le pseudonyme de ZeroBytes, qui revendique l’extraction de 678 438 lignes de données fiscales et met la base en vente.
Bercy, vaguement gêné, confirme le lendemain, sans préciser du tout ni la nature des données, ni le nombre de personnes concernées. Les chiffres, ce sont les bénévoles du site FrenchBreaches qui les fournissent (392.867 particuliers, 285.570 professionnels) et que l’AFP reprend faute de mieux. L’administration fiscale, qui sait à l’euro près ce que vous avez déclaré en 2019, s’est révélée incapable de chiffrer sa propre fuite. Il a fallu attendre qu’un site amateur le fasse à sa place.
Puisqu’on parle conjugaisons, le communiqué comporte tout de même une affirmation au passé (plus-que-parfait ici) : l’accès, écrit Bercy, « avait été coupé fin juin dans le cadre du contrôle opéré ». Ah, ouf.
Bon, n’empêche que le 14 août, le même ZeroBytes revendique une seconde intrusion, sur le Serveur Professionnel de Données Cadastrales de la DGFiP, datée du 29 juillet, soit un mois entier après cette fameuse coupure, et 2 semaines donc avant que le public n’apprenne quoi que ce soit. Il dit avoir contourné le mécanisme d’authentification multifacteur et extrait 252.149 lignes, correspondant à 2.041.778 personnes.
Ah zut, Bercy a fermé une porte en laissant la fenêtre ouverte et s’est contenté de vaguement serrer les fesses.
On pourrait se rassurer en notant que le pirate s’est arrêté à quelques centaines de milliers de lignes et n’a pas exfiltré l’intégralité de la base. Malheureusement, le pirate n’a pas été détecté, ni bloqué, ni arrêté mais s’est lassé : pour lui, l’extraction était trop lente, une récupération complète lui aurait demandé plusieurs mois et il a alors cessé de son propre chef.
Accessoirement, il estime que le service auquel il avait accès permet de retrouver les informations d’environ 20 millions de citoyens. En somme, en 2026, la seule protection réellement efficace du fichier fiscal français est sa latence.
Un décor déjà bien planté
On pourrait, à la rigueur, plaider l’imprévisible mais ça risque d’être compliqué : Solidaires Finances Publiques indique avoir interpellé la directrice générale dès juin (voire mai) sur les risques « à très court terme » de « piratage, d’usurpation d’identité ou d’hameçonnage ciblé ».
Bref, sans la revendication publique du pirate, les usagers auraient-ils été informés du vol de leurs données ?
Les mois passés offraient pourtant quelques indices.
En décembre 2025, le ministère de l’Intérieur se fait pénétrer par sa messagerie, avec consultation du traitement d’antécédents judiciaires et du fichier des personnes recherchées ; le ministre évoque « des imprudences », les identifiants circulant en clair dans des courriels.
En février, Bercy annonce un accès illégitime au FICOBA, le fichier national des comptes bancaires, après usurpation des identifiants d’un fonctionnaire : 1,2 million de comptes, avec RIB, identité, adresse et parfois identifiant fiscal.
En avril, l’ANTS expose 11,7 millions de comptes par une faille consistant à modifier un chiffre dans une requête.
En juin, c’est Tchap, la messagerie chiffrée de l’État, qui se fait visiter.
En août, Bloctel se fait siphonner trois millions de numéros via un compte professionnel dépourvu de double authentification, offrant aux démarcheurs la liste exacte des gens qui demandaient qu’on leur fiche la paix.
La DGFiP en est, pour la seule année 2026, à sa troisième violation.
Le calendrier ne lasse pas de surprendren : le 29 janvier 2026, la ministre déléguée au Numérique dévoile en grande pompe la Stratégie nationale de cybersécurité 2026-2030, plaçant la cybersécurité « au rang de priorité stratégique pour la souveraineté, la sécurité nationale et la protection de la démocratie ». L’encre de cette Stratégie nationale bidule-truc n’a même pas eu le temps de sécher puisque c’est « à compter de la fin janvier 2026 » que débute l’intrusion dans le FICOBA.
De la ligne de tableur au palier d’immeuble
Ces aventures numériques ont potentiellement des conséquences très graves dans le monde réel, et il n’est même pas nécessaire de spéculer : une agente des impôts de Bobigny a été mise en examen et écrouée pour avoir tripatouillé dans le logiciel fiscal Mira pour localiser un surveillant de la maison d’arrêt de la Santé, aboutissant, le 26 septembre 2024, à son agression à son domicile de Montreuil. L’instruction a révélé qu’elle avait également effectué des recherches sur un juge d’application des peines, sur des investisseurs en cryptomonnaie et sur Vincent Bolloré. Elle était rétribuée par Western Union et les exécutants avaient été recrutés pour 800 euros.
