Piratage de la DGFiP : l’État collectionne les fuites de données

Après l’ANTS, c’est au tour de la Direction générale des Finances publiques (DGFiP) de se faire pirater. Dans un communiqué de presse publié le 14 août, elle a confirmé une intrusion dans son système d’information : fin juin, un hacker a usurpé l’identité d’un agent et a extrait les données d’environ 678 000 particuliers et professionnels (nom, prénom, adresse, revenu fiscal de référence, quotient familial…). Son accès a été interrompu une fois l’intrusion détectée… ce qui signifie que la DGFiP était au courant et a attendu la revendication de l’attaque, en août, pour saisir la CNIL (alors que le délai maximal théorique est de 72 heures) et avertir les contribuables. Le 18 août, Amélie Verdier, directrice générale de la DGFiP, a confirmé deux autres fuites : une relative aux données cadastrales, l’autre aux successions vacantes.

Pour Clément Domingo, expert en cybersécurité, le piratage de la DGFiP est la cyberattaque la plus critique que la France ait connue étant donné que l’on parle du « dernier bastion » qui détient les informations les plus sensibles. Selon FrenchBreaches, un site spécialisé dans la fuite des données et des piratages en France, plus de 26 000 particuliers concernés auraient un revenu fiscal de référence de 100 000 € ou plus ; 386 dépasseraient 1 million d’euros et 8 dépasseraient 10 millions d’euros. Le fichier relatif à la première fuite aurait déjà été proposé à la vente sur le darknet. Il pourrait alimenter des campagnes de phishing, des faux mails attribués à l’administration fiscale, des tentatives d’usurpation d’identité… mais aussi des vols, des cambriolages, voire des enlèvements.

Tout porte à croire que cette nouvelle attaque de la DGFiP est tout, sauf un incident isolé. Le mode opératoire utilisé dans la première fuite rappelle le piratage, en janvier, du fichier national de comptes bancaires (FICOBA) tenu par la DGFiP : le hacker avait usurpé les identifiants d’un fonctionnaire et extrait 1,2 million de données telles que le RIB, l’identité et l’adresse des titulaires d’un compte bancaire. L’administration fiscale n’est pas la seule concernée. Les services de l’État sont régulièrement pris pour cible, comme Santé publique France en août (80 000 personnes), l’ANTS en avril (12 millions), France Travail fin 2025 (1,6 million) après une cyberattaque massive en mars 2024 (36,8 millions)… Des données qui pourraient être facilement croisées si elles tombaient entre de mauvaises mains.

Le piratage de la DGFiP ne serait qu’un simple sketch s’il n’avait pas de conséquences potentiellement aussi dévastatrices. Il montre, une fois de plus, le décalage entre, d’un côté, un État qui veut généraliser l’identité numérique au nom de la modernisation, imposer la facturation électronique aux entreprises, le recours à un système de vérification de l’âge via un « tiers de confiance » pour s’inscrire sur les réseaux sociaux ; et de l’autre, un État qui n’est pas capable de protéger les données les plus sensibles des contribuables, de généraliser la double authentification aux agents du fisc, et de réagir rapidement en cas d’attaque. Le 16 août, Matignon a ainsi tenu une cellule interministérielle de crise en « visioconférence sécurisée », soit un mois et demi après l’incident, quand une entreprise privée l’aurait probablement fait dans l’heure qui suit.