Piratage du fisc : le plan de riposte de Bercy, déjà critiqué par les syndicats

Après les excuses du ministre, place au plan d'action. Bercy a dévoilé sa réponse au piratage massif de la DGFiP, entre authentification renforcée et détection des intrusions. Problème : ces mesures reprennent quasiment mot pour mot des recommandations que la CNIL formulait déjà en 2024, et le syndicat Solidaires Finances Publiques les juge très en deçà des enjeux.

Ce qui s'est passé

À l'issue d'une cellule interministérielle de crise réunie le 17 août par le Premier ministre, le gouvernement a annoncé une série de mesures pour colmater les brèches révélées par le piratage des systèmes de la DGFiP, qui a exposé les données fiscales de 678 000 particuliers et professionnels. Trois axes structurent le plan : la généralisation de la double authentification pour l'ensemble des agents d'ici la fin de l'année, le renforcement des dispositifs de détection des usurpations de comptes et l'élargissement des quotas d'accès déjà appliqués à certains fichiers sensibles comme Ficoba. S'y ajoutent une intensification des campagnes de bug bounty, des formations renforcées et un recours accru à l'IA pour simuler des attaques.

Bercy reconnaît lui-même une limite de taille : plusieurs comptes déjà protégés par la double authentification auraient pu être compromis lors des derniers incidents, ce qui déplace la question vers la surveillance post-connexion plutôt que sur le seul verrou d'accès.

Pourquoi c'est important

Le plan présenté cette semaine n'a rien d'inédit : dans son bilan publié en janvier 2025, la CNIL avait déjà décrit, scénario par scénario, le mode opératoire qui allait se rejouer à la DGFiP — obtention de données de connexion légitimes, exploration massive faute d'habilitations restreintes, extraction en volume faute d'indicateurs de détection. L'institution recommandait alors, noir sur blanc, l'authentification multifacteur, une politique d'habilitations restreintes et une analyse en temps réel des journaux de connexion : les mêmes mesures que le gouvernement annonce aujourd'hui dans l'urgence, plus d'un an et demi plus tard. Ces obligations de sécurité relèvent directement de l'article 32 du RGPD, qui impose au responsable de traitement des mesures techniques et organisationnelles adaptées au risque — une obligation de moyens que la répétition des incidents dans l'administration interroge frontalement.

Le syndicat Solidaires Finances Publiques a immédiatement contesté la portée du plan, dénonçant des annonces jugées en deçà des enjeux et rappelant qu'une première enveloppe de 200 millions d'euros, déjà promise en avril après la fuite de l'ANTS, reste d'utilisation largement floue. L'organisation relie la vulnérabilité de l'administration fiscale à des choix budgétaires assumés depuis des années, et juge symptomatique que des tests d'intrusion — recommandés de longue date par l'ANSSI — ne soient annoncés que maintenant pour un système aussi sensible que celui du fisc.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cet épisode illustre un écart classique et coûteux entre diagnostic et mise en œuvre : connaître les mesures de sécurité attendues ne suffit pas si leur déploiement traîne des mois, voire des années. Trois réflexes s'en dégagent : documenter et dater les recommandations de sécurité reçues (audits, avis CNIL ou ANSSI) pour pouvoir démontrer, en cas de contrôle, un calendrier de mise en œuvre réel ; auditer régulièrement les habilitations d'accès aux données sensibles plutôt que de les élargir par défaut ; et budgétiser la sécurité comme une dépense récurrente, pas comme une réponse ponctuelle à un incident. Notre guide sur la sécurité des données détaille les mesures techniques et organisationnelles attendues par le RGPD, à mettre en œuvre avant qu'un incident ne les impose dans l'urgence.

Ce que Leto pense de cette décision

Ce qui frappe dans cette affaire, ce n'est pas l'absence de diagnostic mais l'absence de suite donnée à un diagnostic pourtant limpide. La CNIL avait décrit ce scénario d'attaque avec une précision presque clinique dix-huit mois avant qu'il ne se produise à la DGFiP. Annoncer aujourd'hui, dans l'urgence médiatique, des mesures déjà documentées revient à traiter la sécurité comme une réponse de communication plutôt que comme une politique continue. Le doute soulevé par les syndicats sur la traçabilité des 200 millions promis après l'ANTS est légitime : sans obligation de rendre compte du calendrier et du budget, rien ne garantit que ce nouveau plan échappera au sort du précédent.

Sources : Silicon.fr, Solidaires Finances Publiques