Bref, ce qu’une fonctionnaire vendait au détail circule désormais en gros sur un forum.
Les autorités recensaient déjà, à la mi-avril 2026, plus d’une quarantaine de séquestrations et d’enlèvements liés aux cryptomonnaies pour la seule année en cours, et le mois de juillet a vu 18 665 logements cambriolés, en hausse de 7,1 % sur un an.
Vive l’égalité : grâce aux dernières fuites, le sort jusqu’à présent réservé aux détenteurs de cryptomonnaies est étendu à tous les Français. Bercy transforme le prélèvement à source en prélèvement à l’open-source…
Et la sanction, donc ?
Ah ah ah.
Dans un cadre normal, rappelons que le 22 janvier 2026, la CNIL infligeait 5 millions d’euros d’amende à France Travail pour la fuite touchant 36,8 millions de personnes. En septembre 2025, Google écopait de 325 millions d’euros pour des traceurs de pub non sollicités.
Mais voilà, la DGFiP ne paiera rien car c’est juridiquement impossible : l’article 20 de la loi Informatique et Libertés réserve ces amendes administratives à tout le monde « à l’exception des cas où le traitement est mis en œuvre par l’État ». Quant au défaut de notification d’une violation de données, il est puni de 5 ans d’emprisonnement et de 300.000 euros d’amende, qui ne seront jamais appliqués.
Le contribuable, lui, notifiera, déclarera, et paiera.
J'accepte les BTC, ETH et BCH !
1BuyJKZLeEG5YkpbGn4QhtNTxhUqtpEGKf
Vous aussi, foutez les banquiers centraux dehors, terrorisez l’État et les banques en utilisant les cryptomonnaies, en les promouvant et pourquoi pas, en faisant un don avec !
Hélas ! Jamais deux sans trois !
Monseigneur ! faut que vous reveniez en France pour vous recalibrer aux US et coutumes ! Le 13 août ! La veille du 14 août, jour où on va se préparer pour partir en weekend le 15 août! Bon ça ne mérite pas un acharnement insensé de se précipiter sur les notifications puisque de toute façon, de l’autre côté, il n’y aura personne pour recevoir effectivement et efficacement quoi que ce soit avant le lundi qui suit…
Avec son utilisation permanente du futur, la dgfp est forcément l’ émule de Jaurès en bonne socialiste pratiquante ! Evidemment ! Forcément !
« une réaction en 72 heures »
Vu la délicatesse des codes quand il s’agit de la gestion étatique, le délai doit être considéré comme étant de 72 jours (semaines ?) ‘et non pas 72 heures
Finalement si la ministre Le Henanff doit démissionner, on pourra la recaser utilement à la direction du musée de le Louvre, vu l’efficacité dans un tel fait qui la montre tout à fait à la hauteur de celle qui la précède…
Comme je disais, il faut s’occuper de Bercy, certains ont déjà commencé, mais il faut aller plus loin. Il faut me nuker tout ça, mais je suis bon prince, il faut nuker Bercy numériquement, atteinte aux données, pas aux personnes physiques. Avec les IA, on devrait pouvoir faire du bon boulot … nan ?
C’est ça le problème, si les personnes physiques ne payent pas le prix, il n’y aura pas d’amélioration. Ça s’appelle la responsabilité personnelle.
c’est kif kif les magistrats ma bonne dame : les fonctionnaires ne font pas les règles, ils les appliquent, et la hiérarchie espère qu’ils le font avec zèle. Mais surtout, ils ne peuvent pas être tenus responsables en cas d’erreur ou de problème, il ne manquerait plus que ça ! 😉
J’ai jamais compris la notion d’amende qu’un service de l’Etat inflige à un autre service de l’État qui a fait une connerie.
Dans tous les cas c’est le contribuable qui paye.
La caisse des Assedic ne dépend pas directement du budget de l’état, et dégage un excédent, il faut donc bien trouver un prétexte pour la piller…
Au delà du constat, franchement pas terrible pour l’administration, quelles sont les conclusions à en tirer. L’administration a-t-elle fait preuve de légèreté quand elle a élaboré ses protocoles anti-intrusion ? Est-il possible d’envisager des protocoles très durcis ? Sur ce point, je suis tout à fait conscient que nous sommes dans le combat classique glaive-cuirasse mais dans le cas qui nous occupe, la facilité avec laquelle ce type d’intrusion se produit à l’égard de données extrêmement sensibles laisse pantois. À l’heure où on veut nous imposer l’identité et/ou l’euro numérique, ça interroge.
je pense surtout que c’est une énorme usine à gaz, et que la moindre mise à jour technique aura des impacts partout et difficiles à maintenir.
après je n’excuse pas du tout l’état, bien au contraire. ils doivent montrer l’exemple
L’administration croit qu’internet n’a pas d’utilité car on a le Minitel.
Utilise t’elle une boite privée pour sa gestion des risques ?
