Décomptes divergents d'une même fuite : ce que les publications disent et ne disent pas

La compromission des systèmes de la Direction générale des Finances publiques occupe l'actualité française depuis la mi-août 2026. Les faits principaux ne sont pas contestés : des intrusions ont eu lieu, des données fiscales sont sorties, l'État a engagé une séquence de réponse. En revanche, le nombre de personnes concernées varie selon la publication que l'on ouvre, et l'écart entre les chiffres n'est ni négligeable ni facile à interpréter.

Cette situation est banale dans les premières semaines d'un incident de grande ampleur, et elle est pourtant l'une des plus mal traitées dans les notes de veille internes. La tentation est double : choisir le chiffre le plus élevé pour marquer les esprits, ou choisir le plus bas pour ne pas alarmer. Les deux réflexes produisent la même faute, celle de présenter comme établi ce qui reste provisoire, et d'exposer l'auteur de la note à un démenti dès la publication suivante.

Nous prenons ici ce dossier comme cas d'école de lecture de décomptes divergents. Ce que chaque publication écrit, ce que l'écart traduit vraiment, pourquoi ces nombres ne s'additionnent pas, et quelle forme de rédaction permet de rapporter un chiffre contesté sans le figer. La méthode vaut bien au-delà de cet incident : elle s'applique à toute fuite de données dont l'ampleur se précise par paliers.

Trois publications, trois décomptes, un même événement

BFMTV rapporte que la DGFiP a confirmé deux intrusions ayant abouti au vol de données concernant au moins 678 000 particuliers et professionnels. La formulation retenue mérite attention : le nombre est présenté comme un plancher, avec la locution qui l'accompagne, et il agrège deux catégories d'usagers dans un total unique.

The Star, de son côté, écrit que l'attaque a exposé les données personnelles de 350 000 particuliers et de 250 000 entreprises. Ici, le décompte est ventilé en deux populations distinctes, particuliers d'un côté, personnes morales de l'autre. La ventilation est plus informative que le total, mais elle ne recouvre pas la même définition de victime que la précédente.

L'Alsace, enfin, indique que la dernière fuite a touché près de 700 000 usagers du fisc, dans un article consacré aux suites parlementaires du dossier. Le nombre est arrondi et introduit par une approximation assumée. Trois publications, trois manières de compter, sans qu'aucune ne contredise formellement les autres : chacune restitue l'état de l'information disponible à sa date de parution et selon la source institutionnelle qu'elle interroge.

Pourquoi le nombre de victimes d'une fuite bouge dans le temps

Un décompte de victimes n'est pas une donnée d'observation directe, c'est un résultat d'analyse forensique. Il se construit en recoupant les journaux de connexion, le contenu effectivement extrait, les tables concernées et les doublons entre extractions successives. Quand deux intrusions distinctes sont en cause, comme le rapporte BFMTV, le travail consiste aussi à déterminer si les deux ont porté sur les mêmes enregistrements ou sur des périmètres disjoints. Cette question à elle seule fait varier un total de plusieurs dizaines de milliers d'entrées.

S'ajoute la question de l'unité comptée. Un enregistrement fiscal n'est pas une personne : un foyer peut correspondre à plusieurs individus, une entreprise à un identifiant unique mais à plusieurs dirigeants exposés, un même contribuable à plusieurs lignes selon les impôts concernés. Selon que l'on compte des lignes, des identifiants ou des personnes physiques, on obtient des ordres de grandeur différents à partir des mêmes données extraites. Aucune publication n'explicite systématiquement l'unité retenue, ce qui rend toute réconciliation hasardeuse.

La chronologie fait le reste. Les trois articles cités s'échelonnent sur une semaine du mois d'août, période durant laquelle l'investigation progresse et les communications officielles se succèdent. Un chiffre publié le 17 août ne dispose pas des mêmes éléments qu'un chiffre publié le 24. La divergence apparente est souvent une chronologie mal restituée, et la première question à poser devant deux nombres discordants porte sur leur date respective avant de porter sur leur exactitude.

La nature des données exposées pèse plus lourd que leur nombre

The Star précise le contenu de la fuite : revenus imposables, taux de prélèvement à la source, adresses et superficie de biens immobiliers. Cette énumération vaut, pour une équipe de veille, davantage que n'importe quel total. Elle définit exactement ce qu'un tiers malveillant peut faire du corpus, et donc les scénarios de risque à surveiller dans les mois qui viennent.

Un revenu imposable associé à une adresse et à une superficie de bien immobilier compose un profil de solvabilité. Un taux de prélèvement à la source ajoute un élément de vraisemblance que peu d'interlocuteurs légitimes connaissent, et qui rend une sollicitation frauduleuse crédible auprès de sa cible. C'est précisément ce mécanisme que vise la mise en garde de la sénatrice Nathalie Goulet contre les risques d'usurpation d'identité, rapportée par L'Alsace.

