Failite de confiance : les cyberattaques contre le Liechtenstein et la France révèlent la fragilité des bases de données financières publiques

Au milieu de l'année 2026, deux cyberattaques distinctes contre des registres financiers publics européens ont exposé des données d'État extrêmement sensibles. L'une a frappé le registre de transparence anti-blanchiment du Liechtenstein, l'autre a pénétré la base de données fiscales nationale de la France. Ensemble, elles soulignent un schéma inquiétant : les registres financiers gouvernementaux sont des cibles de grande valeur, difficiles à défendre, à la fois pour l'espionnage et l'extorsion criminelle.

La brèche au Liechtenstein : un outil de transparence devenu passeoire

Des pirates inconnus ont obtenu un accès non autorisé au registre des bénéficiaires effectifs (VwbP) du Liechtenstein dans la nuit du 29 au 30 juillet 2026, et ont copié les données relatives à environ 31 000 entités juridiques — sociétés, fondations et trusts . Ce registre est conçu pour cartographier la propriété et le contrôle derrière les entités juridiques, un outil destiné à lutter contre le blanchiment d'argent et le financement du terrorisme. Les données exposées révèlent qui possède ou contrôle en dernière analyse des milliers de structures d'entreprise enregistrées dans la principauté .

Aucune donnée au niveau des comptes bancaires n'a été consultée, mais les informations d'identité et de propriété sont très sensibles pour une juridiction réputée pour la gestion de patrimoine . Les auteurs de l'attaque restent inconnus .

Une semaine après la brèche initiale, l'Administration d'État du Liechtenstein a mis hors ligne quatre systèmes financiers gouvernementaux supplémentaires — le portail TVA (eMWST-Portal), le système judiciaire Lides, le registre central des comptes, et le portail d'information fiscale Intax. Cette réaction en cascade suggère que la brèche pourrait avoir été plus large que rapporté initialement ou qu'elle a déclenché un gel de sécurité plus étendu .

La brèche à la DGFiP en France : l'usurpation d'identité à l'échelle nationale

Un acteur malveillant a obtenu un accès non autorisé au système d'information de la Direction Générale des Finances Publiques (DGFiP) par usurpation d'identité — en utilisant une identité volée pour accéder à un VPN interne et à un outil de recherche de contribuables . L'intrusion a eu lieu fin juin 2026, mais la brèche n'a été confirmée et rendue publique par le ministère de l'Économie français que le 13 août 2026 .

L'attaquant affirme avoir exfiltré 678 438 lignes de données fiscales, touchant environ 393 000 particuliers et 286 000 professionnels/entreprises . Les champs exposés comprennent les noms, adresses, dates de naissance, situation familiale, numéros d'identification fiscale, revenus déclarés et taux d'imposition . Le fichier volé serait mis en vente en ligne pour plusieurs milliers d'euros .

Le gouvernement français a confirmé l'« accès illégitime » et que des données ont été consultées et extraites. Les premières investigations ont confirmé que l'accès a été coupé fin juin lorsqu'il a été détecté, mais les données avaient déjà été copiées . Il s'agit de la deuxième fuite de données fiscales de la France en 2026 .

Ce que ces incidents révèlent sur la vulnérabilité des données publiques

La centralisation des données crée un point de défaillance unique

Les deux pays avaient consolidé des données financières sensibles dans des registres gouvernementaux centralisés — la propriété effective au Liechtenstein, les dossiers fiscaux en France. Cela en fait des cibles extrêmement attractives : une seule brèche permet d'obtenir des données de renseignement ou de rançon sur des milliers d'entités.

L'usurpation d'identité est un vecteur d'attaque en plein essor

L'attaque française n'a pas réussi grâce à un logiciel malveillant complexe, mais par l'usurpation d'identité utilisée pour obtenir un accès VPN — une approche d'ingénierie sociale que les défenses périmétriques traditionnelles ne détectent souvent pas . Cela suggère que les attaquants exploitent de plus en plus les voies d'accès légitimes plutôt que de franchir les barrières techniques.

L'écart entre la détection et la divulgation est important

L'intrusion française a eu lieu fin juin, mais n'a été divulguée qu'à la mi-août — un écart de plus de six semaines. L'attaque du Liechtenstein a été détectée en quelques jours, mais son impact en cascade (quatre systèmes connexes mis hors ligne une semaine plus tard) suggère que le confinement initial n'a pas complètement stoppé la compromission .

Les registres de transparence créent une exposition à la vie privée

Le registre du Liechtenstein est un outil de transparence légal destiné à lutter contre le blanchiment d'argent. Cependant, son objectif même — relier des personnes réelles à des structures d'entreprise — signifie qu'une fuite de données expose directement des individus qui peuvent avoir des attentes légitimes en matière de confidentialité . La même tension s'applique à la base de données fiscales de la France, qui regroupe les profils financiers complets des citoyens.

Les petits États ne sont pas nécessairement plus sûrs

Le Liechtenstein est un centre financier riche et hautement numérisé, mais son registre de transparence central a été violé avec une apparente facilité. L'attaque suggère que les juridictions plus petites peuvent manquer de la capacité de surveillance continue des menaces et d'intervention rapide des grandes nations — et que les plaques tournantes du secret financier sont des cibles de choix pour les acteurs étatiques et criminels.