Une cyberattaque ayant visé les serveurs de l’administration fiscale cet été a touché moins de 1 % des contribuables. Selon Ouest France, l’établissement public a confirmé le 3 septembre 2026 avoir identifié une faille dans ses systèmes, tout en précisant le nombre de comptes compromis par département, dont ceux des Pays de la Loire. L’institution a présenté des excuses officielles aux usagers concernés, qualifiant la situation d’« inacceptable ».

Ce qu'il faut retenir

  • 0,8 % des utilisateurs du fisc ont été exposés lors de la cyberattaque de l’été 2026, selon les dernières estimations d’Ouest France.
  • L’administration a reconnu une faute dans la gestion de la sécurité de ses données.
  • Les chiffres départementaux des comptes compromis dans les Pays de la Loire ont été rendus publics.
  • L’institution a présenté des excuses officielles aux contribuables concernés.
  • La révélation intervient après une période de silence de plusieurs semaines sur l’ampleur réelle de l’incident.

Un taux d’exposition limité mais des comptes compromis dans toute la France

L’administration fiscale a indiqué, à travers un communiqué diffusé ce 3 septembre, que 0,8 % des usagers du service en ligne avaient vu leurs données personnelles potentiellement exposées lors de l’attaque informatique survenue entre juin et août 2026. Si le chiffre peut sembler faible, il représente tout de même plusieurs dizaines de milliers de contribuables sur l’ensemble du territoire, souligne l’article d’Ouest France. Les services concernés incluent notamment la déclaration en ligne, le paiement des impôts ou encore l’accès au compte fiscal personnel.

Les investigations menées par l’administration et des experts en cybersécurité ont permis de déterminer que la faille exploitée par les pirates provenait d’une négligence dans la configuration d’un serveur dédié aux échanges avec les particuliers. Cette erreur a ouvert une brèche pendant plusieurs semaines avant d’être détectée et colmatée. « On ne tourne pas autour du pot, c’est inacceptable », a déclaré un haut responsable de l’administration sous couvert d’anonymat, cité par Ouest France. L’institution a immédiatement pris des mesures correctives pour renforcer ses protocoles de sécurité.

Les Pays de la Loire dans le viseur : combien de comptes exposés ?

Côté régional, l’administration fiscale des Pays de la Loire a communiqué des chiffres précis concernant les départements touchés. Selon ses données, 427 comptes ont été compromis dans la Loire-Atlantique, 289 en Maine-et-Loire, 156 en Mayenne, 134 en Sarthe et 98 en Vendée. Ces chiffres, bien que détaillés par territoire, ne permettent pas de savoir si des données sensibles (numéros de sécurité sociale, relevés d’imposition, coordonnées bancaires) ont effectivement été dérobées. L’administration a précisé qu’elle procédait actuellement à un audit complet pour évaluer l’étendue des préjudices.

Les contribuables concernés par cette fuite doivent désormais surveiller leurs relevés bancaires et signaler toute anomalie à leur centre des finances publiques. « Nous allons contacter directement chaque usager dont les données ont été potentiellement exposées », a indiqué un porte-parole de la direction régionale, joint par Ouest France. Les modalités de cette prise de contact n’ont pas encore été précisées.

Et maintenant ?

Pour les semaines à venir, l’administration fiscale doit publier un rapport détaillé sur les causes de la faille et les mesures prises pour éviter une répétition de l’incident. Une réunion avec la Commission nationale de l’informatique et des libertés (CNIL) est également prévue d’ici la fin du mois de septembre, afin de déterminer si des sanctions administratives doivent être engagées à l’encontre de l’établissement. Par ailleurs, les associations de consommateurs pourraient demander des éclaircissements sur les garanties offertes aux victimes potentielles.

Des excuses officielles, mais une crédibilité à reconstruire

Face à la polémique suscitée par cette cyberattaque, l’administration fiscale a choisi de présenter des excuses publiques. « Nous sommes désolés pour cette situation et nous nous engageons à réparer ce préjudice », a affirmé la direction générale des finances publiques dans un communiqué. L’institution a également annoncé la mise en place d’un numéro vert dédié aux contribuables inquiets, accessible depuis ce 3 septembre. Les réactions des associations de défense des droits numériques restent cependant mesurées. « Une erreur de sécurité, même mineure, ne devrait jamais exposer les données des citoyens », a réagi Me Sophie Laurent, avocate spécialisée en droit du numérique.

Bref, si l’administration tente de tourner la page, la question de la confiance des usagers dans la protection de leurs données reste entière. L’enquête administrative en cours devra établir si des responsabilités individuelles pourront être engagées au sein des services informatiques de l’État.

Selon l’administration fiscale, les pirates ont pu accéder à des informations telles que les numéros de sécurité sociale, les adresses électroniques, les coordonnées bancaires (RIB) et les montants des déclarations d’impôts. Cependant, l’étendue exacte des données dérobées n’a pas encore été communiquée.