© HJBC / Shutterstock.com
Ce qu'un inconnu peut lire sur vos revenus
Nom, adresse, téléphone, courriel : une fuite de plus, vous diriez-vous, et vous auriez presque raison... Mais les enregistrements mis en vente depuis mercredi vont beaucoup plus loin. Ils portent aussi le revenu fiscal de référence, le taux de prélèvement à la source, la situation familiale et le nombre de parts. Le fichier ne dit pas seulement qui vous êtes : il dit ce que vous touchez, avec qui vous vivez, et ce que l'administration retient chaque mois sur ce que vous gagnez. Rien que ça !
Une intrusion en juin, une revendication an Aout
Reprenons la chronologie, parce que c'est elle qui pose problème.
Le 12 août, un individu qui se fait appeler ZeroBytes publie sur un forum de revente de données une revendication visant les systèmes liés à impots.gouv.fr. Il affirme y être entré le 26 juin, avoir progressé jusqu'à un accès VPN, puis s'être servi d'un outil interne de recherche sur les particuliers et les professionnels. Il dit avoir aspiré les informations jusqu'à ce que sa connexion soit coupée. Le lot annoncé compte 678 438 lignes.
D'après le décompte de FrenchBreaches, 678 437 personnes seraient concernées, dont 392 867 particuliers et 285 570 professionnels. Or une ligne n'est pas une personne : un même contribuable peut y apparaître plusieurs fois, et le nombre réel de foyers touchés reste inconnu.
La direction générale des Finances publiques n'a ni confirmé ni démenti, et aucun communiqué officiel n'est publié à l'heure où j'écris ces lignes.
Le 12 août, un individu qui se fait appeler ZeroBytes publie sur un forum de revente de données une revendication visant les systèmes liés à impots.gouv.fr. Il affirme y être entré le 26 juin, avoir progressé jusqu'à un accès VPN, puis s'être servi d'un outil interne de recherche sur les particuliers et les professionnels. Il dit avoir aspiré les informations jusqu'à ce que sa connexion soit coupée. Le lot annoncé compte 678 438 lignes.
D'après le décompte de FrenchBreaches, 678 437 personnes seraient concernées, dont 392 867 particuliers et 285 570 professionnels. Or une ligne n'est pas une personne : un même contribuable peut y apparaître plusieurs fois, et le nombre réel de foyers touchés reste inconnu.
La direction générale des Finances publiques n'a ni confirmé ni démenti, et aucun communiqué officiel n'est publié à l'heure où j'écris ces lignes.
Le taux prélevé chaque mois parle pour vous
Venons-en à votre situation.
Que vous touchiez un salaire ou une pension, celui qui vous paie ne choisit pas ce qu'il prélève : il applique un taux que l'administration fiscale lui transmet, et ce taux s'affiche chaque mois sur votre bulletin. C'est exactement le champ qui figure dans l'échantillon, aux côtés du revenu fiscal de référence, du nombre de parts et de la situation familiale. Un taux personnalisé et un nombre de parts suffisent à reconstituer un ordre de grandeur de revenu, et la case situation familiale indique si vous vivez seul.
Le détail des revenus éclaire ce que recherche l'acheteur d'un tel fichier. Parmi les particuliers recensés, 26 805 déclarent un revenu fiscal de référence égal ou supérieur à 100 000 euros, 386 dépassent le million et huit dépassent dix millions. Rapporté aux 392 867 particuliers annoncés, cela fait environ un dossier sur quinze au-dessus de 100 000 euros, une densité qui explique le prix réclamé, plusieurs milliers d'euros.
Reste que le danger ne se concentre pas sur les hauts revenus, et c'est le point que je veux souligner : un revenu modeste, une seule part, une adresse en province : ce trio dessine un profil au moins aussi exploitable, parce qu'il désigne quelqu'un qui vit seul avec des ressources connues au centime. La CNIL le formule sans détour dans sa fiche consacrée aux fuites de données : les personnes âgées figurent parmi les publics qu'il faut alerter en priorité, parce que le message frauduleux qui les vise s'appuie sur des informations exactes.
Que vous touchiez un salaire ou une pension, celui qui vous paie ne choisit pas ce qu'il prélève : il applique un taux que l'administration fiscale lui transmet, et ce taux s'affiche chaque mois sur votre bulletin. C'est exactement le champ qui figure dans l'échantillon, aux côtés du revenu fiscal de référence, du nombre de parts et de la situation familiale. Un taux personnalisé et un nombre de parts suffisent à reconstituer un ordre de grandeur de revenu, et la case situation familiale indique si vous vivez seul.
Le détail des revenus éclaire ce que recherche l'acheteur d'un tel fichier. Parmi les particuliers recensés, 26 805 déclarent un revenu fiscal de référence égal ou supérieur à 100 000 euros, 386 dépassent le million et huit dépassent dix millions. Rapporté aux 392 867 particuliers annoncés, cela fait environ un dossier sur quinze au-dessus de 100 000 euros, une densité qui explique le prix réclamé, plusieurs milliers d'euros.
Reste que le danger ne se concentre pas sur les hauts revenus, et c'est le point que je veux souligner : un revenu modeste, une seule part, une adresse en province : ce trio dessine un profil au moins aussi exploitable, parce qu'il désigne quelqu'un qui vit seul avec des ressources connues au centime. La CNIL le formule sans détour dans sa fiche consacrée aux fuites de données : les personnes âgées figurent parmi les publics qu'il faut alerter en priorité, parce que le message frauduleux qui les vise s'appuie sur des informations exactes.
