COMPTES PUBLICS - " Une situation extrêmement grave "

Les excuses du ministre des Comptes publics, mardi, et l'annonce d'un plan pour se protéger de futures cyberattaques n'ont pas éteint les condamnations d'opposants politiques et d'experts en cybersécurité.

Une affaire d'Etat ? Le gouvernement est critiqué de toutes parts, après la révélation par un groupe de pirates, mi-août, d'un vol massif de données issues du système d'information de la Direction générale des finances publiques (DGFiP). L'administration fiscale a, dans la foulée, confirmé deux intrusions, survenues fin juin et fin juillet, ainsi que le vol de données concernant au moins 678 000 particuliers et professionnels. Une "troisième fuite" concernant des données de successions a aussi été "repérée" et "coupée", a fait savoir, mardi 18 août, Amélie Verdier, directrice générale de la DGFiP, lors d'une conférence de presse.

"Nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français", a réagi le ministre des Comptes publics, David Amiel, à la même occasion. Mais ce mea culpa et l'annonce de mesures pour parer à de futures cyberattaques visant l'administration fiscale n'ont pas éteint les condamnations d'opposants politiques et d'experts en cybersécurité. Face aux critiques, Sébastien Lecornu a demandé mercredi à l'Agence nationale de la sécurité des systèmes d'information (Anssi) de constituer une "nouvelle unité cyber" pour offrir une "réponse opérationnelle plus réactive" aux cyberattaques.

Communication, organisation, mesures techniques en place… Voici pourquoi l'affaire embarrasse le gouvernement.

Parce que la DGFiP a communiqué tardivement sur les fuites

Comme les élus socialistes au Sénat, la présidente du groupe La France insoumise à l'Assemblée nationale, Mathilde Panot, a demandé, mercredi sur France Inter(Nouvelle fenêtre), la mise en place d'une commission d'enquête parlementaire. "Si les cybercriminels n'avaient pas revendiqué leurs attaques le 12 août, alors nous n'aurions pas su qu'il y avait 700 000 données personnelles qui avaient été volées. Or, ces vols de données ont été faits en juin et en juillet", a observé la députée.

"Soit la Direction générale des finances publiques ne s'est pas rendu compte qu'il y avait un vol de données, et c'est extrêmement grave, (…) soit ils l'ont dissimulé", alors qu'ils "étaient dans l'obligation d'avertir les gens et de le dire publiquement" au regard du règlement général sur la protection des données(Nouvelle fenêtre) en vigueur, a justifié Mathilde Panot. "Les syndicalistes à Bercy disent qu'ils ont alerté en juin, en juillet et à d'autres moments sur le fait qu'ils voyaient beaucoup d'intrusions dans les systèmes de données. [Ils ont] donc alerté la direction qui n'a pas tenu compte de leurs alertes", a aussi affirmé la députée.

Des propos démentis par la directrice générale de la DGFiP, mardi. Amélie Verdier a assuré que ses services n'avaient "pas eu connaissance du vol de données avant le 12 août". S'ils ont bien détecté la compromission quand elle s'est produite, coupant alors les accès au compte utilisé, les "investigations" menées en interne après le piratage se sont révélées "malheureusement insuffisantes", de l'aveu même d'Amélie Verdier, puisqu'elles sont passées à côté du vol massif de données.

Parce que l'organisation de l'administration fiscale est pointée du doigt

Ce repérage tardif pose question à plusieurs observateurs, qui s'interrogent sur l'organisation du service. "Ce n'est pas un problème technique. C'est un problème d'organigramme", estime ainsi sur le réseau social X(Nouvelle fenêtre) Thomas Jardinet, architecte informatique, pointant du doigt l'absence de responsable de la sécurité des systèmes d'information dans l'organigramme de la DGFiP.

"Vous avez un sous-secrétariat d'Etat [au Numérique] qui est perdu dans Bercy, qui n'a pas de budget, pas de moyens, pas d'administration" avec des "agences autonomes [BPI France et l'Anssi] qui font ce qu'elles veulent sans contrôle", a aussi pointé, mardi sur France Culture, Jean-Baptiste Soufron, ancien secrétaire général du Conseil national du numérique.

Le sénateur LR Jean-François Husson appelle également, mercredi sur franceinfo, à revoir l'organisation à Bercy, où il y a "manifestement insuffisamment de coordination". Pour comprendre comment le piratage a pu se produire, le Premier ministre Sébastien Lecornu a demandé à l'Anssi de conduire "un audit approfondi (…) en complément de l'enquête judiciaire en cours", a fait savoir Matignon.

Parce que la France est à la traîne sur les bonnes pratiques de sécurité

Le ministre des Comptes publics, David Amiel, a annoncé mardi plusieurs mesures pour empêcher de nouvelles intrusions, dont l'accélération du déploiement de la double authentification à l'ensemble des agents et un renforcement de leur "formation cyber". Ces annonces interviennent alors qu'il avait reconnu, mi-août sur X(Nouvelle fenêtre), que l'Etat avait "accumulé certaines 'dettes techniques' pendant des décennies", et que les "doctrines [devaient] être mises à jour de manière beaucoup plus rapide".

"Je suis atterré d'entendre le pseudo-plan d'action" du gouvernement, a réagi sur franceinfo mercredi Clément Domingo, hackeur éthique et expert en cybersécurité. "Tout ce qu'il [David Amiel] a dit, on le savait déjà depuis très longtemps. Il y avait déjà des préconisations qui étaient faites, surtout pour un système aussi [essentiel]" que celui des impôts.

Certaines de ces préconisations auraient même déjà dû être mises en œuvre. La directive européenne "NIS 2" sur la cybersécurité, adoptée fin 2022, aurait dû être transposée en droit français au plus tard en octobre 2024. Le texte prévoit un certain nombre d'obligations en matière de cybersécurité, comme celles de notifier les incidents à l'Anssi et d'imposer des mesures de sécurité, comme une authentification à plusieurs facteurs.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité(Nouvelle fenêtre), qui prévoit la transposition de cette directive, est néanmoins bloqué à l'Assemblée nationale. Adopté au Sénat en mars 2025, il devait initialement être inscrit dans une session extraordinaire du Parlement en septembre de la même année. Mais la chute du gouvernement de François Bayrou et l'encombrement législatif ont, pour l'instant, eu raison de son inscription à l'agenda.

La Rédaction