Baromètre de l'écart entre les décomptes de victimes publiés pendant une même fuite de données

Une fuite de données massive produit toujours deux séquences parallèles : celle de l'incident et celle de son décompte. La seconde est plus lente, plus confuse et beaucoup moins étudiée que la première. Ce baromètre porte uniquement sur elle. Il mesure l'écart entre les décomptes de victimes publiés au cours d'un même épisode, et cherche à distinguer ce qui relève de la contradiction de ce qui relève de la différence de périmètre.

L'exercice a une utilité directe pour toute cellule de veille. Un chiffre repris sans son périmètre et sans sa source devient, en deux relais, une donnée orpheline que plus personne ne sait vérifier. La note interne qui l'accueille prend alors le statut de source pour d'autres notes, et l'erreur se stabilise. Documenter la dispersion des décomptes est le meilleur moyen de ne pas en fabriquer un de plus.

Nous prenons pour terrain la compromission de la Direction générale des Finances publiques, dont le traitement médiatique d'août 2026 offre un cas de dispersion inhabituellement bien documenté. Nous posons les définitions, le protocole de relevé, le tableau des décomptes publiés, les causes de la divergence, puis les règles de citation qui en découlent.

Ce que mesure l'écart entre décomptes publiés

Nous appelons décompte publié tout nombre de personnes ou d'entités présenté par une publication comme affecté par un incident donné, à une date donnée. L'indicateur relevé n'est pas le nombre réel de victimes, inaccessible à un observateur extérieur, mais l'amplitude entre le plus petit et le plus grand décompte disponible à une date de référence, ici le 6 septembre 2026.

Cette amplitude ne se lit pas comme une mesure d'erreur. Deux décomptes différents sont fréquemment tous les deux exacts, parce qu'ils ne comptent pas la même chose : personnes physiques ou entités juridiques, données exfiltrées ou données mises en vente, individus concernés ou individus notifiés. La divergence apparente porte sur le nombre, la divergence réelle porte sur la définition de l'unité comptée.

Nous distinguons donc trois cas. La divergence de périmètre, quand deux publications comptent des populations distinctes. La divergence de temporalité, quand un décompte antérieur est dépassé par une consolidation ultérieure. La divergence d'arrondi ou de formulation, quand un même ordre de grandeur est exprimé de manières différentes. Seul le premier cas rend deux chiffres strictement non comparables.

Échantillon et protocole de relevé

L'échantillon retient les publications parues entre le 16 août et le 6 septembre 2026 qui donnent un décompte chiffré rattaché à la compromission de la Direction générale des Finances publiques, en excluant les reprises qui se bornent à citer un décompte déjà relevé. Quatre publications répondent à ces critères et sont conservées, chacune avec son chiffre, sa date et le périmètre qu'elle déclare.

La règle de codage est stricte et son respect conditionne la validité de l'exercice : aucun décompte n'est additionné à un autre, aucun n'est converti, aucun n'est présenté comme définitif, et aucun n'est retenu sans le périmètre que sa publication lui associe. Un chiffre dont le périmètre n'est pas explicite est écarté du tableau plutôt qu'interprété, car l'interpréter reviendrait à fabriquer une donnée nouvelle.

Les décomptes publiés sur la compromission de la DGFiP

BFMTV rapporte que la Direction générale des Finances publiques a confirmé deux intrusions ayant abouti au vol de données concernant au moins 678 000 particuliers et professionnels, et qu'un Conseil de défense se tiendra d'ici à la mi-septembre après la cyberattaque. The Star, de son côté, indique que l'attaque a exposé les données personnelles de 350 000 particuliers et de 250 000 entreprises, et que les données compromises comprennent les revenus imposables, les taux de prélèvement à la source ainsi que les adresses et la superficie de biens immobiliers.

Burkina NTIC News rapporte que 285 570 professionnels sont exposés à des risques d'ingénierie sociale et de fraude au président, que le groupe cybercriminel ZeroBytes a exfiltré des fichiers contenant des données d'état civil, des identifiants fiscaux, des revenus de référence et des taux de prélèvement à la source, et que ces informations ont été cédées à deux acheteurs pour quelques milliers d'euros avant de circuler sur des forums spécialisés. L'Alsace, enfin, écrit que la dernière fuite a touché près de 700 000 usagers du fisc.

Pourquoi les chiffres divergent sans que personne se trompe

La première explication est le périmètre. Le décompte de Burkina NTIC News ne porte pas sur l'ensemble des personnes dont les données ont été volées, mais sur les professionnels exposés à un risque de fraude : c'est un sous-ensemble qualifié par un risque, pas une population totale. Le rapprocher des autres chiffres sans mentionner cette qualification transforme une information précise en contradiction apparente.

