Quatorze employés sont entrés dans des salles restreintes remplies de déclarations de revenus de contribuables 1 375 fois en huit mois, sans les accès qu'ils étaient censés avoir. Dans les mêmes installations, des systèmes informatiques identifiés comme présentant des risques de sécurité « critiques » sont restés non corrigés pendant une moyenne de 223 jours — soit près de huit fois plus longtemps que le délai de correction de 30 jours exigé par l'IRS lui-même. Si vous avez déposé une déclaration de revenus papier au cours de la dernière année, il y a une réelle chance que votre numéro de sécurité sociale, vos détails de revenus et vos coordonnées bancaires soient passés par l'un de ces bâtiments.
Ce n'est pas une hypothèse. C'est la conclusion d'un rapport d'un organisme de contrôle fédéral publié à la mi-2026, et il vaut la peine d'être compris — à la fois pour ce qu'il révèle sur la façon dont vos données fiscales sont réellement traitées, et pour ce qu'il devrait vous inciter à faire ensuite.
Ce que l'organisme de contrôle a réellement trouvé
Le Trésorier Général Inspecteur pour l'Administration Fiscale (TIGTA) — le bureau indépendant qui audite l'IRS — a inspecté deux installations gérées par des sous-traitants privés dans le cadre de l'« Initiative Zéro Papier » de l'IRS. Cette initiative existe pour une raison valable : l'IRS reçoit encore des millions de déclarations de revenus papier chaque année, et au lieu de saisir manuellement les données, il expédie désormais des piles de déclarations papier à des sous-traitants externes qui numérisent les documents et extraient les données électroniquement. C'est un effort de modernisation judicieux. Le problème que le TIGTA a trouvé réside dans la façon dont il est géré.
Sur les deux sites visités par le TIGTA en 2025, les conclusions se divisent en trois catégories.
Accès physique non autorisé. Quatorze employés de sous-traitants qui ne disposaient pas des autorisations appropriées sont entrés dans des zones restreintes contenant des documents fiscaux sensibles. Au total, ils ont effectué 1 375 entrées non autorisées entre mai et décembre 2025. Le TIGTA n'a trouvé aucune preuve directe que quiconque ait consulté ou copié un document de manière inappropriée — mais le volume même des entrées montre que les contrôles d'accès censés empêcher exactement ce type d'exposition ne fonctionnaient tout simplement pas. Le quai de chargement d'un site, qui est directement relié à la zone de stockage des documents fiscaux, s'est avéré non sécurisé et sans surveillance. La clôture périmétrique de l'installation manquait également de contrôles de sécurité adéquats.
Vulnérabilités informatiques non résolues. C'est la partie qui devrait inquiéter quiconque pense à la sécurité des données. Sur un site, les auditeurs ont identifié 269 vulnérabilités de sécurité dans les systèmes qui traitent les informations des contribuables. Parmi celles-ci, 128 — soit 48 % — n'avaient pas été corrigées dans les délais fixés par la politique de l'IRS. Vingt de ces vulnérabilités non résolues étaient classées comme « critiques », le niveau de gravité le plus élevé, et elles étaient restées ouvertes pendant une moyenne de 223 jours, contre une exigence de correction de 30 jours. 84 autres vulnérabilités de « gravité élevée » ont non résolues pendant une moyenne de 231 jours, contre une exigence de 60 jours. Le TIGTA a spécifiquement signalé une faille critique liée à un logiciel non pris en charge encore en usage, et une autre concernant une configuration de base de données qui pourrait permettre à un attaquant de contourner complètement l'authentification.
Faible surveillance des outils des sous-traitants. Sur le deuxième site, le sous-traitant utilisait un logiciel d'analyse de vulnérabilités qui n'avait jamais été validé par rapport à la norme de sécurité requise par le gouvernement. Le rapport du TIGTA a noté que le personnel de cybersécurité de l'IRS savait que le sous-traitant utilisait des outils d'analyse non autorisés et n'a pas agi en conséquence. Sur le premier site, la politique de l'IRS exige des analyses de sécurité mensuelles de chaque appareil traitant les données des contribuables — mais en août 2025, le sous-traitant n'a analysé qu'un seul appareil sur 203.