@major : cela n’interroge pas. Les administrations publiques n’ont ni la compétence, ni l’agilité intellectuelle pour gérer de tels monstres informatiques pour assurer efficacité et sécurité.
Il faut donc réduire au minimum ces monstres, c’est la seule façon d’assurer un peu de sécurité des citoyens… et donc le rôle des administrations publiques.
+10
Tous ces hackings sont pour moi une bonne nouvelle. L’usine à gaz tentaculaire commence à ployer sous son propre poids, ça craque, ça fuit, ça se déglingue d’un peu partout. Manquerait plus que quelques grains de sable fatals, dit aussi « cygne noir », pour que toute la machinerie s’écroule.
« une bonne nouvelle », tant que ça ne te tombe pas dessus … l’identification via le site des impôts permet de faire valider un paquet de démarches, je te laisse deviner le merdier, si on usurpe ton identité grâce à cette identification forte, et qu’on te demande de rembourser.
J’ai failli me trouver dans ce cas, et malgré ma tendance à rire de tout, là je n’ai pas rigolé !
Allons, il faut voir le bon côté des choses. On m’a déjà usurpé mon identité, dans une escroquerie pour une vente en ligne. Les gendarmes étaient conscients du problème, et n’ont pas donné suite quand ils ont constaté ma bonne foi.
ce n’est pas toujours si facile… car on ne tombe pas toujours sur des gendarmes compréhensifs…(et qui ont pris l’initiative de constaté ta bonne foi : tous les fonctionnaires ne le font pas…).
Oui, mais vu la multiplication récente et bruyante des hackings, les représentants de l’état ne peuvent plus nier le problème, et on pourra plus facilement revendiquer l’usurpation d’identité. Si on était malin, on en profiterait pour monter des collectifs de lutte contre les projets d’identité numérique, vu qu’il y a largement assez de munitions contre l’incompétence de l’état à sécuriser nos données.
@dr Slump 10h47 : ce qui est intéressant, c’est que l’incurie de l’Etat apparaît en plein jour… et devient difficile à réfuter (malgré le blabla habituel).
Mais tu vas avoir les oints du seigneur, en service commandé sur les plateaux tv et dans les multiples éditos de presse écrite, pour demander encore plus d’état, mais aussi un autre état, forcément mieux, certainement européen.
Qu’une pourriture finie comme le Sénégalais se retrouve propulsé sur le devant de la scène est un signal. On n’en finit plus de voir sa trombine et entendre son vide intellectuel se répandre devant les caméras.
L’état, pour sa part, va détourner l’attention immédiatement.
Car on recause de la retraite, ça va mobiliser les idiots utiles dès la rentrée de septembre. Le reste va passer sous le tapis.
+1 cher Breton 🙂
Et par rebond, réduire les formalités et les normes.
Réduire les formalités et les normes permet de supprimer des administrations en charge de ce bordel.
C’est la véritable simplification : Afuera.
En fait, moins d’administration = plus de sécurité.
« moins d’administration = plus de sécurité » : +100.
On retourne au régalien et aux citoyens de se prendre en charge pour le reste.
ah mais mon bon monsieur, on ne peut pas : l’europe exige …
Il suffit de déclarer un projet comme « Agile » pour que ça passe, à défaut que ça se passe bien.
N’est pas SAFe qui veut. Et Agile selon l’orthodoxie est tout sauf cahotique.
Qu’en conclure ?
Qu’il n’y a pas, et qu’il n’y aura jamais de responsable (sauf un clampin à la marge, genre un stagiaire ou un contractuel) et que ça continuera.
Le corollaire de tout ce cirque permettra en plus de faire avaler la pilule de la surprotection via contrôle renforcé et restriction de liberté totale, c’est finalement tout bénef (toute ressemblance avec feue l’urss… etc etc…).
Ca me fait aussi penser à ces connards de cnews, qui associent tout le temps « démocratie » et « liberté », et qui gueulent contre le CC en disant qu’il commet un déni de démocratie parce qu’il retoque la loi sur l’interdiction des réseaux sossios sous prétexte que c’est une atteinte à la liberté.
Dans les verbes du premier groupe avec des terminaisons au futur en -ra, j’aime bien : afuera.
euh, ça marche aussi pour les verbes « incluer » et « concluer » ? c’est pour des connaissances, des djeun’s qui fréquentent un site mal famé de la fachosphère … 😉
Allumez vos écrans télé, ordis ou smartphones cet après-midi car le Premier ministre Sébastien Lecornu a convoqué une cellule interministérielle de crise (CIC) sur ce piratage informatique à grande échelle ayant visé l’administration fiscale.
