Blog technopolitique

Piratage du fisc : quand la cyberattaque devient une affaire d'État

19 août 2026·cybersecuriteetatsouverainete-numeriquedileviathan

Le 14 août 2026, l'administration fiscale reconnaissait une intrusion dans ses systèmes. Quelques heures plus tard, le chiffre tombait : près de 700 000 particuliers et professionnels étaient concernés, selon la Direction générale des finances publiques (DGFiP). Dans la journée, le Premier ministre Sébastien Lecornu annonçait une cellule interministérielle de crise (CIC), le parquet de Paris ouvrait une enquête pour extraction frauduleuse de données et association de malfaiteurs. En trois jours, un incident technique était devenu une affaire d'État. Et la question que personne ne formule tout à fait est celle que le roman Diléviathan pose depuis le début : que reste-t-il d'un État dont les organes vitaux sont exposés ?

Une attaque massive, une réponse graduée

Les faits dessinent une opération d'envergure. L'intrusion a permis aux attaquants d'accéder aux données de 678 000 usagers, un chiffre que la DGFiP a communiqué avec prudence. Les comptes en ligne des contribuables n'auraient pas été compromis, mais les données exposées sont sensibles : état civil, adresses, revenus, coordonnées bancaires.
La réponse de l'exécutif suit une doctrine désormais rodée : détecter et interrompre, poursuivre, informer, renforcer. Dépôt de plainte, notification à la Commission nationale de l'informatique et des libertés (CNIL), information individuelle des victimes à compter du 17 août. Derrière la communication, la CIC devait préparer la notification et faire le point sur le plan de sécurisation des administrations lancé le 30 avril, autour d'une nouvelle gouvernance numérique de l'État.

Le fantôme dans la machine

C'est ici que le roman éclaire l'actualité. Dans Diléviathan, le chapitre Le Fantôme dans la Machine décrit un État dont les systèmes sont devenus si interconnectés que personne ne sait plus où s'arrête le contrôle légitime et où commence la surveillance. La cyberattaque contre la DGFiP est une matérialisation brutale de cette intuition : l'administration fiscale, qui centralise ce que la puissance publique sait de chacun, est à la fois la machine la plus puissante et la plus exposée de l'État.
Asma Mhalla, politologue spécialiste du numérique, analyse cette contradiction dans son livre Technopolitique : comment la technologie fait de nous des soldats. Elle décrit les infraSystèmes, ces infrastructures invisibles (clouds, réseaux, capteurs) sur lesquelles repose la souveraineté moderne. L'État français y est présenté comme un géant aux fondations fragiles : il a délégué à des opérateurs privés une partie de ses infrastructures critiques, et se retrouve dépendant de systèmes qu'il ne contrôle pas entièrement.
La thèse de Mhalla rejoint la question posée par le roman : la technologie fait de nous des soldats, souvent sans que nous le sachions. Quand la DGFiP est piratée, ce ne sont pas seulement 678 000 citoyens qui sont exposés, c'est la démonstration que l'État numérique est une forteresse dont les murs sont en carton.

La question politique ne tarde pas

Les sénateurs socialistes ont demandé une commission d'enquête parlementaire dès dimanche. Leur argument : la succession d'incidents récents incite à vérifier l'existence de vulnérabilités communes entre administrations. C'est une manière de poser la question que l'exécutif préfère éviter : pourquoi l'État, qui centralise les données les plus sensibles de la nation, se retrouve-t-il régulièrement en position de victime annoncée ?
Depuis la multiplication des attaques contre les collectivités, les hôpitaux et les administrations centrales, la France a créé des outils, des agences, des plans. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) intervient, Viginum surveille les ingérences, le plan de sécurisation d'avril devait donner un cap. Le piratage de la DGFiP interroge pourtant l'écart entre l'annonce politique et la réalité des systèmes d'information publics. Comme dans le roman, où les promesses de transparence se heurtent à la matérialité des machines, l'écart entre le discours et l'infrastructure finit toujours par se payer.

Capitalisme de surveillance et résilience

La question des données fiscales rejoint directement l'analyse de Shoshana Zuboff dans L'âge du capitalisme de surveillance. Zuboff montre que la valeur ne réside plus seulement dans les données elles-mêmes, mais dans la capacité à les prédire et à les exploiter. Une base de données fiscales piratée est une mine d'or pour ceux qui savent la croiser avec d'autres sources : les algorithmes de prédiction, comme ceux que décrit Zara dans Diléviathan au chapitre Le Miroir Brûlant, transforment les données de navigation, les recherches, les likes en prédictions comportementales. Ce que Zara révèle à Gabriel, les assurances l'achetaient : les algorithmes prédisaient les crises de santé mentale, les dépressions, les burn-out, et ajustaient les primes en conséquence.
La leçon est directe : les données fiscales ne valent pas seulement par ce qu'elles contiennent, mais par ce qu'elles permettent de prédire une fois croisées. C'est pourquoi la réponse à la cyberattaque ne peut pas être seulement technique. Elle suppose une réflexion sur ce que l'État doit conserver comme données, sur les mécanismes de partage avec les acteurs privés, et sur la capacité des citoyens à comprendre ce qui circule à leur insu.

Ce que cela change pour le citoyen

Pour les 678 000 personnes concernées, les prochains mois seront faits de courriers, de surveillances de comptes, d'incertitudes sur l'usage de leurs données. Le risque de fraude au faux conseiller va s'accroître : les attaquants disposent d'éléments précis pour personnaliser leurs tentatives. C'est le moment où la vulnérabilité technique devient vulnérabilité sociale.
Au-delà des victimes directes, c'est la confiance dans la dématérialisation des services publics qui est en jeu. Alors que l'État pousse à la dématérialisation de l'impôt, de la santé, des démarches administratives, chaque incident nourrit une suspicion légitime. La cybersécurité publique a besoin de continuité, pas de communication.
La commission d'enquête, si elle aboutit, aura un vrai sujet : cartographier les vulnérabilités communes, évaluer l'efficacité du plan d'avril, déterminer qui, dans l'État, est réellement responsable de la sécurité des données des citoyens. Mais la réponse ne peut pas se limiter à des enveloppes supplémentaires annoncées après chaque incident. Elle suppose une prise de conscience que la souveraineté numérique n'est pas un supplément d'âme, mais la condition de la souveraineté tout court.
Ce qu'il faut retenir :

la souveraineté numérique est la condition de la souveraineté tout court
les données fiscales valent par ce qu'elles permettent de prédire une fois croisées
la réponse doit être structurelle, pas communicationnelle

La question n'est pas de savoir si l'État sera attaqué à nouveau. Elle est de savoir si, comme Gabriel dans le roman, il apprendra à voir le fantôme dans sa propre machine avant qu'il ne soit trop tard.