Pourquoi cela importe même si rien n'a été « volé »
Le TIGTA a pris soin de dire qu'il n'a trouvé aucune preuve confirmée qu'un acteur malveillant ait eu accès aux données des contribuables par le biais de ces brèches. C'est une distinction vraiment importante, et ce n'est pas un écran de fumée — une porte non verrouillée n'est pas la même chose qu'un cambriolage.
Mais ce n'est pas non plus la réassurance à laquelle on pourrait s'attendre. Des défaillances de sécurité comme celles-ci importent, qu'elles aient été exploitées ou non, pour trois raisons :
- Une déclaration de revenus est l'un des kits de vol d'identité les plus complets qui existe. Elle contient un numéro de sécurité sociale, le nom complet et l'adresse, les informations sur l'employeur, les numéros de compte bancaire et d'acheminement pour le dépôt direct, les détails des comptes d'investissement, et souvent des informations sur les conjoints et les personnes à charge. Une seule déclaration exposée peut alimenter le vol d'identité, les demandes de remboursement frauduleuses et les tentatives de reprise de compte pendant des années.
- Les vulnérabilités critiques non corrigées sont un risque permanent, pas un événement ponctuel. Une faille qui permet à quelqu'un de contourner l'authentification n'a pas besoin d'être « utilisée » le jour de sa découverte pour être dangereuse — elle reste là comme une porte qui reste déverrouillée jusqu'à ce que quelqu'un la ferme. 223 jours représente plus de sept mois de fenêtre d'exposition.
- Cela s'inscrit dans un schéma de préoccupations documentées concernant la sécurité des données de l'IRS. Le rapport du TIGTA arrive dans le contexte d'incidents antérieurs très médiatisés impliquant les données des contribuables de l'IRS (y compris l'affaire de 2023 dans laquelle un employé d'un sous-traitant a divulgué les dossiers fiscaux de milliers de déclarants à hauts revenus à des organisations de presse). Des constats d'organismes de contrôle comme celui-ci expliquent en partie pourquoi cette histoire est sans cesse citée — les contrôles institutionnels sous-jacents rattrapent encore leur retard.
Ce que l'IRS dit qu'il fait à ce sujet
À son crédit, l'IRS a accepté les conclusions du TIGTA et s'est engagé à apporter des correctifs spécifiques plutôt que de contester le rapport. Ses mesures de correction déclarées comprennent :
- Mettre à jour ses directives de sécurité internes (Publication 4812) pour exiger des examens mensuels des journaux d'accès physique sur les sites des sous-traitants, au lieu du cycle d'examen annuel actuel.
- Mettre en place un processus mensuel pour signaler les vulnérabilités vieillissantes et non résolues afin que les responsables des achats et la direction des sous-traitants puissent agir plus rapidement.
- Renforcer la façon dont elle évalue et surveille les pratiques de cybersécurité des sous-traitants à l'avenir.
Ce sont des engagements raisonnables, et il convient de reconnaître quand une agence réagit de manière constructive à un rapport d'organisme de contrôle. Mais « s'engager à corriger » et « corriger » sont des états différents, et les propres chiffres du TIGTA montrent à quel point les choses peuvent passer entre les mailles du filet entre un cycle d'examen annuel et un vrai problème qui reste non traité pendant des mois.
Ce que vous pouvez réellement faire à ce sujet
Vous ne pouvez pas contrôler la façon dont un sous-traitant tiers sécurise son installation. Mais vous n'êtes pas impuissant ici — il existe des mesures concrètes qui réduisent votre exposition, quelle qu'en soit la cause.
Obtenez un code PIN de protection d'identité IRS (IP PIN). C'est l'outil gratuit le plus efficace dont disposent les contribuables individuels. Il s'agit d'un code à six chiffres qui change chaque année et doit être inclus sur toute déclaration de revenus déposée sous votre numéro de sécurité sociale — sans lui, l'IRS rejettera une déclaration électronique et signalera une déclaration papier pour un examen plus approfondi. Cela signifie que même si quelqu'un a votre SSN, il ne peut pas déposer avec succès une déclaration frauduleuse en votre nom. Vous pouvez vous inscrire via votre compte en ligne IRS, et une fois inscrit, l'IRS vous émet automatiquement un nouveau PIN à chaque saison de déclaration. Si vos informations ont été impliquées dans une quelconque violation de données — celle-ci ou une autre — cela vaut la peine de le faire aujourd'hui, pas la saison fiscale prochaine.
