On a la sensation que quelque chose nous échappe
Après le vol des données de près de 700 000 particuliers et professionnels, des employés des finances publiques et des spécialistes de la cybersécurité cherchent à comprendre comment ce piratage a pu se produire.
Comment a-t-on pu en arriver là ? Depuis la découverte d’un vol massif de données dans le système d’information de la Direction générale des finances publiques (DGFiP), chaque étage de l’administration s’interroge. Dans un post sur la plateforme X, le Premier ministre Sébastien Lecornu a déclaré : « Arrêtons de découvrir la Lune à chaque cyberattaque. La menace est connue : massive, organisée, hybride. » Malgré cela, les données fiscales très sensibles ont été mises en circulation, soulevant des questions sur les failles potentielles de la sécurité numérique de la DGFiP.
Alertée sur une intrusion illégitime, l’administration a « immédiatement » coupé l’accès du cybercriminel, a assuré sa directrice générale, Amélie Verdier. Cependant, Fanny De Coster, secrétaire générale de la CGT Finances publiques, s’interroge : « Comment est-il possible d’avoir vu l’intrusion dans le système, mais pas le vol ? » Les investigations menées après l’intrusion ont « échoué à repérer ce qu’il s’est passé ». Ce qui aurait pu rester une attaque sans répercussion, comme les 6 972 attaques subies par la DGFiP en 2025, est devenu une affaire d’une ampleur bien plus grande après l’annonce de la mise en vente des données volées.
Bien que le ministre de l’Action et des Comptes publics ait présenté ses excuses, aucune responsabilité n’a encore été établie concernant les causes de cette cyberattaque, pour laquelle le parquet de Paris a ouvert une enquête. Le Premier ministre a demandé à l’Agence nationale de la sécurité des systèmes d’information (Anssi) de « conduire un audit approfondi pour établir précisément les circonstances et les causes de l’incident ».
À l’issue d’une réunion entre les syndicats et la direction générale, l’inquiétude dominait chez les représentants du personnel. « On a la sensation que quelque chose nous échappe », a déclaré Fanny De Coster. Sandra Demarcq, secrétaire générale de Solidaires Finances Publiques, partage ce sentiment : « J’ai l’impression qu’ils sont un peu dépassés par l’ampleur [de l’attaque]. »
Une des réponses pourrait résider dans la dette technologique du fisc. Des moyens sont alloués à la DGFiP pour maintenir ses systèmes informatiques à jour, mais cette tâche demande du temps et de l’argent. Richard Bordonneau, développeur à la DGFiP, explique que « nos applications n’ont pas vocation à vivre seulement un an ou deux ». En 2020, un rapport du Sénat soulignait que « la Cour des comptes juge que les systèmes sont gérés avec fiabilité, mais que c’est bien leur ancienneté qui est source de faiblesses ».
La résorption de cette dette technique est une « priorité absolue » du nouveau contrat d’objectifs et de moyens de la DGFiP, qui court jusqu’en 2027. Actuellement, moins d’un tiers des logiciels et serveurs de la DGFiP répondent aux normes techniques actuelles, même si des efforts ont été faits pour augmenter ce chiffre à 52,2 % d’ici fin 2025.
Malgré cela, la dette technique ne suffit pas à expliquer tous les maux numériques de cette administration. Richard Bordonneau souligne que « l’État n’est pas le meilleur des employeurs sur le plan financier », ce qui complique le recrutement de nouveaux talents. Selon un rapport de la Cour des comptes, près de 35 % des postes de programmeurs ouverts au concours des trois dernières années n’ont pas été pourvus.
En réponse à la situation actuelle, Sébastien Lecornu a proposé le déblocage de 200 millions d’euros dédiés à la cybersécurité. Toutefois, Philippe Latombe, député MoDem, juge cette somme insuffisante et appelle à des investissements plus substantiels pour renforcer la sécurité des systèmes d’information.
La mise en œuvre de recommandations de la CNIL, telles que l’authentification multifacteurs, reste en suspens, ce qui soulève des interrogations sur la volonté politique d’agir face aux menaces cybernétiques.
La directrice générale de l’administration fiscale a annoncé le déploiement de « l’usage systématique de l’authentification forte » d’ici la fin de l’année, une première étape pour regagner la confiance des agents et des contribuables.
Source : Franceinfo.