Pour une direction sûreté ou une direction financière, la conséquence pratique est immédiate. Le risque ne se matérialise pas au moment de la fuite mais lors de sa réutilisation, souvent plusieurs mois plus tard, sous forme de sollicitations personnalisées visant des collaborateurs identifiés. La veille utile porte donc moins sur le décompte des victimes que sur l'apparition de campagnes exploitant ces attributs précis, et sur les alertes officielles qui les documentent.

La séquence institutionnelle ouverte autour de l'incident

Au décompte s'ajoute une séquence politique dont les jalons sont, eux, parfaitement datables. BFMTV rapporte qu'un Conseil de défense consacré à la cyberattaque se tiendra d'ici à la mi-septembre, que la porte-parole du gouvernement Maud Bregeon a souligné la nécessité pour les administrations d'être vigilantes, et que le président de la République a demandé au gouvernement d'établir l'ensemble des responsabilités liées à l'attaque.

En parallèle, L'Alsace fait état de la demande d'une commission d'enquête portée par la sénatrice Nathalie Goulet, élue de l'Orne apparentée UDI, sur les cyberattaques et les fuites de données, initiative soutenue par le président du groupe Union centriste Hervé Marseille. Du côté de l'exécutif, The Star rapporte la position du ministre du Budget David Amiel, selon lequel l'État ne peut pas ralentir dans la course qui l'oppose aux attaquants.

Ces jalons ont une valeur de veille supérieure aux chiffres eux-mêmes, parce qu'ils sont vérifiables et parce qu'ils annoncent des productions documentaires à venir. Un Conseil de défense laisse peu de traces publiques, mais une commission d'enquête parlementaire produit des auditions, un rapport et des recommandations, c'est-à-dire un corpus daté et exploitable. Une bonne fiche de suivi inscrit ces échéances au calendrier plutôt que de courir après l'actualisation des décomptes.

Un chiffre contesté se cite avec sa source et sa date, jamais seul. Le jour où il change, la note reste juste : elle disait qui affirmait quoi, et quand.

Comment écrire un décompte contesté dans une note de veille

La règle de rédaction est simple et rarement appliquée : on n'écrit jamais un nombre orphelin. Chaque décompte s'accompagne du nom de la publication qui le donne et de la date à laquelle elle le donne. La phrase devient plus longue, elle devient surtout démontrable. Les analyses de l'Observatoire de l'Intelligence Économique consacrées aux dossiers à décomptes multiples convergent sur ce point : c'est l'attribution, et non la précision apparente du nombre, qui protège la note de l'obsolescence.

Deuxième règle : aucune opération arithmétique entre décomptes de sources différentes. Additionner deux populations issues de deux articles, ou déduire un total d'une ventilation publiée ailleurs, produit un chiffre que personne n'a écrit et que rien ne soutient. Ce nombre fabriqué circulera ensuite avec l'autorité d'une note interne, sans source rattachable. La discipline consiste à juxtaposer les décomptes, à signaler explicitement qu'ils ne se recouvrent pas, et à laisser l'écart visible.

Troisième règle : suivre le dossier plutôt que le figer. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, trie les publications par pertinence et renvoie chaque élément vers son support d'origine, ce qui met sous les yeux de l'équipe les révisions successives d'un décompte au fil des communications officielles. La décision de mettre à jour la note et d'en avertir ses destinataires appartient, elle, à l'organisation.

Questions fréquentes sur les décomptes divergents de victimes

Faut-il retenir le chiffre le plus élevé ou le plus prudent ?

Ni l'un ni l'autre par principe. Retenir systématiquement le maximum revient à construire une alerte sur l'estimation la moins consolidée, retenir le minimum revient à sous-dimensionner la réponse. La pratique tenable consiste à citer les décomptes disponibles avec leur attribution respective, à signaler le plancher confirmé par l'organisation touchée lorsqu'il existe, et à indiquer que l'investigation se poursuit. Le lecteur de la note doit voir l'incertitude, pas la découvrir plus tard.

Comment savoir si deux chiffres différents décrivent le même événement ?

En vérifiant trois éléments avant toute comparaison : l'entité touchée, la fenêtre temporelle de l'intrusion, et l'unité comptée. Deux publications peuvent parler du même incident en comptant l'une des personnes physiques, l'autre des enregistrements ou des identifiants professionnels. Lorsque l'un de ces trois éléments diffère ou n'est pas précisé, la comparaison n'est pas concluante et la note doit le dire, quitte à laisser une question ouverte.

Que doit surveiller une entreprise dont les données figurent peut-être dans la fuite ?

Trois choses, dans cet ordre. Les communications officielles de l'administration concernée et les notifications individuelles, qui seules établissent une exposition avérée. Les alertes publiques sur les campagnes de sollicitation frauduleuse exploitant des attributs fiscaux, puisque c'est le canal de matérialisation le plus probable. Enfin les travaux parlementaires annoncés, qui documenteront les causes et les périmètres dans la durée. Le décompte des victimes, lui, ne conditionne aucune décision opérationnelle.