Le ministère des Comptes publics présente ses "excuses" après le piratage des données du fisc et annonce des mesures d'urgence
Le ministère de l'Action et des Comptes publics a présenté, mardi 18 août 2026, ses "excuses" à la suite des vols de données fiscales de contribuables et professionnels, ainsi que de données cadastrales, survenus après une attaque informatique d'ampleur révélée le 13 août. Face à la crise, le gouvernement a reconnu l'existence de faiblesses dans ses systèmes et annoncé une série de mesures d'urgence, alors qu'une nouvelle brèche vient d'être révélée.
Reconnaissance des faiblesses et gestion de crise
Lors d'une conférence de presse, le ministre de l'Action et des Comptes publics, David Amiel, a déclaré : "Ce qui est arrivé est insupportable pour les Français, on comprend leur colère et nous la partageons", dénonçant des "faits graves" qui "entament la confiance" des Français envers l'Etat. Il a mis en avant des principes de "transparence", de "considération" des usagers concernés et de "fermeté", alors qu'une enquête a été ouverte par le parquet de Paris. David Amiel a également refusé de "mettre la poussière sous le tapis" : "Notre pire ennemi serait la banalisation, de s'habituer à des fuites de données sensibles, de faire le dos rond…"
Le ministre a reconnu que "nos systèmes d’information comportent des faiblesses et s’il n’y en avait pas, on n’en serait pas là aujourd’hui, certains systèmes sont anciens et donc lourds à sécuriser". Cette admission fait suite à la réunion d’une cellule de crise présidée par le Premier ministre, Sébastien Lecornu, le 17 août. Le gouvernement prévoit de résorber la "dette technique" en y mettant des "moyens humains et financiers".
Pour répondre à l’urgence, le gouvernement prévoit une "accélération" de la double authentification pour tous les agents de la direction générale des finances publiques (DGFiP) d’ici à la fin de l’année. Parallèlement, un renforcement de la formation numérique des agents est annoncé, ainsi qu’une "intensification" des "campagnes de sensibilisation au hameçonnage" et aux "bug bounties", ces concours où des pirates informatiques éprouvent les défenses d’une administration pour en colmater les failles.
La directrice générale des finances publiques, Amélie Verdier, a évoqué une "refonte des dispositifs de détection" et des limites plus contraignantes sur certaines consultations de fichiers. L’intelligence artificielle (IA) sera aussi mise à profit : cette technologie "va être utilisée par les attaquants, elle doit être utilisée pour se défendre", a expliqué David Amiel. Des IA "sous contrôle" vont être utilisées pour "détecter des défaillances et proposer des correctifs".
En septembre, seront présentées les conclusions de l’audit réclamé par le Premier ministre "pour tirer toutes les leçons de l’attaque, ses causes, mais aussi la comparaison entre les dispositifs que nous avons ici et les meilleurs standards qui sont ailleurs".
Une nouvelle brèche révélée
Dans ce contexte déjà tendu, Amélie Verdier a rendu publique une troisième brèche dans les systèmes de son administration, détectée le 17 août 2026 et bloquée dans la foulée. Le pirate a eu accès à l’historique des demandes réalisées par des particuliers "sur un portail public où tout un chacun qui a une créance vis-à-vis d’une personne décédée peut vérifier s’il peut se retourner contre un héritier ou s’il s’agit d’une succession vacante".
Concernant la fuite de données fiscales, Amélie Verdier a confirmé la cinématique de la cyberattaque : des accès du pirate en juin et juillet, coupés rapidement sans que les enquêtes internes n’aient détecté la fuite. Elle a précisé que le pirate a récupéré les identifiants d’un agent du fisc ainsi qu’un "accès externe", qu’il a combinés pour rentrer dans les systèmes de la DGFiP. Il a ensuite fait "des tests manuels" pour extraire des données avant d’automatiser son travail tout en restant "sous notre seuil" de détection. La fuite n’a pas été détectée par la direction générale des finances publiques avant les revendications du pirate le 12 août.
Réactions et attentes
Les mesures d’urgence annoncées ne suffisent pas à rassurer tous les acteurs. "Les mesures d’urgence annoncées vont dans le bon sens, mais restent insuffisantes", juge Sandra Demarcq, secrétaire générale du syndicat Solidaires-Finances publiques. "Communiquer n’est pas sécuriser, ajoute-t-elle. Il n’y a pas de formule magique, il faut d’urgence donner de véritables moyens humains et financiers à la DGFiP pour protéger les données personnelles des contribuables et exercer l’ensemble de nos missions."
Sur le plan politique, le président de la commission des finances du Sénat, Claude Raynal (Parti socialiste, Haute-Garonne), et le rapporteur général du budget, Jean-François Husson (Les Républicains, Meurthe-et-Moselle), ont réclamé un "état des lieux précis de la situation" et le détail des "mesures correctives et structurelles engagées ou prévues pour renforcer la sécurité des systèmes d’information de la DGFiP, leur calendrier de mise en œuvre et les moyens qui leur seront consacrés" pour le 24 août.