|
Getting your Trinity Audio player ready...
|
On n’arrête plus l’hémorragie. Après le fichier des comptes bancaires (FICOBA) en janvier, l’Agence nationale des titres sécurisés (ANTS) en avril ou encore la messagerie d’Etat Tchap en juin, c’est au tour de la Direction générale des Finances publiques (DGFiP) – qui gère notamment la plate-forme Impots.gouv.fr – de tomber entre les mains des hackers. Au total, au moins une quinzaine de services opérés par l’État ou pour le compte de l’État ont déjà été piratés en 2026, du moins en ce qui concerne les attaques d’ampleur connues. À chaque fois, ce sont des centaines de milliers voire des millions de données souvent sensibles qui s’envolent dans la nature, à la merci des arnaques en tous genres (1,2 million de comptes concernés pour le FICOBA, près de 12 millions pour l’ANTS…)
En l’occurrence, le vol de données du fisc dont tout le monde parle en ce moment concerne 678 000 particuliers et professionnels d’après Bercy, qui a reconnu la fuite… 7 semaines après l’intrusion, qui s’est produite fin juin. Un aveu qui intervient au lendemain de la mise en vente des données par le duo de pirates ZeroBytes qui a revendiqué l’attaque. Avant d’annoncer une seconde intrusion sur le serveur professionnel des données cadastrales, puis une autre encore sur celui de l’Éducation nationale, le 17 août, et sur les données de succession de la DGFiP le jour suivant…
La réaction plus que tardive de l’État, et plus largement la vulnérabilité des administrations publiques face à ces vols de données en cascade soulèvent des interrogations à n’en plus finir. À commencer par celle-ci : l’information aurait-elle été rendue publique si l’attaque n’avait pas été revendiquée ? Et surtout, comment a-t-on bien pu en arriver là ?
Arnaques, cambriolages, enlèvements
La fuite de données du fisc marquera-t-elle l’électrochoc qu’il fallait à la cybersécurité française ? Certains, comme le sénateur socialiste Thierry Cozic, évoquent déjà « la cyberattaque la plus grave de l’histoire de notre pays ». Son groupe parlementaire réclame par ailleurs une commission d’enquête, estimant que « les événements intervenus depuis le début de l’année 2026 font apparaître une succession d’incidents qui justifie désormais (…) que le Parlement puisse disposer d’une vision d’ensemble. »
En cause, notamment : la nature sensible des données dérobées, qui comprend les adresses, revenus fiscaux et taux de prélèvement des personnes concernées. Ce qu’elles risquent ? Dans son courrier adressé aux victimes de ce vol massif de données, la DGFiP mentionne de « possibles tentatives d’escroqueries par l’intermédiaire de messages (hameçonnage) », des « appels rendus plus crédibles par la mention des données personnelles dérobées », et « plus marginalement des tentatives d’usurpation d’identité. »
Sans oublier que pour les contribuables, en particulier les plus fortunés, le danger n’est pas seulement virtuel. Le fichier dérobé contient près de 27 000 déclarations au-dessus de 100 000 euros et quelques centaines au-dessus du million, avec l’adresse en face : du pain béni pour les cambriolages et les enlèvements, comme on en a déjà vu des dizaines en France ciblant des détenteurs de crypto-monnaies.
En octobre 2025, le piratage du système informatique de la fédération française de tir avait également donné lieu à plusieurs dizaines de cambriolages (vols d’armes) selon le ministère de l’Intérieur.
Au nez et à la barbe de l’État
Le mode d’attaque à l’origine de la fuite de données du fisc n’a rien d’original ni de très sophistiqué : Bercy fait mention d’ « usurpations d’identifiants d’un agent de la DGFiP ». La même administration s’était déjà fait avoir par ce biais en janvier, lorsqu’un acteur malveillant avait accédé au dossier FICOBA. Idem pour le piratage du système d’information dédié à la formation des personnels de l’Education nationale survenu fin juillet.
