Piratage de données du fisc, indice de la faillite de la dématérialisation

Mon­tage par Médi­a­part

Trois piratages mas­sifs de don­nées de par­ti­c­uliers et d’en­tre­pris­es ont eu lieu cet été en France au sein des admin­is­tra­tions publiques, par­ti­c­ulière­ment celle des finances, la désor­mais célèbre DGFiP... Mais aus­si à l’é­d­u­ca­tion nationale, et cela suit d’autres fuites mas­sives ces derniers mois à France Tra­vail, à la sécu…

Celles à la DGFiP (Direc­tion Générale des Finances Publiques) sont emblé­ma­tiques car cette direc­tion a guidé l’ensem­ble de la poli­tique de dématéri­al­i­sa­tion des ser­vices publics. Sa fail­lite actuelle signe celle de cette poli­tique macro­niste engagée dès 2017, au détri­ment des droits soci­aux et poli­tiques de la pop­u­la­tion, et dans une logique claire­ment dis­crim­i­nante et répres­sive vis à vis des plus pau­vres (enten­dus très large­ment, en gros tous ceux qui ne ren­trent pas dans les 0,1% des français les plus rich­es !).

Ce type de scan­dale, qui n’est pas acci­den­tel mais le résul­tat d’une fuite en avant large­ment irre­spon­s­able, devrait se traduire poli­tique­ment par des démis­sions et des remis­es en cause pro­fondes. Mais la démis­sion d’un min­istre n’est plus, sous Macron, une option, et la remise en cause de cette poli­tique sem­ble hors des capac­ités de son pro­mo­teur, déjà englué dans les incendies et cat­a­stro­phes divers­es liées à sa poli­tique. Car après tout, “qui pou­vait prédire”…

Des fuites récur­rentes qui met­tent en dan­ger la pop­u­la­tion

A court terme, les fuites con­cer­nent au bas mot les don­nées de 350 000 par­ti­c­uliers et 250 000 pro­fes­sion­nels, mais aus­si des don­nées cadas­trales con­cer­nant 433 000 per­son­nes, le por­tail des suc­ces­sions… L’É­d­u­ca­tion nationale, est aus­si touchée, pour des don­nées por­tant sur plus d’un mil­lion d’élèves et des dizaines de mil­liers d’enseignant.es…

D’après plusieurs témoignages, la fuite (à par­tir d’un compte) aurait eu lieu dès le 26 juin et les respon­s­ables ne s’en seraient ren­du compte (ou ne l’a avoué) que le 13 août car le “pirate” avait mis en vente les don­nées de 678 000 con­tribuables sur le dark net !

Depuis, les respon­s­ables gou­verne­men­taux se lamentent de l’a­gres­sion con­tre l’État (Sébastien Lecor­nu veut lut­ter con­tre les cyber­at­taques visant le “sys­tème d’in­for­ma­tion de l’E­tat”), alors que les vic­times réelles sont – cette fois – les con­tribuables, les élèves, les enseignant.es. Les seules réac­tions sont celles du dépôt d’une plainte con­tre X, et un appel à la respon­s­abil­ité de chacun.e face aux ten­ta­tives de fraude (voir mail ci-dessous envoyé à cer­taines des vic­times). Le pro­jet de la mise en place d’une authen­tifi­ca­tion forte “d’ici la fin de l’année”, aus­si mis en avant, n’est nulle­ment une garantie car cer­taines des intru­sions l’ont été mal­gré la présence de ce dis­posi­tif.

Les sig­nale­ments de fuites sont en hausse : en 2025, la Cnil en a reçu près de 6 200, soit 50 % de plus qu’en 2022. Par­mi les pas­sages à l’acte les plus con­nus, l’usurpation d’identité et le phish­ing (hameçon­nage) se man­i­fes­tent sou­vent à dis­tance, par l’intermédiaire de mails, SMS, cour­ri­ers et appels télé­phoniques… Les don­nées volées peu­vent cir­culer sur des forums spé­cial­isés, notam­ment sur le dark­net. Ces failles peu­vent con­duire à des actions plus vio­lentes encore, comme les cam­bri­o­lages ciblés.

Il faut soulign­er ici une réac­tion – un peu – plus forte car ce sont les don­nées de caté­gories plus rich­es qui sont con­cernées. Précédem­ment, les fuites à Pôle Emploi, à la sécu étaient accueil­lies avec flegme et résig­na­tion car elles con­cer­naient une pop­u­la­tion plus pau­vre, pour­tant vic­time récur­rente.

Quelques réac­tions syn­di­cales

Les syn­di­cats s’in­quiè­tent et essuient déjà la colère des usagers.

Pour le syn­di­cat Sol­idaires finances (DGFiP) : “Dès juin, ‘Tchap’, la mes­sagerie sécurisée de l’État, a été piratée. Selon nous, les pirates ont récupéré les iden­tités d’agents publics sur Tchap et, à par­tir de ces iden­tités, ont ensuite pu infil­tr­er France Ser­vices.  Nous avons alerté sur le fait que ces deux fuites étaient sans doute liées et sur d’autres vio­la­tions possibles”.“Il est hors de ques­tion qu’à tra­vers cette crise, il y ait des recherch­es de respon­s­abil­ités indi­vidu­elles [des agent.es]”. “Cette crise est due au manque de moyens et aux coupes budgé­taires. Tout ceci est la faute des gou­verne­ments suc­ces­sifs, en par­ti­c­uli­er depuis l’arrivée au pou­voir d’Emmanuel Macron. Le seul bud­get qu’ils ont don­né, c’est pour dévelop­per l’intelligence arti­fi­cielle.”

