NATION - Fuites de données publiques :

En moins de deux semaines, six organismes liés à l’État ont admis ou vu se confirmer des compromissions de données : impôts, cadastre, Bloctel, I-CAD, Santé publique France. Au même moment, l’exécutif s’apprête à imposer la vérification d’âge sur les réseaux sociaux et la facturation électronique généralisée. Ouaf, ouaf !

Six fuites en quinze jours, deux nouvelles obligations numériques dans les tuyaux : l’addition résume, à elle seule, le paradoxe d’une politique publique qui exige toujours plus de données des citoyens sans parvenir à protéger celles qu’elle détient déjà.

678 000 contribuables exposés, deux mois de silence

Le 26 juin 2026, un pirate se présentant sous le pseudonyme ZeroBytes affirme avoir pénétré les systèmes internes liés à impots.gouv.fr. Selon son récit, une usurpation d’identifiants professionnels lui aurait permis d’accéder à un VPN puis à un outil de recherche interne, avant que sa connexion ne soit coupée. Le butin annoncé : 678 438 lignes de données, correspondant à 678 437 personnes selon le site spécialisé FrenchBreaches, dont environ 393 000 particuliers et 286 000 professionnels.
Les échantillons consultés par plusieurs médias spécialisés font état d’un niveau de détail inhabituel : état civil complet, adresse, téléphone, courriel, mais aussi revenu fiscal de référence, taux de prélèvement à la source et situation familiale. Un assemblage de données qui, selon les spécialistes, rend les tentatives de phishing ciblé particulièrement crédibles.
La revendication n’a été rendue publique par le pirate que le 12 août, soit près d’un mois et demi après les faits. Le ministère de l’Économie a confirmé l’intrusion dès le lendemain, 13 août, via un communiqué évoquant un « accès illégitime » au système d’information de la DGFiP.

Une seconde fuite cadastrale, deux millions de propriétaires concernés

Le rythme s’est encore accéléré : moins de 48 heures après cette première confirmation, le même ZeroBytes a revendiqué une seconde intrusion, distincte, visant cette fois le Serveur professionnel de données cadastrales (SPDC) de la DGFiP. Cette attaque remonterait au 29 juillet 2026 — soit un mois après la première, mais rendue publique dans la foulée de celle-ci.
Le pirate affirme avoir extrait 252 149 lignes, représentant, une fois les doublons de parcelles pris en compte, environ 2,04 millions de titulaires : noms, dates et lieux de naissance, adresses, identifiants fonciers et références de parcelles cadastrales. Il assure avoir lui-même interrompu l’extraction, évoquant un système pouvant contenir des informations sur des millions de citoyens supplémentaires — une affirmation qui, comme les précédentes, reste à ce stade non vérifiée de façon indépendante.

Bloctel : la fin en beauté d’un service censé protéger du démarchage

Le 11 août 2026, jour même de sa fermeture officielle après dix ans d’existence, Bloctel a vu ses fichiers compromis. Le gouvernement a confirmé le vol de trois millions de numéros de téléphone appartenant à des personnes inscrites sur la liste d’opposition au démarchage téléphonique. Selon les informations recueillies par FrenchBreaches, un compte professionnel aurait été détourné pour télécharger les fichiers, sans authentification à deux facteurs pour protéger l’accès.
L’ironie n’a échappé à personne : les numéros dérobés sont précisément ceux de Français ayant demandé à ne plus être sollicités, et qui pourraient désormais alimenter les campagnes de démarchage et d’arnaques par SMS qu’ils cherchaient à fuir.

I-CAD : une faille vieille d’un an, révélée par les victimes de phishing

Autre dossier révélateur : celui du fichier national d’identification des chiens, chats et furets, I-CAD, géré par la société Ingenium Animalis et qui recense plus de 46 millions d’animaux en France. Une vulnérabilité permettant l’interrogation automatisée de la base a été découverte en interne dès septembre 2025.
Ce n’est que le 10 août 2026 — près d’un an plus tard — que l’organisme a communiqué publiquement, après que des propriétaires d’animaux ont commencé à recevoir des courriels de phishing exploitant leurs données. Selon Ingenium Animalis, seules des adresses e-mail seraient concernées, et aucun lien formel n’est établi entre la faille de 2025 et les campagnes de phishing actuelles — mais l’hypothèse n’est pas exclue. Le délai de communication est justifié par « l’impossibilité technique de notifier individuellement l’ensemble des usagers ».

Santé publique France : 80 000 contacts chez un prestataire

Le 13 août, Santé publique France a confirmé qu’un prestataire hébergeant l’une de ses plateformes — moncoupon.santepubliquefrance.fr, dédiée aux commandes de documents de prévention — avait été victime d’une cyberattaque. Environ 80 000 personnes seraient concernées par la fuite de données de contact : noms, adresses postales, téléphones, e-mails, ainsi que des informations sur les structures et catégories professionnelles des usagers. L’agence précise qu’aucune donnée de santé n’est concernée et que l’incident est indépendant de ses autres sites.

Vérification d’âge et facturation électronique : la centralisation continue

Ces révélations tombent alors que de nouvelles obligations numériques doivent entrer en vigueur dans les prochaines semaines. Fin août, les plateformes de réseaux sociaux devront mettre en place une vérification de l’âge des utilisateurs, via un scan de pièce d’identité ou le dispositif France Identité. Le 1er septembre, la généralisation de la facturation électronique entre entreprises entre dans sa première phase obligatoire, sous peine de sanctions pour les sociétés non conformes.
Pour les défenseurs de ces réformes, il s’agit de mesures de protection des mineurs et de modernisation fiscale. Pour leurs critiques, elles imposent un accroissement du volume de données personnelles sensibles centralisées par des tiers publics ou privés, au moment même où l’État peine à démontrer sa capacité à sécuriser les fichiers déjà existants.

Un scénario qui se répète

D’un dossier à l’autre, la mécanique est similaire : intrusion ou faille découverte discrètement, silence de plusieurs semaines à plusieurs mois, communication tardive déclenchée par la pression médiatique ou par les premières victimes de phishing, minimisation du périmètre exact, et promesse que « les usagers seront informés ». La Commission nationale de l’informatique et des libertés (CNIL) a par ailleurs enregistré en 2025 un nombre record de notifications de violations de données en France, confirmant une tendance de fond plutôt qu’une série d’incidents isolés.

Ce qu’il faut retenir

DGFiP (impôts) : 678 438 lignes, ~678 000 contribuables, intrusion du 26 juin, confirmée le 13 août.

DGFiP (cadastre) : seconde intrusion du 29 juillet, ~2,04 millions de propriétaires concernés.

Bloctel : 3 millions de numéros de téléphone volés le jour de sa fermeture, le 11 août.

 I-CAD : faille de septembre 2025, révélée le 10 août 2026 après des campagnes de phishing.

Santé publique France : 80 000 contacts exposés chez un prestataire, confirmé le 13 août.

À venir : vérification d’âge sur les réseaux sociaux (fin août) et facturation électronique obligatoire (1er septembre).

Note de rédaction : les volumes et circonstances précises des intrusions reposent, pour partie, sur les revendications des auteurs présumés et sur les recoupements opérés par des médias spécialisés en cybersécurité (FrenchBreaches, notamment). Seules les confirmations officielles de la DGFiP, de Bloctel et de Santé publique France ont, à ce stade, été rendues publiques par les organismes eux-mêmes.

Emilien Lacombe