Et maintenant, le fisc. Dans les couloirs de l’État, il se disait que c’était le dernier bastion à ne pas être tombé. Non parce que ses murs cyber ont été blindés, mais parce que « la rusticité de nos logiciels nous protège », osait un haut fonctionnaire. C’est fait : 678 000 lignes de données ont fuité. Dans un communiqué jeudi, la Direction générale des finances publiques (DGFiP) a reconnu un « accès illégitime » consécutif à une usurpation d’identité en juin. Le pirate revendiquant cette opération, « ZeroBytes », affirme avoir récupéré l’accès au VPN d’un agent de Bercy et aspiré les données, avant que la connexion ne soit coupée.
Cette intrusion, qui touche l’un des services les plus sensibles de la République, marque un tournant. Elle soulève une question lancinante : l’État français est-il réellement armé face à des cyberattaquants de plus en plus audacieux ? Entre infrastructures vieillissantes, sous-investissement chronique et manque de culture de sécurité, le piratage du fisc illustre des lacunes profondes. Décryptage d’un fiasco annoncé.
Une attaque par usurpation d’identité, maillon faible du système
Le mode opératoire décrit par ZeroBytes est d’une simplicité déconcertante. Selon les premières analyses, le pirate aurait obtenu les identifiants de connexion VPN d’un agent de la DGFiP, probablement via une campagne de hameçonnage ciblé ou l’achat de mots de passe volés sur le dark web. Une fois à l’intérieur du réseau, il aurait exploité des droits d’accès trop larges pour aspirer des données sensibles : noms, adresses, revenus, voire situations fiscales détaillées.
« L’usurpation d’identité reste le vecteur d’attaque le plus courant dans les administrations, explique une source proche de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). On protège les portes blindées, mais on oublie que la clé est souvent accrochée à un porte-clés humain. » En clair, la robustesse technique ne suffit pas si les agents ne sont pas formés aux réflexes de base : authentification multifacteur, vigilance face aux courriels suspects, gestion stricte des privilèges.
La DGFiP n’a pas précisé si l’authentification à deux facteurs était activée sur le VPN compromis. Mais plusieurs experts interrogés estiment que son absence, ou sa mauvaise configuration, a probablement facilité l’intrusion. « Dans beaucoup de ministères, le double facteur est encore perçu comme une contrainte, pas comme une nécessité », déplore un consultant en cybersécurité.
Un aveu d’échec pour la souveraineté numérique
Ce piratage intervient alors que la France multiplie les discours sur la souveraineté numérique et la protection des données publiques. En 2023, l’État a lancé un vaste plan de renforcement cyber, doté de plusieurs centaines de millions d’euros. Mais les résultats tardent. Les audits se succèdent, les alertes aussi : hôpitaux paralysés, collectivités rançonnées, et désormais le fisc vidé d’une partie de ses données.
« C’est un camouflet pour l’administration, juge un ancien responsable de l’ANSSI. On a longtemps cru que la complexité des systèmes publics découragerait les attaquants. C’est l’inverse : la rusticité, comme ils disent, crée des angles morts. » La DGFiP utilise en effet des applications métiers anciennes, parfois développées en interne il y a vingt ans, dont la maintenance et la sécurisation relèvent du casse-tête.
Le paradoxe est cruel : ce sont ces mêmes logiciels « rustiques » qui ont pu limiter l’ampleur de l’exfiltration, car leur architecture fragmentée ne permet pas d’aspirer toute la base d’un coup. Mais cette protection par l’obsolescence ne saurait tenir lieu de stratégie.
Quelles données ont fuité ? Un risque durable pour les contribuables
La DGFiP n’a pas encore détaillé la nature exacte des 678 000 lignes dérobées. Mais selon ZeroBytes, il s’agirait majoritairement de données d’identification et de coordonnées, voire de montants d’imposition. De quoi alimenter des campagnes de phishing sophistiquées, des usurpations d’identité ou des reventes sur des places de marché criminelles.
« Le danger ne s’arrête pas à la publication des données, alerte une avocate spécialisée en droit du numérique. Ces informations peuvent être croisées avec d’autres fuites pour constituer des profils complets. Les contribuables concernés doivent redoubler de prudence. » L’administration a promis d’informer les personnes touchées, mais le délai entre l’intrusion (juin) et la révélation (août) interroge. Deux mois de silence, pendant lesquels les données ont pu circuler librement.
L’État face à ses responsabilités : quelles leçons tirer ?
Au-delà du cas de la DGFiP, c’est toute la chaîne de sécurité publique qui est remise en cause. Les experts appellent à un électrochoc : généralisation immédiate de l’authentification multifacteur, segmentation stricte des réseaux, surveillance comportementale des accès, et surtout formation massive des agents. « Un pirate n’a pas besoin d’être un génie si un simple courriel piégé lui ouvre la porte », résume un ingénieur en sécurité.
L’ANSSI a été saisie et une enquête judiciaire est en cours. Mais les réponses techniques ne suffiront pas. Il faut une révolution culturelle dans l’administration, où la sécurité est trop souvent perçue comme un coût et non comme un investissement. Le gouvernement, par la voix du ministère des Comptes publics, a promis un « plan de renforcement immédiat ». Les contribuables, eux, attendent des actes.
En attendant, ce piratage restera comme un symbole : celui d’un État qui, malgré ses ambitions de puissance cyber, se fait déposséder de ses données les plus intimes par un simple vol de mot de passe. La rusticité ne protège plus. Elle expose.
En résumé, le piratage de la DGFiP révèle une vérité inconfortable : la cybersécurité de l’État français reste fragile face à des attaques simples mais efficaces. La fuite de 678 000 données fiscales n’est pas un accident isolé, mais le symptôme d’un sous-investissement chronique et d’une formation insuffisante. Sans une refonte profonde des pratiques, d’autres bastions tomberont.
Laisser un commentaire