Ce n’est pas faute, pour le syndicat Solidaires Finances Publiques, d’avoir tiré la sonnette d’alarme dès le mois de juin : « Après les fuites Tchap et France Services, nous avions alerté [la directrice générale] sur les risques de “piratage, d’usurpation d’identité ou d’hameçonnage ciblé” et sur la possibilité, “à très court terme”, de nouvelles attaques. Mais comme à son habitude, la DGFiP nous avait répondu que tout était sous contrôle et qu’aucune donnée n’avait fuité ! »
Lors d’un brief presse organisé le 14 août, la directrice de la DGFiP Amélie Verdier a en effet expliqué que la compromission du compte d’un agent du fisc avait été détectée au mois de juin déjà, mais qu’ils « [n’avaient] pas identifié que l’attaquant avait pu récupérer des données. »
Qu’un accès puisse être usurpé, cela peut arriver : le risque zéro n’existe pas en cybersécurité. Le plus consternant, c’est que les hackers aient pu accéder à un si grand nombre de données sans éveiller les soupçons de la DGFiP. Selon Amélie Verdier, le pirate n’a pas réalisé un « requêtage massif avec l’utilisation de robots » mais a « procédé d’une manière plus sophistiquée avec des explorations d’abord manuelles puis automatisées mais avec de faibles volumes » soit « un comportement qui ne paraissait pas atypique ». Il n’est donc pas impossible que d’autres attaques aient eu lieu sans qu’on le sache…
Dans un billet de blog, l’entrepreneur Tariq Krim, fondateur du think tank Cybernetica, donne trois explications possibles à cette exfiltration non détectée : « Soit l’extraction n’est loguée nulle part, et c’est un défaut de conception intolérable sur un système de cette sensibilité ; soit l’attaquant est entré, a obtenu suffisamment de privilèges et a effacé ses traces derrière lui ; soit personne n’a pris la peine de vérifier comment il avait opéré. » Dans tous les cas, il y a un problème.
Les administrations publiques, une cible de choix pour les hackers
L’ampleur de l’attaque ciblant la DGFiP aurait pourtant pu être drastiquement réduite. Par exemple, l’authentification multifacteur est recommandée par la Cnil, qui précise dans son rapport annuel de 2025 que près de 80 % des violations de grande ampleur constatées courant 2024 ont été permises par l’usurpation d’un compte protégé uniquement par un mot de passe.
Or, comme l’admet indirectement la feuille de route 2026-2027 pour la cybersécurité de l’État, les ministères n’ont toujours pas généralisé l’authentification multifacteur pour accéder à leurs systèmes d’information (puisque c’est un objectif pour les SI « à enjeux » d’ici février 2027, et à l’ensemble des SI d’ici février 2028). Tout aussi inquiétant : le texte appelle à réaliser des tests de sauvegarde réguliers des systèmes d’informations critiques, ainsi qu’à supprimer des comptes génériques (c’est-à-dire des comptes sans traçabilité, dont on ne sait à qui il appartient ou qui l’utilise). Des mesures de protection pourtant assez basiques.
Tariq Krim pointe également du doigt le modèle historique de sécurité de l’État. « Beaucoup de systèmes ont été conçus dans un environnement où l’accès informatique était précédé par une série de barrières physiques : bâtiment sécurisé, badge, machine contrôlée, réseau interne. Cette logique conduit naturellement à accorder davantage de confiance à quelqu’un une fois qu’il est “dedans”. C’est l’inverse exact du zero trust, le principe qui consiste à ne faire confiance à aucun accès par défaut et à tout revérifier en continu, à chaque action. »
Un problème que le Ministre de l’Action et des Comptes publics David Amiel a lui-même reconnu après la révélation de la fuite de données du fisc : « L’État a accumulé certaines “dettes techniques” pendant des décennies, et nos doctrines doivent être mises à jour de manière beaucoup plus rapide. » D’autant que la situation ne risque pas de s’arranger à l’ère de l’intelligence artificielle. Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) anticipe en effet que ces technologies faciliteront grandement le travail des hackers, « particulièrement sur les environnements peu sécurisés. »
Parmi eux, les administrations publiques sont particulièrement touchées, confirment des rapports de la Cnil et de l’Agence de l’Union européenne pour la cybersécurité (Enisa). Au niveau européen, la France fait office de mauvais élève, puisqu’elle arrive en tête des pays cités pour les incidents touchant ce type d’organisations. Une dynamique qui s’accélère rapidement. À la tête de la Cnil, Marie-Laure Denis indique au Monde que la part des fuites de données issues du secteur public dans le nombre total de fuites de données a doublé en l’espace de seulement deux ans.
+30 000 SONT DÉJÀ INSCRITS
newsletter
Une alerte pour chaque article mis en ligne, et une lettre hebdo chaque vendredi, avec un condensé de la semaine, des infographies, nos recos culturelles et des exclusivités.
Un problème de budget ?
Alors que s’est-il passé ? L’Etat français aurait-il traîné des pieds sur le sujet cyber ? C’est en tout cas ce dont l’accuse le syndicat Solidaires Finances Publiques dans son communiqué du 14 août : « Cette succession d’incidents n’est pas une fatalité. Elle est aussi le résultat de choix politiques : toujours plus de numérique, de données et d’interconnexions, sans que la sécurité informatique suive au même rythme (…) Les investissements dans l’IA ne peuvent se faire au détriment de la cybersécurité et de la résorption de la dette technique, alors même que ces nouveaux usages augmentent les risques. »
Le 30 avril, « face à l’intensification des cyberattaques visant les systèmes d’information de l’État », Sébastien Lecornu avait tenté de rectifier le tir en annonçant un renforcement des moyens : 200 millions d’euros pour financer des investissements dans les applications, les outils de détection et la cryptographie post-quantique, et 5 % des budgets numériques de chaque ministère dédié au cyber dès 2027.
Mais la problématique n’est pas seulement budgétaire. Ni même liée à un manque de compétences. D’après Tariq Krim, « le problème est que les personnes qui comprennent réellement les systèmes ne sont pas nécessairement celles qui disposent du pouvoir d’imposer les architectures, les règles de sécurité ou l’arrêt d’un projet jugé dangereux. »
Une irresponsabilité organisée
Cette négligence est aussi le fruit de choix politiques. Il faut rappeler que la principale loi de protection numérique des entreprises et administrations, la directive européenne NIS 2 (Network and Information Security) de 2022, n’a toujours pas été votée en France alors qu’elle était censée le faire d’ici octobre 2024. Au point, d’ailleurs, que la Commission européenne a perdu patience : début juillet, elle a saisi la Cour de Justice de l’UE pour non-transposition de la directive. L’examen du texte est désormais attendu à l’Assemblée nationale à partir du mois de septembre.
Le point bloquant ? Une opposition de la DGSI, qui souhaite pouvoir accéder aux messageries chiffrées via la mise en place de « portes dérobées » (backdoors), selon le député Philippe Latombe et le sénateur Olivier Cadic. Or les sénateurs ont introduit, dans le cadre de la transposition de la directive NIS 2, une disposition (article 16 bis) visant à interdire de tels accès, qui « [affaibliraient] volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme permettant un accès non consenti aux données protégées. »
Le chiffrement de bout en bout des applications de messagerie (WhatsApp, Signal, Telegram…) est pourtant défendu par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour protéger les données personnelles et la vie privée des citoyens. Et le risque cyber est avéré : aux États-Unis, ces « portes dérobées » ont été utilisées en 2025 par des hackers chinois pour surveiller les communications, dans le cadre de l’affaire dite Salt Typhoon.
Ce n’est pas tout : comme le dénonce l’avocat Yann Padova dans les pages des Échos, l’État a aussi « organisé sa propre irresponsabilité juridique en matière de protection des données ». L’adaptation dans la loi nationale du règlement européen sur les données (RGPD) en 2019 prévoit une exemption d’amende en cas de manquement en matière de protection des données, dès lors que « le traitement est mis en œuvre par l’État. » Les entreprises, elles, sont soumises à des amendes pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel. « Ce choix est singulier. Il n’est pas celui fait par d’autres Etats membres de l’Union, à l’instar de l’Italie, dont la “Cnil” a déjà sanctionné financièrement des administrations d’Etat », relève Yann Padova.
À noter : la Cnil a bien infligé une amende de 5 millions d’euros à l’encontre de France Travail à la suite d’une fuite de données, car l’organisme n’a « pas mis en place les mesures techniques et organisationnelles qui auraient pu rendre l’attaque plus difficile. » Le délibéré indique en effet qu’il s’agissait de traitements de données « mis en œuvre pour le compte de l’Etat » et non par l’État lui-même.
Politiser la numérisation
Effet collatéral majeur de ces fuites en cascades, la démocratie prend un sacré coup. Pour reprendre les termes de la présidente de la Cnil, Marie-Laure Denis, au Monde en mai 2026 : la multiplication des fuites de données des administrations publiques engendre une « altération du lien de confiance entre l’Etat et les citoyens, car l’État a une responsabilité particulière à l’égard des données des Français. »
Comment les citoyens pourraient-ils accorder leur confiance à des administrations qui n’appliquent pas «l’hygiène de base » de la cybersécurité ? Et plus encore, comment pourraient-ils accepter que la numérisation des services publics et la collecte de données continuent ainsi, comme si de rien était ?
Le sujet est éminemment politique et mériterait plus de lumière dans les débats, notamment à l’approche de l’élection présidentielle. Les discussions autour de l’interdiction des réseaux sociaux aux moins de quinze ans – avec tous les risques que cela implique en matière de protection de la vie privée – l’ont bien rappelé. L’artifice de sécurité sur lequel repose ce type de mesure, finalement retoquée par le Conseil Constitutionnel, doit être questionné. La numérisation à marche forcée de la société (les données des impôts, par exemple, sont numérisées sans qu’on puisse s’y opposer) n’est pas une fatalité, même à l’ère de l’intelligence artificielle.
