Impôts.gouv.fr : 1,2 million d’IBAN volés, l’État face à sa dette numérique

La Direction Générale des Finances publiques ^[1] a publié le 18 février 2026 ^[2] une actualité que Bercy aurait préféré ne jamais avoir à écrire. Le fichier national des comptes bancaires, FICOBA ^[3], a été consulté illégitimement à compter de la fin janvier 2026 ^[4]. Bilan provisoire: 1,2 million de comptes concernés ^[5].

Le mode opératoire tient en une phrase. Un acteur malveillant a usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l’échange d’information entre ministères ^[4]. Pas de zero-day spectaculaire, pas de ransomware tonitruant: un compte légitime, détourné, qui consulte tranquillement la base.

Ce qui a fuité, ce qui n’a pas fuité

FICOBA contient les coordonnées bancaires (RIB / IBAN), l’identité du titulaire et son adresse ^[8]. Bercy précise un point qui se veut rassurant: l’identifiant fiscal de l’usager n’a pas été consulté ^[9]. Maigre consolation pour quiconque a déjà reçu un faux mail des impôts: un IBAN associé à un nom et une adresse suffit largement à industrialiser le phishing ciblé.

Dès la détection de l’incident, des mesures immédiates de restriction d’accès ont été mises en œuvre ^[10]. Les usagers concernés doivent recevoir une information individuelle ^[11], et un contact a été établi avec les établissements bancaires ^[12]. Des travaux sont en cours pour rétablir le service ^[13].

Le cadre légal: RGPD et Code pénal

L’incident a été notifié à la CNIL ^{[14] [15]} et fait l’objet d’un dépôt de plainte ^[16]. Le RGPD encadre strictement ce type de violation: les obligations sont prévues par les articles 33 et 34 du règlement ^[17]. L’article 33 impose la notification à l’autorité de contrôle d’une violation de données à caractère personnel ^[18], l’article 34 la communication à la personne concernée ^[19].

Pour qu’il y ait violation au sens du RGPD, deux conditions doivent être réunies ^[20]: un traitement de données personnelles mis en œuvre ^[21] et des données ayant fait l’objet d’une violation ^[22]. Les deux sont caractérisées ici. Reste la question du délai de notification, que la CNIL appréciera.

Mais le RGPD ne fait que poser un cadre administratif. Sur le plan pénal, les faits visés par la plainte tombent sous le coup du Code pénal. L’article 323-1 réprime l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données: la peine encourue est de trois ans d’emprisonnement et 100 000 euros d’amende, portée à cinq ans et 150 000 euros lorsque l’intrusion entraîne, comme ici, l’extraction ou la modification de données. L’usurpation des identifiants d’un fonctionnaire pour accéder à FICOBA pourrait relever de l’article 226-4-1 sur l’usurpation d’identité numérique, puni d’un an de prison et 15 000 euros d’amende. Quant à la collecte de données personnelles obtenue par un moyen frauduleux ou déloyal, elle est sanctionnée par l’article 226-18, qui prévoit jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende.

Le « casse du siècle, tous les mois »

Le 30 avril 2026 ^[23], Sébastien Lecornu, Premier ministre chargé de la Planification écologique ^[24], visitait l’Agence nationale des titres sécurisés ^[25] pour annoncer un plan d’action cybersécurité. Son diagnostic, brut: « On est donc sur un casse du siècle, mais qui a pratiquement lieu tous les mois » ^[26]. Depuis le début de l’année 2026 ^[7], la France enregistre en moyenne trois vols de données par jour ^[6].

FICOBA n’est qu’un maillon. On se souvient de l’affaire Dedalus, en 2021, où près de 500 000 dossiers médicaux français avaient été diffusés en clair sur le web - une fuite que la CNIL avait sanctionnée d’une amende historique. Plus récemment, la cyberattaque contre les opérateurs de tiers payant Viamedis et Almerys, début 2024, avait exposé les données de plus de 33 millions d’assurés sociaux. À chaque fois, le même schéma: un compte ou un prestataire compromis, et une base nationale qui se vide en quelques jours. La répétition, plus que l’incident, fait scandale.

Pourquoi l’État a-t-il sous-investi?

Le chiffre qui tue n’est pas dans les piratages, il est dans les budgets. La plupart des entreprises françaises consacrent environ 10 % de leur budget global aux infrastructures numériques ^[27]. L’État est plus proche de 1 % que des 10 % ^[28]. Lecornu lui-même reconnaît: « Les fonctions numériques des différents ministères ont plutôt été parfois délaissées budgétairement ces dernières années » ^[29].

Ce délaissement n’est pas accidentel. Il découle d’une logique budgétaire connue: le numérique est une fonction support, peu visible politiquement, qui se coupe en premier quand l’arbitrage devient serré. Pendant que les ministères régaliens - Intérieur ^[30], Armées ^[31] - protégeaient leurs systèmes, les autres administrations ont vu leurs lignes informatiques rabotées année après année. Bercy, décrit pourtant comme « historiquement un ministère solide sur le terrain numérique » ^[32], n’a pas échappé au phénomène: la sécurisation des comptes administratifs internes - le vrai maillon faible révélé par FICOBA - exige des moyens humains continus (administration des accès, journalisation, détection d’anomalies) qui ne se votent pas en plan quinquennal mais en effectifs pérennes. Or ce sont précisément ces effectifs que la « rationalisation » a sacrifiés. Passer de 1 % à 10 % du budget numérique exigerait un effort durable, sans commune mesure avec les annonces ponctuelles.