La deuxième explication est l'unité comptée. The Star sépare explicitement les particuliers des entreprises, deux populations qui ne s'additionnent pas sans convention, puisqu'une entreprise n'est pas une personne physique et qu'un même individu peut figurer dans les deux ensembles. Le décompte de BFMTV, formulé en particuliers et professionnels réunis, répond à une autre convention, et c'est précisément pour cette raison qu'aucune opération arithmétique entre les deux n'a de sens.

La troisième explication est la temporalité et la formulation. Le chiffre de L'Alsace, près de 700 000 usagers du fisc, et celui de BFMTV, au moins 678 000, désignent visiblement le même ordre de grandeur exprimé différemment, l'un arrondi vers le haut, l'autre présenté comme un plancher. Cette dispersion-là est bénigne, à condition de ne jamais la traiter comme deux mesures indépendantes qui se confirmeraient l'une l'autre.

Un chiffre séparé de son périmètre n'est plus une donnée : c'est une impression numérique, et elle voyage plus vite que la donnée dont elle est issue.

Les suites institutionnelles fixent le décompte autant que la technique

La consolidation d'un décompte ne dépend pas seulement de l'analyse forensique, elle dépend du cadre dans lequel un chiffre devra être défendu. BFMTV indique que le président de la République a demandé au gouvernement d'établir l'ensemble des responsabilités liées à la cyberattaque, et que la porte-parole du gouvernement, Maud Bregeon, a souligné la nécessité pour les administrations d'être vigilantes. Un chiffre destiné à un tel exercice est produit avec des exigences de traçabilité supérieures à celles d'une première communication d'urgence.

Le passage au registre parlementaire accentue ce mouvement. L'Alsace rapporte que la sénatrice Nathalie Goulet réclame une commission d'enquête sur les cyberattaques et les fuites de données, met en garde contre les risques d'usurpation d'identité, et que l'initiative est soutenue par le président du groupe Union centriste, Hervé Marseille. Une cellule de veille a donc tout intérêt à horodater ses chiffres : ceux qui circulent aujourd'hui appartiennent à une phase de consolidation qui n'est pas close.

Règles de citation pour une cellule de veille

Trois règles suffisent à éviter la fabrication d'un décompte fantôme. Ne jamais citer un chiffre sans son périmètre déclaré. Ne jamais citer un chiffre sans la publication qui le donne et la date à laquelle elle le donne. Ne jamais combiner deux chiffres issus de publications différentes, même lorsque l'addition paraît naturelle : le résultat n'est soutenu par aucune source et devient impossible à défendre en réunion.

La mise en oeuvre suppose de conserver la trace de chaque parution plutôt qu'un chiffre unique consolidé à la main. Une ligne par publication, avec le chiffre, le périmètre, la date et le lien, produit un état de la dispersion qui reste vérifiable des mois plus tard. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, conserve le lien vers la publication d'origine de chaque signal et fait remonter les nouvelles versions d'un même fait dès leur parution.

Questions fréquentes

Pourquoi les décomptes de victimes d'une fuite de données varient-ils autant d'un média à l'autre ?

Parce qu'ils ne comptent pas la même population. Sur la compromission de la Direction générale des Finances publiques, The Star sépare particuliers et entreprises, Burkina NTIC News dénombre les professionnels exposés à un risque de fraude, BFMTV cite un total de particuliers et professionnels et L'Alsace donne un ordre de grandeur arrondi. Ces quatre énoncés sont des mesures différentes, pas quatre tentatives concurrentes de mesurer la même chose.

Peut-on additionner deux décomptes publiés par deux sources différentes ?

Non, en aucun cas. Additionner suppose que les deux ensembles soient disjoints et définis de la même manière, deux conditions qu'aucune publication ne garantit ici. Le résultat obtenu ne figure dans aucune source et devient indéfendable dès la première contradiction. La bonne pratique consiste à présenter les décomptes côte à côte, avec leur périmètre et leur origine, en laissant la dispersion visible.

Quel chiffre retenir dans une note interne quand les sources divergent ?

Aucun chiffre unique. Retenez une fourchette explicitement bornée par les décomptes publiés, en précisant pour chaque borne le périmètre et la publication qui la donne, et en signalant que la consolidation est en cours. Une note qui affiche une fourchette attribuée vieillit correctement ; une note qui tranche pour un chiffre unique devient fausse dès la publication suivante et discrédite l'ensemble du document.