Le site des impôts n’est plus un simple formulaire en ligne. Il concentre le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source et, pour les entreprises, des identifiants comme le SIREN. Après un accès illégitime à ces données cet été, l’ancien ministre de l’Économie Eric Lombard a relancé, le 9 septembre 2026 sur CNews, une question simple : pourquoi certains services publics se connectent-ils encore avec un identifiant et un mot de passe, sans code de confirmation ?

Le débat n’est pas abstrait. Mercredi 12 et jeudi 13 août 2026, un acteur malveillant a revendiqué des accès au système d’information de la Direction générale des Finances publiques (DGFiP). Selon le communiqué du ministère de l’Économie et des Finances, ces intrusions, intervenues en juin et juillet 2026, reposaient sur l’usurpation d’identifiants d’un agent de la DGFiP et d’un tiers habilité. Les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis. Les identifiants et mots de passe des usagers non plus.

678 000 particuliers et professionnels concernés, pas leurs comptes en ligne

Les investigations ouvertes à partir du 12 août 2026 ont établi qu’avant l’interruption des accès, certaines données avaient été consultées et extraites pour un total de 678 000 particuliers et professionnels. Côté ménages, il s’agit notamment du revenu fiscal de référence, du quotient familial ou du taux de prélèvement à la source. Côté entreprises, la raison sociale ou le SIREN. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont aussi été consultées.

Dès la détection, la DGFiP a coupé les comptes utilisés. Les premiers contrôles n’avaient pas permis de voir un vol de données, en raison de la sophistication de l’attaque. La CNIL a été saisie. Des coupures préventives d’accès à des systèmes sensibles ont suivi. La DGFiP a indiqué qu’elle prendrait contact individuellement, par courriel ou courrier, et qu’elle déposerait plainte.

Ce n’est donc pas un casse du coffre-fort des contribuables via leur espace personnel. C’est une faille interne, par identifiants volés. La nuance compte : elle explique à la fois l’ampleur du fichier exposé et le décalage avec le discours sur la double authentification des usagers.

Une 2FA déjà en place pour l’espace particulier, pas pour tout l’État

Depuis l’été 2025, la DGFiP a déployé une double authentification sur l’espace Finances publiques des particuliers. Après le numéro fiscal et le mot de passe, un code de sécurité part par courriel. Sans ce code, l’accès s’arrête. En cas d’échec répété, le compte peut être bloqué temporairement ; un courrier avec un code à 6 chiffres est alors prévu, avec un délai d’attente d’environ une semaine, et un recours au 0 809 401 401 ou au guichet si rien n’arrive passé 10 jours.

Le fisc invite aussi à tenir à jour l’adresse électronique, à durcir le mot de passe de messagerie et à communiquer un numéro de téléphone portable pour d’éventuels SMS. Autrement dit, le portail grand public n’est plus, sur le papier, un simple couple identifiant / mot de passe.

Eric Lombard, ministre de l’Économie sous François Bayrou, décrit pourtant une autre réalité pour une partie des sites publics, impôts et sécurité sociale inclus : une connexion encore trop souvent limitée à l’identifiant et au mot de passe, alors que beaucoup de Français connaissent déjà le second facteur au travail. Il affirme que ce n’est pas ce qui a permis le piratage du fisc. Il plaide quand même pour généraliser le code par mail ou téléphone.

Une directive européenne, un texte encore en navette

L’ancien ministre rappelle qu’une directive européenne prévoit ce type de sécurisation, et qu’un texte de transposition circule entre l’Assemblée nationale et le Sénat. Les États membres doivent inscrire les directives dans leur droit interne. Selon lui, la voie parlementaire prend trop de temps.

Sa proposition est politique autant que technique : une coordination des sujets informatiques de l’État placée auprès du Premier ministre, et un pouvoir de décision donné à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), jusqu’à une circulaire imposant la double authentification aux administrations. Le communiqué d’août 2026 précise déjà que la DGFiP travaille avec le Haut fonctionnaire de défense et de sécurité et avec l’ANSSI. Le levier que Lombard réclame, c’est d’accélérer hors du calendrier législatif.

Les données sorties du système restent un matériau d’arnaque : un appel, un mail ou un SMS qui recopie un revenu, un taux ou une adresse cadastrale paraît plus crédible. Les usagers n’ont pas perdu leurs mots de passe, mais une partie de leur dossier a circulé. D’autres services publics connaissent des décalages informatiques d’une autre nature, comme le calcul des pensions Carsat avec droits pour enfant encore appliqué provisoirement. La double authentification des espaces en ligne ne referme pas, à elle seule, la brèche des identifiants d’agents. Tant que le second facteur n’est pas imposé de bout en bout, des pans de l’administration restent exposés au même schéma d’usurpation.

Sources

  • https://presse.economie.gouv.fr/acces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques/
  • https://www.impots.gouv.fr/quoi-de-neuf-pour-la-declaration-de-revenus-en-2026
  • https://www.capital.fr/economie-politique/impotsgouvfr-toujours-sans-double-authentification-un-ex-ministre-explique-enfin-pourquoi-1529989