Réponse annoncée: 200 millions d’euros débloqués sur les crédits de France 2030 ^{[33] [34]}, et la fusion de la DINUM ^[35] et de la DITP ^[36] pour créer une autorité numérique de l’État placée auprès du Premier ministre ^[37]. Une réforme que David Amiel, ministre délégué précédemment chargé de la réforme numérique ^[38], avait commencé à traiter. Le piratage de FICOBA suggère que « solide » est un adjectif relatif.

Universités, ministère des Sports: la série noire

FICOBA s’inscrit dans une série contemporaine. Le groupe de hackers algérien LunarisSec ^[39] revendique le piratage de cinq universités françaises ^[40], avec plusieurs dizaines de milliers d’étudiants concernés ^[41], via une faille de type IDOR (Insecure Direct Object Reference) ^[42]. Les établissements cités incluent l’Université de Lyon 1 ^[43], l’Université de Reims Champagne-Ardenne ^[44], l’Université de Bourgogne ^[45], l’Université Aix-Marseille ^{[46] [47]} et l’Université de Toulouse ^{[48] [49]}. Le groupe affirme ne pas avoir d’objectif financier ^[50]: les données ne seraient pas mises en vente ^[51], l’objectif serait de démontrer les failles de sécurité des systèmes universitaires ^[52].

En parallèle, un hacker sous le pseudonyme Cybernox ^[53] affirme mettre en vente une base attribuée au Ministère des Sports ^{[54] [55]}, avec plus de 217 000 photos et données sensibles d’éducateurs ^[56]. Faco Paris ^[57] aurait vu plus de 11 000 documents sensibles, IBAN et code source exposés ^{[58] [59]}. Adele.org ^[60], plateforme spécialisée dans le logement étudiant, aurait subi une fuite de 261 000 dossiers avec cartes d’identité et passeports ^{[61] [62]}. Selon les sources consultées, la France est aujourd’hui considérée comme le 2e pays le plus piraté au monde ^[63].

L’angle mort: le compte légitime, pas la faille technique

Ce que personne ne dit vraiment dans le récit de FICOBA: il n’y a pas eu d’exploit sophistiqué. Les ressources techniques publiées par l’OWASP sur les injections SQL rappellent qu’une vulnérabilité d’injection survient quand l’entrée utilisateur est utilisée dans une requête sans contrainte ni assainissement adéquats ^[64], permettant à un attaquant d’exécuter du code SQL sous les privilèges de l’utilisateur de connexion ^[65]. Mais ici, le profil n’a pas eu besoin d’être exploité: il a été utilisé.

Selon le communiqué officiel de Bercy, l’attaquant disposait des identifiants d’un fonctionnaire ^[4]. Autrement dit, le maillon faible n’est pas le code de FICOBA, c’est la chaîne de confiance interministérielle. La DGFiP avait pourtant renforcé la sécurité côté usager: depuis juin 2025 ^[66], un code de sécurité à 6 chiffres ^[67] envoyé par courriel est nécessaire pour accéder aux services en ligne ^{[68] [69]}, avec une persistance de six mois sur l’appareil habituel ^[70]. Cette double authentification protège l’usager. Elle ne dit rien de la sécurisation des comptes administratifs internes.

Voix critiques: un plan qui arrive après la bataille

Aucune voix dissonante structurée n’émerge dans les sources consultées sur le plan Lecornu lui-même. Cet unanimisme interroge: un plan annoncé le 30 avril 2026 ^[23], après un piratage révélé en février, intervient alors que l’incident était déjà documenté. Lecornu signale lui-même avoir signé une stratégie cyberdéfense 2026-2030 ^[71]. La question de fond reste posée par les chiffres mêmes du Premier ministre: passer de 1 % à 10 % ^{[27] [28]} de budget numérique exigerait bien davantage que 200 millions d’euros ^[33] ponctuels prélevés sur France 2030.

Le calendrier pose aussi question. La fusion DINUM-DITP ^[37] est présentée comme nouvelle mais avait été initiée par David Amiel ^[38]. Et l’affectation des amendes CNIL - environ 500 millions d’euros l’an dernier ^[72] - à un fonds de modernisation des infrastructures numériques ^{[73] [74]} reste une promesse à inscrire dans le projet de loi de finances. Les équipes informatiques de la DGFiP sont décrites comme pleinement mobilisées ^[75], en lien avec le service du haut fonctionnaire de défense et de sécurité du ministère des finances ^[76] et l’ANSSI ^{[77] [78]}.

Ce que les sources ne disent pas

Plusieurs questions restent sans réponse dans les communications officielles. L’identité du fonctionnaire dont les identifiants ont été usurpés ^[4] n’est pas précisée. Aucune source consultée ne précise non plus le ministère d’origine de cet agent - le communiqué se borne à évoquer « l’échange d’information entre ministères » ^[4] sans nommer la contrepartie -, ni le vecteur de compromission de ses identifiants (phishing, fuite de mot de passe, malware, credential stuffing), ni les mesures, disciplinaires ou de protection, prises à son égard. La durée exacte d’accès entre fin janvier 2026 ^[4] et la détection reste floue. Et la question centrale du suivi des accès anormaux - pourquoi 1,2 million de consultations ^[5] n’ont-elles pas déclenché d’alerte plus tôt? - n’a pas reçu de réponse publique à la date de publication.

► Lire aussi: RGPD - Chapitre IV: obligations du responsable de traitement

Rémi IA en ligne

Bonjour, je suis Rémi, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif