Données fiscales dérobées : la DGFiP face à une crise de confiance ...

La direction générale des finances publiques a été la cible d’une intrusion, détectée fin juin, mais dont les conséquences ne se sont révélées que tardivement, au cœur de ce mois d’août. Selon la communication officielle de la DGFiP, un hacker s’est introduit fin juin dans le système d’information et a pu dérober les données fiscales d’environ 350.000 particuliers et 250.000 professionnels. Ce n’est qu’à la mi-août, après la revendication de celui-ci, que la direction a lancé des investigations. Pourquoi est-ce survenu aussi tard ? Si, fin juin, la direction a pu couper l’accès malveillant dès sa détection, elle n’a en revanche pas constaté immédiatement le vol des données concernées. En réalité, deux intrusions du même hacker sont survenues : d’abord au sein des fichiers du fisc, puis au sein du fichier cadastral, contenant des données patrimoniales des Français. L’enquête est toujours en cours.  

À l’occasion d’une conférence de presse tenue ce mardi 18 août, le ministre de l’Action et des Comptes publics David Hamiel, a reconnu, sur la cyber, une dette technique de l’État. Certes, le système d’information de la direction générale des finances publiques est particulier : en plus d’être construit sur un modèle ancien, dont le chantier de modernisation est engagé mais laborieux, il est totalement indépendant du reste du périmètre ministériel, du fait de sa haute sensibilité. Ce qui représente à la fois un avantage en matière de sécurité, mais aussi des inconvénients, puisqu’il ne répond pas nécessairement aux mêmes mesures de sécurité que le reste. Sa modernisation, déjà engagée depuis 2020, demeure un chantier complexe et laborieux, a rappelé la directrice générale des finances publiques, Amélie Verdier. En outre, le volume de données manipulées au quotidien par les agents de la direction générale des finances demeure colossal, rendant difficile, avec les méthodes actuelles, la détection d’extraction illicite d’un grand volume de ces données.  

66699

3

Représentants d’une administration sous le feu des critiques et prenant acte de la rupture de confiance envers les usagers, David Amiel et Amélie Verdier ont annoncé quelques mesures d’urgence en réponse à la cyberattaque. Un audit, mené par l’Agence nationale de la sécurité des systèmes d’information, a d’ores et déjà été lancé. Les premières conclusions seront remises au gouvernement et au Parlement en septembre, a précisé David Amiel. Le diagnostic complétera les enseignements passés et la feuille de route cyber formulée début 2026. Dès septembre, la direction interministérielle du numérique devra rendre opérationnel un système d’intelligence artificielle permettant à l’administration de s’auto-attaquer pour détecter les failles et vulnérabilités de ses systèmes.  

9

Sur le plan technique, la direction générale des finances publiques va se doter, notamment, de meilleurs dispositifs de détection, d’une politique d’accès aux comptes sensibles d’agents plus sécurisée – ces derniers n’auront plus accès, via internet, à certaines applications jugées sensibles, entre autres – et d’une politique d’authentification à double facteur renforcée, ce dispositif n’étant pas encore adopté de manière homogène. Enfin, des campagnes de bug bounty, proposant à des hackers éthiques de détecter des failles au sein d’un système d’information, seront lancées, ainsi que des programmes de formation améliorés à destination des agents.

D’autre part, lundi 17 août, le Premier ministre Sébastien Lecornu a organisé une cellule interministérielle de crise cyber dédiée à cette intrusion. Elle avait plusieurs objets : valider la notification de l’intrusion à tous les particuliers et professionnels concernés, mais aussi faire le point sur le plan, engagé en avril, de renforcement du numérique de l’État. À son issue, Matignon a confirmé, sans détailler l’accélération de la mise en œuvre du plan de sécurisation des systèmes d’information, déjà engagé en avril dernier : pas de nouvelles annonces, hormis une demande aux ministères d’intensifier leurs efforts sans attendre les prochaines échéances de suivi du plan d’urgence cyber que nous détaillions il y a quelques semaines. La création de l’Ariane, future direction interministérielle du numérique et pilotée par Walter Arnaud, est toujours fixée au 1ᵉʳ janvier prochain. 

Si les pouvoirs publics affirment avoir conscience de la gravité de la situation, l’accumulation des cyberattaques, ces derniers mois, combinée à la violation de données fiscales, donc sensibles, sonne comme un coup de grâce après la cyberattaque subie par l’Agence nationale des titres sécurisés. En matière de cyber, la question n’est pas de savoir si on va être attaqué, mais quand. La responsabilité des dirigeants est de repousser sans relâche cette échéance : aucun ministère ni opérateur public n’est à l’abri, analyse un ancien conseiller de l’exécutif.  

Selon nos organisions syndicales,  les risques étaient bien identifiés. À la suite de la communication de la DGFiP, nos syndicats sont rapidement montés au créneau pour rappeler qu’ils alertaient déjà, de longue date, sur les risques identifiés de cyberattaques au sein de l’institution. 

Là où nous sommes furieux, c’est qu’il a fallu que le cybercriminel fasse une annonce pour que la direction générale intervienne et annonce qu’il y a eu une fuite, et qu’elle craint la difficulté de se relever après une telle attaque, et que la responsabilité  soit imputée aux agents. On sent notre direction un peu dépassée par les évènements. Elle parle de crise systémique, et elle a raison. Il y a eu une réunion de crise, organisée par la DGFiP avec nos syndicats, et l’un d’entre eux  rappelle, de son côté, avoir alerté tous ses interlocuteurs sur le traitement défavorable de la DGFiP en matière de moyens et d’emplois, sans équivalent dans toute la sphère publique, et sur la dette informatique contractée par des années de sous-investissement chronique.