Déposez tôt l'année prochaine. Les stratagèmes de remboursement frauduleux reposent sur le fait de devancer le vrai contribuable. Plus tôt vous déposerez, plus la fenêtre sera petite pour qu'un criminel dépose en premier en utilisant des informations volées.
Surveillez votre relevé de compte IRS et votre compte, pas seulement vos relevés bancaires. La plupart des gens surveillent leurs comptes bancaires et cartes de crédit pour détecter les fraudes, mais ne vérifient jamais leur compte en ligne IRS. Le vol d'identité lié aux impôts se manifeste souvent d'abord par un rejet de déclaration électronique (parce que quelqu'un a déjà déposé sous votre SSN) ou par un avis inattendu concernant une déclaration que vous n'avez pas déposée. Vérifier périodiquement permet de détecter les problèmes avant qu'ils ne s'aggravent.
Demandez-vous si vous devez déposer sur papier. Si vous déposez actuellement des déclarations papier par choix ou par habitude, c'est un moment judicieux pour reconsidérer. Les déclarations électroniques transitent par des pipelines électroniques contrôlés par l'IRS plutôt que d'être physiquement expédiées vers une installation de numérisation tierce. Pour la plupart des déclarants individuels, la télédéclaration est plus rapide, a un taux d'erreur plus faible et — selon ce rapport — a actuellement une surface d'attaque plus étroite que la voie papier.
Si vous utilisez un préparateur ou un comptable, demandez comment ils transmettent vos données. Le même principe qui s'applique aux sous-traitants de l'IRS s'applique à tout tiers qui traite vos dossiers financiers : la sécurité physique et la cadence des correctifs ne sont pas des préoccupations informatiques abstraites, ce sont les mécanismes réels qui protègent votre numéro de sécurité sociale.
La leçon plus large : les chaînes de détention des données sont plus longues que vous ne le pensez
La conclusion dérangeante de ce rapport ne concerne pas vraiment l'IRS en particulier — c'est un rappel du nombre de mains par lesquelles vos données financières passent avant d'être « traitées ». Une déclaration de revenus papier ne va pas directement de votre boîte aux lettres à une base de données gouvernementale. Elle va dans l'entrepôt d'un sous-traitant privé, est manipulée par du personnel dont les accès doivent être audités, repose sur des systèmes qui nécessitent des correctifs selon un calendrier, et n'atteint qu'ensuite l'agence auprès de laquelle vous avez réellement déposé. Chaque maillon de cette chaîne est un endroit où les contrôles peuvent faiblir.
C'est vrai pour les particuliers qui déposent des formulaires 1040, et c'est tout aussi vrai pour les petites entreprises et les travailleurs indépendants qui gèrent leur propre comptabilité. Moins il y a d'intermédiaires qui touchent à vos données financières brutes, et plus vous avez de visibilité sur l'endroit exact où se trouvent vos dossiers et comment ils se déplacent, plus votre exposition est faible. C'est en partie l'argument en faveur d'outils qui conservent vos dossiers financiers dans un format que vous contrôlez directement, plutôt que de les confier entièrement à des systèmes tiers opaques en espérant que les résultats d'audit restent propres.
Gardez vos dossiers financiers sous votre propre contrôle
Des rapports d'organismes de contrôle comme celui-ci sont un rappel utile que la sécurité des données financières ne concerne pas seulement les mots de passe forts — il s'agit de savoir par combien de mains passent vos dossiers et de la visibilité que vous avez sur chacune d'elles. Beancount.io propose une comptabilité en texte brut qui garde vos données financières transparentes et sous contrôle de version selon vos propres termes, sans stockage opaque par un fournisseur entre les deux. Commencez gratuitement et découvrez pourquoi les développeurs et les personnes soucieuses de leurs finances s'orientent vers des systèmes comptables qu'elles peuvent réellement auditer elles-mêmes.