Piratage des impôts et de l'Éducation nationale : ce que risque vraiment l'auteur de l'attaque

Le mois d'août est très sombre pour l'administration française. Les impôts, mais aussi l'Éducation nationale, ont été piratés et le parquet de Paris a ouvert une enquête. L'Office anti-cybercriminalité mène aussi les investigations. Mais alors que risquent ceux derrière ces attaques auprès de la justice ? Jetons un œil au Code pénal.

Tout d'abord, remettons un peu de contexte. Le 12 août 2026, une personne se présentant sous le pseudonyme ZeroBytes a revendiqué une attaque contre la DGFiP, l'administration fiscale française. Le lendemain, Bercy a confirmé l'information avec 678 000 particuliers et professionnels touchés.

Quelles sanctions possibles contre les pirates ?

Mais l'attaque ne date pas de ce mois d'août, mais du 26 juin. ZeroBytes est passé par l'usurpation des identifiants d'un agent et d'un prestataire autorisé à se connecter. Pour les données dérobées, on trouve des noms, adresses, dates et lieux de naissance.

Mais aussi la situation familiale, le quotient du foyer, le revenu fiscal de référence et le taux de prélèvement à la source. Bref, des informations suffisamment sensibles pour mener des attaques de phishing mais aussi s'en prendre physiquement aux personnes aisées.

Du 25 au 26 juillet, la même méthode a été utilisée contre l'Éducation nationale. Le pirate est passé par le compte d'un employé dans le système de formation des personnels. Et le bilan est lourd avec 25 ans de données d'agents désormais dans la nature.

Mais alors que risque le coupable ? L'article 323-1 du Code pénal sanctionne de trois ans de prison et 100 000 € d'amende une intrusion sans autorisation dans un système informatique. Lorsqu'il appartient à l'État, la sanction monte à sept ans et 300 000 € d'amende, ce qui est le cas ici.

Le vol des fichiers est la deuxième infraction. L'article 323-3 prévoit cinq ans et 150 000 € d'amende contre l'extraction, la copie ou la transmission frauduleuse de données. Et de nouveau, on monte à sept ans et 300 000 € quand c'est l'État qui est directement touché.

L'article 323-4-1 monte à dix ans de prison et 300 000 € pour une attaque en bande organisée. Et une tentative est sanctionnée à la même hauteur au titre de l'article 323-7. L'article 323-5 permet aussi de confisquer du matériel ou encore d'interdire tout métier dans le monde de l'informatique.

Puisque ces données sont en vente sur un forum, les acheteurs tombent sous le coup du recel puni de cinq ans de prison et 375 000 € d'amende selon l'article 321-1 du Code pénal.

Le gouvernement a lancé une cellule de crise

Il y a d'ailleurs déjà eu des précédents. Par exemple, un Grenoblois de 20 ans qui a piraté un site du ministère de la Justice et volé des données personnelles a écopé de quatre mois avec sursis. Au-delà de l'administration française, un tribunal a condamné un homme à six ans de prison ferme pour le piratage des données d'Adecco, et treize complices ont écopé de six mois à trois ans.

Mais la situation est un peu différente dans le cas des piratages des impôts et de l'Éducation nationale. Le 17 août 2026, Sébastien Lecornu a présidé une cellule interministérielle de crise et demandé à l'ANSSI de réaliser un audit approfondi. L'administration a commencé à contacter plus de 350 000 particuliers dans la foulée. Le groupe socialiste au Sénat demande aussi une commission d'enquête. Il est possible que cette mobilisation au plus haut sommet de l'État pèse sur la suite du dossier.

Le gouvernement prépare déjà sa solution après les dégâts. On parle d'un plan de sécurisation numérique créé par Ariane, rattachée à Matignon. Budget ? 200 millions d'euros. Dès 2027, chaque ministère consacrera 5 % de son budget numérique à la cybersécurité. Pendant ce temps, les fuites de données continuent face à cette réponse tardive.

Mais il reste une barrière, celle de l'arrestation. Et pour cause, un pirate qui opère depuis un pays sans accord d'extradition n'atterrira pas dans un tribunal français. Et on ne sait pas si le pirate revendiqué derrière ces attaques séjourne en France ou dans un pays qui a un accord. Précisons que le parquet de Paris enquête aussi pour association de malfaiteurs, ce qui vise plusieurs personnes et pas juste un pirate isolé.