Le Snes-FSU, qui réag­it plus sur les fuites con­cer­nant l’Éducation nationale : “Le min­istère promeut le numérique à tout-va, mais est inca­pable de sécuris­er ses pro­pres bases de don­nées, alors que nous en bras­sons un vol­ume très impor­tant. En off, on m’a déjà invo­qué des raisons budgé­taires. Résul­tat, on est aujourd’hui rat­trapés par la réal­ité. Le min­istère court après les hack­ers, après les don­nées, après les col­lègues pour les informer… Mais il a trois trains de retard ! On con­state d’ailleurs que c’est le cas pour tout l’appareil d’État !”

La dématéri­al­i­sa­tion tous azimuts nous frag­ilise toutes et tous

Dès le pre­mier man­dat de Macron (et même avant, lorsqu’il était con­seiller de Hol­lande puis son min­istre de l’E­conomie) la volon­té a été de numéris­er à marche for­cée toute la fonc­tion publique.

Les études préal­ables en ont été con­fiées au cab­i­net améri­cain Mc Kin­sey et à d’autres pour des mon­tants pharamineux, selon des modal­ités trou­bles et sans aucun débat démoc­ra­tique (voir un “vrai-faux” du Monde, ampoulé mais quand même révéla­teur sur les rela­tions de Macron avec Mc Kin­sey).

Elles ont abouti à l’ex­ter­nal­i­sa­tion – donc à la pri­vati­sa­tion – des fonc­tions infor­ma­tiques de tous les min­istères, lesquels n’ont désor­mais plus les com­pé­tences en interne pour suiv­re, éval­uer leur numéri­sa­tion, et pro­téger leurs don­nées (beau­coup de ces fonc­tions sont désor­mais assurées par des intéri­maires, sous-payés).

Cela a con­duit à car­ré­ment déléguer des fonc­tions entières aux big tech améri­caines, par exem­ple le Health data hub con­fié à Microsoft qui récupérait ain­si gra­tu­ite­ment tout le tra­vail antérieur des hôpi­taux … et pou­vait reven­dre ces pro­duc­tions à des chercheurs. Depuis, pour garan­tir la sou­veraineté européenne, ce Health Data hub serait repassé sous le con­trôle d’un français, Mis­tral AI, sans qu’on con­naisse exacte­ment les modal­ités du trans­fert.

Cette fuite en avant s’est pra­tiquée dans le cadre d’une sous-budgéti­sa­tion chronique : les min­istères et leurs prestataires sous-trai­tants fonc­tion­nent avec des archi­tec­tures hétérogènes, des logi­ciels obsolètes et des chaînes de sous-trai­tance non con­trôlées.

Cette vul­néra­bil­ité française s’in­scrit dans un his­torique déjà lourd. Des attaques par ran­somware (rançongi­ciel : logi­ciel malveil­lant chiffrant les don­nées pour en exiger le paiement d’une rançon) ayant paralysé des hôpi­taux publics (Cor­beil-Essonnes, Ver­sailles) au piratage mas­sif des don­nées de Pôle Emploi (France Tra­vail) et des opéra­teurs de tiers payant Viamedis/Almerys touchant plus de 33 mil­lions de citoyens, la France est dev­enue un ter­rain de jeu priv­ilégié pour les cyber­crim­inels.

La doc­trine du “tout-dématéri­al­isé” a devancé la cul­ture de sécu­rité. En sup­p­ri­mant les guichets physiques et en cen­tral­isant la total­ité des inter­ac­tions admin­is­tra­tives — de l’im­pôt au suivi sco­laire —, l’É­tat a créé des bases de don­nées géantes qui con­stituent des cibles d’une valeur ines­timable. En effet, con­traire­ment à des sys­tèmes plus décen­tral­isés, l’É­tat français cen­tralise un niveau de détail indi­vidu­el unique. Pour les réseaux crim­inels, une base de don­nées publique française est une mine d’or : elle per­met d’al­i­menter du phish­ing ciblé sur mesure, des fraudes aux presta­tions sociales ou à l’usurpa­tion d’i­den­tité ban­caire sur des décen­nies.

En con­fisquant l’al­ter­na­tive physique au prof­it de plate­formes numériques fail­li­bles, l’É­tat rompt implicite­ment le con­trat de con­fi­ance qui le lie aux citoyens.

Cela rejoint aus­si notre dénon­ci­a­tion de la déshu­man­i­sa­tion, au détri­ment de l’ensem­ble de la pop­u­la­tion et par­ti­c­ulière­ment des plus faibles.

Com­ment porter plainte ?

L’autre ques­tion posée tou­jours par ce piratage de masse c’est celle de la respon­s­abil­ité. En clair, vers qui les prob­a­bles futurs arnaqués pour­ront-ils se tourn­er pour obtenir répa­ra­tion ?
Lorsqu’il s’agit de traite­ments con­cernés par le RGPD mis en œuvre par l’État, la loi ne prévoit pas de sanc­tion finan­cière…