Quarante-huit jours de silence, et rien dans votre courrier ni boite mail
Le calendrier des évènements soulève une seconde question.
Si la connexion du pirate a bien été coupée le 26 juin comme il l'affirme, une anomalie a été repérée à cette date. Nous sommes le 13 août, soit quarante-huit jours plus tard. Le règlement européen impose de notifier la CNIL dans les soixante-douze heures suivant la connaissance d'une violation, et d'informer les personnes concernées lorsque le risque est élevé. Rapporté à ce plafond, le temps écoulé le dépasse seize fois.
Ce calcul ne prouve rien à lui seul, et la notification a pu partir sans publicité. En revanche, il mesure ce que vous vivez depuis le 26 juin : rien. En février, l'administration fiscale avait pris la parole et écrit aux personnes concernées après le pillage du fichier des comptes bancaires. Cette fois, votre boîte aux lettres est restée vide et votre espace en ligne ne signale toujours rien.
Si la connexion du pirate a bien été coupée le 26 juin comme il l'affirme, une anomalie a été repérée à cette date. Nous sommes le 13 août, soit quarante-huit jours plus tard. Le règlement européen impose de notifier la CNIL dans les soixante-douze heures suivant la connaissance d'une violation, et d'informer les personnes concernées lorsque le risque est élevé. Rapporté à ce plafond, le temps écoulé le dépasse seize fois.
Ce calcul ne prouve rien à lui seul, et la notification a pu partir sans publicité. En revanche, il mesure ce que vous vivez depuis le 26 juin : rien. En février, l'administration fiscale avait pris la parole et écrit aux personnes concernées après le pillage du fichier des comptes bancaires. Cette fois, votre boîte aux lettres est restée vide et votre espace en ligne ne signale toujours rien.
L'appel qui cite votre revenu au centime près
L'usage de ces données est connu, et il ne passe pas par votre compte en banque.
Un escroc qui dispose de votre nom, de votre revenu de référence et d'une démarche que vous avez réellement faite peut écrire un message qu'aucun réflexe ordinaire ne distingue d'un courrier officiel. Le faux remboursement, la régularisation inventée, l'appel du prétendu conseiller : ces scénarios reposaient sur du bluff, ils reposent désormais sur des faits exacts.
Les chiffres publiés par Cybermalveillance.gouv.fr dans son rapport d'activité 2025 donnent l'ampleur du phénomène : l'hameçonnage est devenu la première menace pour les particuliers, en hausse de 71 % sur un an, et les demandes liées aux violations de données ont plus que doublé. Une fuite alimente une vague de faux messages deux à trois mois plus tard. Nous y sommes.
D'ailleurs, si vous cliquez et que l'argent part, l'addition reste pour vous.
La Cour de cassation a jugé en janvier 2025 que cliquer sur un lien d'hameçonnage constitue une négligence grave au sens de l'article L133-19 du code monétaire et financier, ce qui autorise "théoriquement" votre banque à refuser le remboursement. N'oubliez pas cependant que la jurisprudence tempère ce jugement en rappelant que la négligence ne se présume pas et que c'est à la banque de la prouver.
Un escroc qui dispose de votre nom, de votre revenu de référence et d'une démarche que vous avez réellement faite peut écrire un message qu'aucun réflexe ordinaire ne distingue d'un courrier officiel. Le faux remboursement, la régularisation inventée, l'appel du prétendu conseiller : ces scénarios reposaient sur du bluff, ils reposent désormais sur des faits exacts.
Les chiffres publiés par Cybermalveillance.gouv.fr dans son rapport d'activité 2025 donnent l'ampleur du phénomène : l'hameçonnage est devenu la première menace pour les particuliers, en hausse de 71 % sur un an, et les demandes liées aux violations de données ont plus que doublé. Une fuite alimente une vague de faux messages deux à trois mois plus tard. Nous y sommes.
D'ailleurs, si vous cliquez et que l'argent part, l'addition reste pour vous.
La Cour de cassation a jugé en janvier 2025 que cliquer sur un lien d'hameçonnage constitue une négligence grave au sens de l'article L133-19 du code monétaire et financier, ce qui autorise "théoriquement" votre banque à refuser le remboursement. N'oubliez pas cependant que la jurisprudence tempère ce jugement en rappelant que la négligence ne se présume pas et que c'est à la banque de la prouver.
Sur le même sujet :
Impôts : ce faux mail à 219 € de remboursement cache un piège
Impôts : ce faux mail à 219 € de remboursement cache un piège
Ce qui protège votre argent d'ici lundi
Alors que faire, sans attendre un communiqué qui ne vient pas ?
Tant que l'administration se tait, le seul terrain sur lequel vous gardez la main reste celui de vos réflexes, et il vaut mieux qu'un courrier qui n'arrive pas.
- Ne cliquez sur aucun lien reçu par courriel ou par SMS au nom des impôts, et tapez vous-même impots.gouv.fr dans votre navigateur : un remboursement dû s'affiche dans votre espace, il ne se réclame jamais par message.
- Vérifiez ensuite, dans ce même espace, rubrique « Autres services », la liste des comptes ouverts à votre nom au fichier des comptes bancaires.
- Demandez enfin à votre banque d'activer la liste blanche des créanciers autorisés, qui fait rejeter tout prélèvement venu d'ailleurs.
Tant que l'administration se tait, le seul terrain sur lequel vous gardez la main reste celui de vos réflexes, et il vaut mieux qu'un courrier qui n'arrive pas.