Comme le Premier Ministre la présidera en «visioconférence sécurisée», a bien précisé Matignon, on peut donc s’attendre à sa diffusion en mondovision 😉
Ah c’est sûr que Bercy, c’est leur Précieux, ils vont donc faire leur cinéma, montrer les dents, gonfler leurs petits muscles devant les caméras, faire mine de déployer toute la puissance de l’état qui domine la situation, mais LOL, ce sera de la com’, et derrière, ça continuera de faire Psschiiiiiit avec un bruit de plus en plus gênant.
ça promet pour la facturation électronique…
Vu la nullité des protections informatiques dans la sphère publique, ce qui étonne, c’est que les données de tous les français ne soient pas déjà sur le dark net et vendues à la découpe. Je suis persuadé que la version la plus puissante de Claude exploserait toutes les protections en quelques minutes s’il lui en prenait « l’envie » .
« ce qu’une fonctionnaire vendait au détail circule désormais en gros sur un forum » oui, et c’est honteux, c’est de la concurrence déloyale. Les fonctionnaires, exploités, épuisés – les cas de surmenage et de burn out explosent – et surtout mal payés, pour un travail ingrat qui leur vaut la détestation de tous, avaient au moins un moyen d’arrondir les fins de mois. Las …
Il serait assez sympathique que des hackers nous fournissent, via les réseaux, les noms, adresses et revenus des gros bonnets de Bercy qui sont à l’abri de tout, qui se croient intouchables. On pourrait passer de bonnes soirées à rire (jaune) en espérant qu’un des joueurs ne sorte pas l’énorme compte en banque d’un de vos artistes préférés.
Ce serait plus drôle si un hacker en question effectuait un formattage de bas niveau sur tout les serveurs de Bercy, et les serveurs et le DB.
Ou changer tout les mots de passes par des chaînes de textes random…
Allô, le Ministère ? c’est pour signaler un dangereux subversif … 😉
C’est pas moi!
Mon compte s’est fait hacké!
Les salaud sont passés par le VPN d’OpenOffice! Puis par le tableur de Paint!
Oui hein, on peut se demander pourquoi les hackers visent toujours les contribuables, et pas les gros bonnets de la haûte fonktion püblique… qui ont pourtant un gros patrimoine, eux. Hackers, si vous me lisez… mais qu’est-ce que vous branlez bordel !!!
J’ai oublié de dire que, H16, avant de publier son article, aurait pu fournir, au choix, un tube d’aspirine, une bonbonne de gaz hilarant ou un sac à vomi suivant le type de réaction du lecteur.
selon mes informations, en bon libéral, il a pourtant fait la demande de prise en charge auprès des autorités, après avoir dûment rempli la dizaine de cerfas nécessaire. 😉
normal, c’était un cerfa en ligne et il s’est fait piraté…
LE lecteur ne pourrait-il simplement remplir un cerfabobo?
Ils s’en tapent de toutes ces fuites et continuent à vouloir imposer le numérique partout, vu que l’UE va imposer son identité et son portefeuille numériques. Et la plupart des gens ne voient rien venir…
ils se foutent de la sécurité des citoyens, ils veulent juste avoir le sentiment qu’ils peuvent contrôler de plus en plus ces citoyens. Tout le déploiement de l’informatique dans la sphère publique n’a servi qu’à cela.
+1
j’avais pas vu ton commentaire, j’ai évoqué la même chose en réponse au Major.
Oui, bon, vu les événements détaillés dans ce billet, ce n’est pas parti pour se dérouler comme ils le souhaitent. En Théorie, tout se passe toujours bien, mais Théorie est un pays imaginaire, et la réalité est toujours imprévisible
Ils réussiront à imposer le passage par des routes contruites par l’Etat, qui seront pleines de trous de ronces, et bordée de brigant, mais il ne sera plus possible de faire dans passer ailleur.
En théorie, dans le meilleur des cas, ils se disent peut-être que on commence par mettre un mauvais système en place, puis on amélioreras le système, plus tard, lorsqu’on aura le temps. Dans un plus mauvais cas, ils croient peut-être vraiment que leurs routes sont bien asphaltées et sûres. Dans le pire des cas, ce sont des idots utiles qui participent à la destruction du pays. Dans le pire du pire, ce ne sont même pas des idiots utiles, mais des saboteurs traîtres actifs.
« En théorie, dans le meilleur des cas, ils se disent peut-être que on commence par mettre un mauvais système en place, puis on amélioreras le système, plus tard, lorsqu’on aura le temps. »
Bien vu !
C’est un travers administratif que je rencontre souvent.
L’important est d’avoir un dossier prêt lors de la demande hiérarchique, peu importe ce qu’il y a dedans, même si tout est faux.
en parallèle, cette série d’article d’EV : lecourrierdesstrateges.fr/sequestration-en-bande-organisee-ou-le-proces-impossible/
Edouard Husson lit H16 : edouardhusson.substack.com/p/ils-veulent-faire-la-guerre-a-la