- Après plusieurs intrusions ayant exposé les données fiscales et personnelles de centaines de milliers d’usagers, le gouvernement annonce une série de mesures pour sécuriser les systèmes de la Direction générale des finances publiques.
- Double authentification, audit, intelligence artificielle et « bug bounty » figurent au programme.
Le gouvernement tente de reprendre la main après une succession de cyberattaques contre l’administration fiscale. Lors d’une conférence de presse organisée mardi 18 août au ministère de l’Économie, David Amiel, ministre de l’Action et des Comptes publics, a présenté un « plan d’action » destiné à renforcer les défenses informatiques de la Direction générale des finances publiques (DGFiP).
Selon Capital, citant BFM Tech, les trois fuites recensées auraient exposé les données personnelles, fiscales ou cadastrales d’au moins trois millions de personnes. Le bilan officiellement établi le 14 août faisait état de 678.000 particuliers et professionnels concernés par les intrusions de juin et juillet.
Ces accès frauduleux, reposant notamment sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité, ont permis la consultation ou l’extraction de données telles que le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source ou encore certaines informations cadastrales. Les espaces personnels des contribuables ainsi que leurs mots de passe n’ont toutefois pas été compromis, précise le communiqué de Bercy.
La double authentification généralisée
Première mesure annoncée : la généralisation de la double authentification à l’ensemble des agents de la DGFiP. Jusqu’à présent, ce dispositif, qui impose une seconde validation lors de la connexion à une plateforme, n’était déployé que partiellement.
Bercy veut également intensifier les campagnes internes de simulation d’hameçonnage afin de sensibiliser davantage les agents publics. Les formations consacrées aux risques numériques seront « renforcées » et actualisées à partir des enseignements tirés des dernières attaques.
Cette réponse vise notamment à réduire les risques liés à la compromission de comptes professionnels, l’un des principaux modes opératoires employés lors des intrusions. Le ministère prévoit parallèlement de revoir ses dispositifs de détection afin d’identifier plus rapidement les usurpations de comptes et les comportements jugés « anormaux », notamment les consultations massives de données sensibles.
Un audit de l’ANSSI attendu en septembre
Le plan gouvernemental prévoit également un audit du système d’information de la DGFiP, supervisé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ses conclusions sont attendues en septembre 2026.
L’enjeu est d’autant plus important que l’administration fiscale avait détecté la compromission de certains outils sans parvenir à identifier immédiatement l’extraction de données. La fuite n’a été confirmée que plus d’un mois après les premières intrusions, lorsque les pirates ont publiquement revendiqué le vol.
« Nous avons conduit des investigations qui ont échoué à repérer ce qui s’est passé. Nous avons appris le vol de données le 12 août, nous n’en avions pas connaissance avant », a reconnu Amélie Verdier, directrice générale des finances publiques, en réponse aux critiques concernant le délai de communication du gouvernement.
Selon le communiqué officiel, les premiers contrôles n’avaient pas permis d’établir que les intrusions avaient abouti à des vols de données, en raison de la « sophistication de l’attaque ».
L’intelligence artificielle pour simuler des attaques
Le gouvernement entend aussi mobiliser l’intelligence artificielle pour éprouver la résistance des systèmes internes. Cette technologie devra simuler des attaques informatiques afin d’identifier les principales vulnérabilités avant qu’elles ne puissent être exploitées.
Un programme de « bug bounty » doit également être mis en place. Inspiré des pratiques des grandes entreprises technologiques, ce dispositif consiste à rémunérer les chercheurs en sécurité ou pirates éthiques qui découvrent et signalent une faille informatique.
Le plan prévoit enfin le déploiement de systèmes d’alerte précoce capables de repérer les activités inhabituelles et les collectes massives d’informations. Reste toutefois à déterminer le budget consacré à ces mesures, alors que des représentants du personnel ont alerté sur le manque de moyens humains et financiers affectés à la sécurité informatique de l’administration.
Une troisième fuite liée aux successions
Lors de la conférence de presse, Amélie Verdier a confirmé l’identification d’une troisième « fuite » concernant des données relatives aux successions. Repérée lundi par les services de l’État, cette brèche a depuis été « coupée ».
La directrice générale des finances publiques a néanmoins assuré qu’elle n’était « vraiment pas du tout de la même ampleur » que les deux premières. Les informations exposées seraient moins sensibles et comparables à celles figurant dans des « annonces légales» accessibles au public.
David Amiel a présenté les excuses du gouvernement à l’issue de la conférence. « Au-delà des excuses que nous devons aux victimes, celles-ci attendent des actes », avait-il déjà déclaré, en appelant à accélérer la modernisation de la cybersécurité de la DGFiP.
ZeroBytes revendique une attaque contre l’Éducation nationale
Le groupe ZeroBytes, qui a revendiqué les intrusions visant l’administration fiscale, affirme également avoir compromis plusieurs systèmes informatiques liés à l’Éducation nationale. Les pirates disent avoir extrait environ 43 gigaoctets de données, répartis dans plus de 2.600 fichiers.
Cette revendication concernerait des informations portant sur des élèves, leurs responsables légaux et des personnels de l’Éducation nationale. Le groupe évoque 346 millions de lignes brutes, un volume qui ne correspond toutefois pas à autant de personnes puisqu’un même individu peut apparaître dans plusieurs fichiers.
L’ampleur et le périmètre de cette fuite n’étaient pas entièrement confirmés par le gouvernement au moment des annonces. Des échantillons examinés par plusieurs spécialistes semblent néanmoins provenir de systèmes utilisés par l’administration scolaire, selon Clubic.
La pression politique s’intensifie
La réponse gouvernementale ne met pas fin aux interrogations sur la sécurité des systèmes informatiques publics. Les oppositions reprochent notamment à l’exécutif d’avoir attendu plusieurs semaines avant d’informer les personnes concernées.
Les sénateurs socialistes ont demandé la création d’une commission d’enquête parlementaire afin d’examiner les circonstances des piratages, les délais de réaction de l’administration et les failles de sécurité ayant permis les intrusions. Leur demande a été adressée au président du Sénat, Gérard Larcher.
Entre audit technique, investigations judiciaires et offensive parlementaire, la crise dépasse désormais le seul périmètre de Bercy. Elle place au premier plan la question des investissements nécessaires pour protéger les données détenues par les administrations françaises.