La Direction générale des Finances publiques a commencé à informer directement les contribuables dont les données ont été consultées sans autorisation. Le message, intitulé « Consultation illégitime de vos informations fiscales », décrit les informations potentiellement exposées et appelle à la vigilance face aux risques d'escroquerie et d'usurpation d'identité.
D'après la DGFiP, un acteur malveillant a revendiqué le mercredi 12 août avoir accédé aux données de l'administration fiscale en juin et juillet. L'intrusion aurait été rendue possible par les identifiants usurpés d'un agent de la DGFiP, combinés à ceux d'un tiers habilité par l'administration. « Vous recevez ce message car vous êtes concerné(e) par cet acte de malveillance », indique clairement le courrier envoyé aux destinataires.
Les données potentiellement consultées sont nombreuses : identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation familiale, nombre de personnes à charge, nombre de parts fiscales, revenu fiscal de référence, taux de prélèvement à la source, messages échangés via la messagerie du site impots.gouv.fr, et coordonnées bancaires. L'administration précise en revanche que les mots de passe donnant accès à l'espace Finances publiques n'ont pas été compromis, et que les déclarations ainsi que les avis d'impôt n'auraient pas été consultés.
La DGFiP craint que ces informations servent à monter des escroqueries ciblées. Les contribuables concernés pourraient recevoir des courriels, SMS ou appels téléphoniques exploitant leurs données personnelles réelles pour leur soutirer des mots de passe, codes bancaires, numéros de carte ou copies de documents d'identité. L'administration rappelle qu'elle ne demande jamais la transmission d'informations confidentielles en dehors de l'espace sécurisé du contribuable, et que ses courriels sont uniquement informatifs.
Les accès frauduleux ont été coupés dès leur identification, en juin puis en juillet. La DGFiP reconnaît toutefois que le vol de données n'avait pas été détecté à ce moment-là, celui-ci ayant contourné les circuits habituels. L'administration indique renforcer la protection des comptes concernés et annonce un retour d'expérience ainsi que de nouvelles mesures de sécurisation. Elle recommande une vigilance particulière sur d'éventuels changements d'adresse postale ou de coordonnées bancaires dans les prochains mois, et invite les personnes notifiées à surveiller régulièrement les mouvements sur leurs comptes.
7 commentaires
@Mickaëla, la transparence est effectivement bienvenue, mais elle ne doit pas masquer une question de fond : comment un accès frauduleux combinant deux jeux d'identifiants différents a pu rester actif plusieurs semaines sans déclencher la moindre alerte ? Dans n'importe quel établissement bancaire, ce type d'accès atypique aurait été détecté par les systèmes de surveillance comportementale en quelques heures. Le vrai sujet n'est pas de rassurer après coup, c'est de comprendre pourquoi les dispositifs de détection ont failli, et ce que le retour d'expérience annoncé va vraiment changer.
@Jean-Marc, je comprends tout à fait cette frustration. Quand on est arrivés à La Réunion, on a tout centralisé sur impots.gouv.fr comme on nous le conseillait, et maintenant on apprend que ça pouvait ne pas suffire. En métropole j'avais eu une alerte similaire avec la CPAM il y a quelques années, mais là avec le RIB et les coordonnées bancaires directement exposés, c'est une autre dimension. Est-ce que quelqu'un sait si les gîtes déclarés en meublés de tourisme sont plus exposés, vu qu'on a souvent des allers-retours fréquents avec l'administration fiscale ?
Il y a quelque chose de profondément kafkaïen dans cette histoire : c'est l'administration elle-même, gardienne de nos données les plus intimes, qui devient la porte d'entrée de l'arbitraire. On pense à ces lignes de Shoshana Zuboff sur le capitalisme de surveillance, où la vulnérabilité ne vient plus de l'ombre mais de la lumière, des institutions censées nous protéger. Le revenu fiscal de référence, le taux de prélèvement à la source, la situation familiale, ce sont des morceaux de vie, pas de simples chiffres. La vraie question n'est pas technique, elle est politique : jusqu'où accepte-t-on de confier notre existence à des systèmes que personne ne maîtrise vraiment ?
@Jean-Marc, c'est exactement ça qui me fait peur pour mes salariés aussi. Beaucoup ont leurs coordonnées bancaires liées à leurs fiches de paie, et si ces infos circulent, les arnaques peuvent toucher des gens qui ne s'y attendent vraiment pas. On va faire passer le mot dans l'équipe pour qu'ils surveillent leurs comptes de près.
L'intrusion date de juin, on l'apprend en août. Le péi-la mérite mieux que ça.
Je comprends l'inquiétude, mais au moins la DGFiP a choisi la transparence en prévenant directement les personnes concernées. C'est une bonne chose. On reste vigilant, on surveille ses comptes, et on ne répond à aucun message suspect.
C'est pas rassurant ça. Mon RIB, mon taux de prélèvement, mon revenu fiscal... tout ça dans la nature. Je passe ma vie à faire attention aux arnaques pour mon entreprise et c'est l'administration elle-même qui se fait pirater. Faut pas s'étonner après que les gens aient du mal à faire confiance au numérique.