Piratage de la DGFiP : des centaines de victimes attaquent l’État en justice

Depuis lundi, l’État fait face à une action collective. En effet, l’avocat au barreau de Béziers spécialisé en protection des données personnelles, Me Jérémy Roche, a annoncé sur franceinfo que « plusieurs centaines de personnes » victimes du piratage des impôts de cet été ont rejoint cette démarche. L’objectif : obtenir réparation des préjudices subis.

L’action s’appuie sur l’article 82 du RGPD, en vigueur depuis 2018 : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut réclamer réparation au responsable du traitement, ici l’État. Un fondement encore peu mobilisé en France pour les fuites massives, que le cabinet veut faire valoir devant la justice administrative.

Pour rappel, la DGFiP a confirmé le 14 août deux intrusions, survenues fin juin et fin juillet, avec le vol de données touchant au moins 678 000 particuliers et professionnels.

Entre la première intrusion, fin juin, et l’annonce publique du 14 août, près de sept semaines se sont écoulées. Et la DGFiP n’a communiqué qu’au lendemain de la revendication du pirate. Ce délai, autant que la fuite elle-même, pèse dans le débat sur la responsabilité de l’État.

Les données exposées concernent les noms, adresses, revenus fiscaux ou encore les quotients familiaux. Autant d’informations permettant de monter des arnaques crédibles, voire des cambriolages.

Des victimes qui se sentent en danger

Pour rejoindre l’action, il faut avoir vraiment été victime de la fuite. La plupart des personnes concernées invoquent au moins un préjudice moral, explique l’avocat. Certaines se sentent carrément en danger, notamment des professions sensibles dont l’adresse et la situation familiale se retrouvent exposées. D’autres ont déjà reçu des tentatives d’arnaque.

Autre point concret, les frais de sécurisation. « Si au vu de votre situation, vous arrivez à démontrer que vous avez dû installer une alarme, des caméras, etc., vous pouvez en théorie envoyer la facture effectivement à l’État », précise l’avocat.

Le fisc, loin d’être le seul visé

Ce piratage n’a rien d’un cas isolé malheureusement. La DGFiP avait déjà été la cible d’un piratage exposant plus d’un million d’IBAN. En outre, l’Éducation nationale a connu sa troisième fuite de l’année 2026, avec 1,22 million d’élèves concernés. De son côté, le Premier ministre Sébastien Lecornu a réuni une cellule de crise.

Dans le cadre d’un exposé des motifs d’une proposition de commission d’enquête, le Sénat affirme que la France est devenue le deuxième pays le plus piraté au monde en 2026, et le premier en Europe.

Pour les 678 000 victimes, l’action collective ne rendra pas les données volées. Elle permet en revanche de mettre l’État face à ses responsabilités et, peut-être, d’accélérer la mise en place de mesures essentielles pour remettre la sécurité des plateformes au niveau et restaurer un minimum de confiance auprès des citoyens et citoyennes.

Les bons réflexes en cas de piratage

Si vous avez été victime d’un piratage ou d’une fuite de données, quelques bonnes pratiques sont à garder en tête pour mieux vous protéger. Frandroid en a fait une liste :

• Changer sans attendre les mots de passe des comptes concernés ;
• En profiter pour changer aussi les mots de passe identiques ou similaires sur d’autres services ;
• Utiliser des mots de passe uniques et solides (avec, pourquoi pas, un gestionnaire de mots de passe) ;
• Activer la double authentification (2FA) partout où c’est possible ;
• Activer les Passkeys quand c’est possible ;
• Dans les semaines à venir, se méfier des emails, SMS ou appels suspects, même s’ils semblent crédibles ;
• Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
• Prévenir ses contacts si le piratage peut les concerner ;
• Mettre à jour ses appareils et logiciels pour corriger d’éventuelles failles de sécurité ;
• En cas de virements frauduleux, faire un signalement sur la plateforme Perceval.