Piratage du fisc : le ministre s'excuse, une troisième fuite révèle les failles IAM de l'État

Six semaines après la première alerte, le dossier du piratage de la Direction générale des finances publiques (DGFiP) prend un tournant inédit. Mardi 18 août, le ministre de l'Action et des Comptes publics David Amiel a publiquement présenté des excuses aux Français concernés — un geste rare pour une administration — au moment même où le fisc reconnaissait une troisième fuite de données, cette fois sur le fichier des successions vacantes.

Ce qui s'est passé

Lors d'une conférence de presse tenue à Bercy, la directrice générale des finances publiques Amélie Verdier est revenue point par point sur les trois incidents qui ont touché son administration depuis fin juin. Le premier, révélé le 12 août par un pirate se présentant sous le pseudonyme ZeroBytes, portait sur près de 700 000 lignes de données fiscales (état civil, adresse, revenu fiscal de référence, taux de prélèvement) — un vol que Bercy avait confirmé officiellement deux jours plus tard. Une troisième brèche, distincte, a ensuite été identifiée lundi 17 août sur le portail dédié aux successions vacantes, puis rapidement « coupée » selon l'administration. Amélie Verdier a tenu à en relativiser la portée : les informations exposées seraient « beaucoup moins sensibles », proches de celles que l'on trouve déjà dans des annonces légales publiques.

C'est dans ce contexte que le ministre David Amiel a choisi de s'excuser publiquement : « Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français. » Une déclaration qui tranche avec la communication habituellement prudente des administrations, et qui intervient après que la CNIL a confirmé sa saisine sur ce dossier, tout en écartant la nécessité de plaintes individuelles de la part des contribuables concernés.

Pourquoi c'est important

Trois fuites en six semaines sur le même périmètre ne relèvent plus de l'incident isolé : elles pointent vers un problème structurel de gestion des accès, ou IAM (Identity and Access Management) — l'ensemble des processus qui déterminent qui peut consulter quelles données, avec quels droits, et selon quelle traçabilité. C'est précisément cette dimension que l'article 32 du RGPD vise lorsqu'il impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des traitements. Chaque nouvelle brèche déclenche en principe une nouvelle horloge de notification sous 72 heures à la CNIL (article 33), ce qui explique la cadence des communications officielles observée depuis deux semaines.

Le schéma n'est pas propre à la DGFiP : la fuite de l'ANTS au printemps, ou plus récemment celle du Centre des registres lituanien, avaient déjà mis en évidence des accès obtenus via des identifiants légitimes détournés plutôt que via une faille technique classique. C'est tout l'enjeu d'une gouvernance IAM solide, un sujet que Leto a détaillé lors d'un webinaire consacré à la gestion des accès aux logiciels d'entreprise.

Ce que ça change pour les organisations

Pour les DPO et responsables sécurité, cet enchaînement d'incidents est un rappel concret des priorités à vérifier : cartographier précisément qui a accès à quoi, appliquer le principe du moindre privilège, activer une authentification multi-facteurs sur les accès sensibles, et journaliser les consultations pour détecter les anomalies avant qu'elles ne deviennent des fuites. Le guide Leto sur la sécurisation des données détaille ces mesures techniques et organisationnelles attendues au titre de l'article 32.

Autre enseignement : avoir un plan de notification prêt à l'emploi change tout en situation de crise. Savoir en amont qui prévenir, sous quel délai et avec quel contenu (voir notre guide sur la conduite à tenir en cas de violation de données) évite l'improvisation — et les silences prolongés — qui ont marqué les premiers jours de cette affaire.

Ce que Leto pense de cette décision

Des excuses publiques d'un ministre, c'est suffisamment rare pour être noté positivement : la transparence assumée vaut mieux que le silence gêné qui a longtemps prévalu dans ce type de dossier. Mais elle ne doit pas faire oublier l'essentiel — trois fuites en six semaines ne se résolvent pas par une déclaration, mais par un audit sérieux des accès et des habilitations. Ce que révèle ce dossier dépasse largement le seul cas de la DGFiP : toute organisation qui n'a pas une vision claire de qui accède à ses données personnelles, et pourquoi, s'expose au même scénario. La question à se poser n'est pas « avons-nous été attaqués ? » mais « saurions-nous le détecter, et le prouver, si cela arrivait demain ? »

Sources : Boursorama, Le Tribunal du Net, Franceinfo