L’État édite des listes pour criminel

Depuis la mi-août, un fichier circule sur les forums de cybercriminalité : 678 000 contribuables français, revenus et adresses compris. Tout droit tiré des serveurs des impôts. Dans le pays qui détient déjà le record du monde des enlèvements de détenteurs de cryptomonnaies, je pèse mes mots : l'État vient de fabriquer la liste de courses des ravisseurs. Il faut regarder cette faillite en face. Et en tirer les conséquences pour son propre patrimoine.

Le vendeur opère sous le pseudo ZeroBytes. Mi-août, il a mis en vente sur un forum spécialisé une base de 678 438 lignes aspirées depuis impots.gouv.fr : environ 393 000 particuliers et 285 000 professionnels. Pour chaque ligne, le nom, l'adresse, le RIB, le numéro fiscal, le revenu de référence, le taux de prélèvement, la composition du foyer. Bercy a confirmé l'intrusion le lendemain de la mise en vente, 7 semaines après les faits, survenus fin juin. Dans le lot, plus de 26 000 foyers déclarent au-dessus de 100K€ de revenus, 386 dépassent le million de revenus annuel, 8 dépassent les 10M€. Avec l'adresse en face. Et ce n'était pas un coup d'essai : le cadastre et des données sur les successions y sont également passés.

Mi-2025 déjà, une agente des finances publiques de Bobigny a été mise en examen pour avoir consulté depuis son poste l'outil interne qui agrège adresses, patrimoine et déclarations des contribuables, au profit d'une bande de ravisseurs présumés. L'administration savait donc, un an avant la fuite, que ses fichiers servaient à cibler des victimes. Elle a continué à tout centraliser. Tout croiser. Tout conserver. En exigeant chaque année toujours plus de détails sous peine de sanction.

Ce fichier a un marché, et il est physique. Depuis début 2025, la France a recensé près de 50 attaques contre des détenteurs de cryptos, dont des séquestrations et des enlèvements. Un record mondial. David Balland, cofondateur de Ledger, enlevé avec sa femme. Un doigt sectionné. Le père d'un entrepreneur crypto, embarqué en plein jour dans une camionnette, retrouvé mutilé lui aussi. La fille d'un autre patron de plateforme, victime d'une tentative d'enlèvement en pleine rue. Le gros du travail, pour ces équipes, a toujours été le repérage : savoir qui détient quoi, et qui dort où. Il est désormais accessible à n’importe qui.

Et les fichiers fiscaux ne sont qu'un rayon du supermarché. France Titres, le portail qui gère cartes d'identité, passeports et permis de conduire, a été forcé au printemps : 11,7M de comptes, près d'1 Français sur 6. France Travail, il y a deux ans : 43M d'inscrits exposés. Le fichier national des comptes bancaires, pillé en début d'année : 1,2M de comptes. Au total : 6 intrusions majeures dans les administrations en 9 mois, plus de 300 systèmes piratés et 250M de données exposées depuis janvier. Record d'Europe. Mises bout à bout, ces bases couvrent la quasi-totalité de la population. Le criminel de 2026 ne pirate plus, il fait ses courses. Il choisit son enseigne selon l'institution qu'il veut usurper : le fisc, France Travail, la banque. Il choisit son rayon selon la victime : une arnaque aux allocations pour les uns, un faux remboursement de crédit d'impôt pour les autres. Et, pour qui préfère se déplacer, l'adresse du domicile quand le magot vaut le coup.

Un contribuable qui oublie une ligne prend 10% de majoration. 40% en cas de manquement délibéré, 80% pour manœuvre frauduleuse. L'administration qui laisse partir les revenus, les adresses et les comptes de 678 000 personnes convoque une cellule de crise, envoie un courriel type et publie une foire aux questions. Personne ne démissionne. Aucune responsabilité ne remonte. Je ne crois plus à la thèse de l'accident. La machine sait tout exiger, mais elle ne sait rien protéger.

Les crypto-fortunés ont essuyé les plâtres. 18 mois d'attaques leur ont appris à dissocier l'adresse administrative du domicile, à loger le patrimoine dans des structures, à effacer les traces publiques, à budgéter la sécurité physique comme une assurance. Ce réflexe de milliardaire paranoïaque devient une hygiène de base, parce que le fichier fiscal ne trie pas par classe d'actifs : les 386 lignes au-dessus du million, c'est d'abord le patron d'une grosse PME de province, le cadre dirigeant d'une boîte cotée, le médecin associé, des gens qui n'ont jamais affiché un portefeuille en ligne. Le grand banditisme français connaît déjà ce type de cible : le baron Empain, patron enlevé en 1978, y a laissé un doigt.

Mais quelques jours après cet énorme leak, c’est la base de l'Éducation nationale qui a été aspirée par le même vendeur. Des millions de profs. Mais aussi 1,2M d'élèves identifiés, avec leurs adresses et leurs responsables légaux. De quoi rouvrir un autre registre du grand banditisme, celui du petit Éric Peugeot, 4 ans, enlevé en 1960. La méthode s'était perdue, faute de bonnes adresses. Remercions l’État de sa contribution gratuite à la cause.

La campagne pour l’Élysée va débuter. On y parlera impôts et sécurité. Le problème est bien plus profond. Chacun peut défendre ou pas des hausses d’impôts pour financer les services de la France. Ça se discute. Chacun peut défendre ou pas d’augmenter le budget de telle ou telle institution pour améliorer la sécurité des citoyens. Ça se discute. Mais comment les Français peuvent accepter que les prélèvements d’un des pays les plus taxés au monde aboutissent à des manquements aussi graves, sans la moindre sanction ?

2027 n’y répondra probablement pas.