La France de 2026 est au niveau de la Bulgarie en 2019
Au milieu de la pause estivale, nous avons tous découvert cet incident majeur au cœur de l’État. Nous avions déjà parlé de la question de la sécurité de l’État lors du piratage de l’ANTS, mais là, il faut le dire, on atteint un nouveau palier, peut-être le niveau le plus haut jamais atteint.
Et toujours la même question : comment est-ce possible ?
Pour confronter des points de vue différents, j’ai discuté avec des membres de la communauté Cybernetica aux profils variés : un spécialiste de la transformation numérique de l’État, un spécialiste en cybersécurité, une personnalité politique et quelques vieux routards du monde numérique.Une analyse nuancée qui essaye d’aller un peu plus loin que le bruit ambiant.
La DGFiP a confirmé une intrusion ayant conduit à la fuite d’un fichier de 678 000 entrées, particuliers et professionnels. La directrice générale des finances publiques, Amélie Verdier, a confirmé le vendredi 14 août au soir le bilan et les principales catégories concernées : noms et prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. L’échantillon analysé par FrenchBreaches à partir des données revendiquées par le pirate contient en outre l’adresse, le téléphone, l’adresse électronique et le nombre de personnes à charge.
L’accès de l’attaquant avait été coupé fin juin, mais l’exfiltration n’avait alors pas été détectée. La fuite n’a été identifiée qu’après la mise en vente des données, le 12 août. C’est déjà, en soi, une partie importante du problème.
Le même pirate a revendiqué une seconde attaque, menée fin juillet contre le serveur professionnel des données cadastrales et confirmée par l’administration : plus de deux millions de personnes concernées, selon lui. Il a aussi donné sa version des faits, l’accès récupéré sur un VPN utilisé par les agents du fisc, et s’est permis de commenter : il faut, dit-il, que les gens se réveillent et voient à quel point « la France est un sketch ».
Et la classe politique s’en mêle : l’eurodéputée Aurore Lalucq, coprésidente de Place publique, a demandé sur X la démission du ministre chargé des comptes publics, David Amiel, après avoir dénoncé que la personne « est entrée et repartie avec la caisse. Ça suffit ».
Et pendant ce temps, une autre administration s’est aussi fait hacker dans l’obscurité la plus complète.
Dans la nuit du 25 au 26 juillet, quelqu’un est entré dans le système d’information dédié à la formation des personnels de l’Éducation nationale. Même chose qu’à la DGFiP : l’usurpation d’un compte professionnel.
Les données concernées sont celles de tous les agents ayant exercé en académie depuis 2001 : identité, statut, fonctions, et pour une partie d’entre eux adresse postale, téléphone et numéro de sécurité sociale. Le ministère n’a à notre connaissance pas publié de volumétrie. Le communiqué est sorti le 31 juillet, en pleine période estivale, et personne n’en a parlé. C’était le troisième piratage de l’Éducation nationale depuis janvier.
Beaucoup de gens sur Twitter ont posé la question : peut-on attaquer l’État pour négligence ?