Les fuites de données qui touchent la DGFiP continuent de mettre le gouvernement sous pression. Après avoir présenté ses excuses aux contribuables concernés, Bercy annonce une série de mesures pour renforcer la sécurité informatique de l’administration : double authentification, IA souveraine, bug bounty ou encore limitation des accès aux fichiers sensibles. Sébastien Lecornu veut également créer en urgence une nouvelle unité cyber capable d’intervenir directement en cas d’attaque contre les systèmes de l’État.
BERCY PRÉSENTE SES EXCUSES
Après plusieurs révélations, le gouvernement tente de reprendre la main. Mardi 18 août, le ministre de l’Action et des Comptes publics David Amiel a donné un point presse, présentant au passage ses excuses pour les vols de données ayant touché la Direction générale des finances publiques.
Comme on le sait, l’administration fiscale fait désormais face à trois fuites distinctes, concernant notamment des données fiscales de 678 000 particuliers et professionnels, des informations cadastrales ainsi que des données liées aux successions. La DGFiP précise toutefois que les espaces personnels des contribuables n’ont pas été compromis, mais les informations recueillies vont malheureusement permettre de renforcer les tentatives de phishing et autres attaques dans les prochains mois.
Le parquet de Paris a ouvert une enquête tandis que le gouvernement promet désormais de ne pas banaliser ce type d’incident. Une cellule de crise interministérielle a également été réunie sous la présidence du Premier ministre. La Cnil a d'ailleurs posté un article sur le sujet indiquant que des enquêtes étaient en cours, et qu'à ce stade il n'était pas nécessaire de la saisir via une plainte individuelle, sauf si vous disposez d’éléments spécifiques ou utiles aux investigations en cours.
Image CNIL
LA DOUBLE AUTHENTIFICATION ENFIN GÉNÉRALISÉE
La première mesure paraît assez évidente : la double authentification sera généralisée à tous les agents de la DGFiP d’ici la fin de l’année 2026. Les campagnes de sensibilisation au phishing doivent également être renforcées.
Bercy veut parallèlement revoir les droits accordés aux partenaires extérieurs et surtout limiter la quantité de données pouvant être consultées ou téléchargées depuis un compte. Des quotas d’accès, déjà mis en place pour le fichier des comptes bancaires Ficoba après de précédents incidents, doivent ainsi être étendus. L’objectif est assez simple : même lorsqu’un compte sera compromis, l’attaquant ne doit plus pouvoir récupérer aussi facilement d’importants volumes d’informations.
Image CNIL
DE L’IA POUR TROUVER LES FAILLES AVANT LES PIRATES
En outre, le gouvernement veut désormais utiliser l’intelligence artificielle pour renforcer sa cybersécurité. David Amiel a demandé à la Dinum de rendre opérationnels dès septembre des outils d’IA souveraine capables notamment de rechercher des vulnérabilités. Le ministre a cité Mistral AI parmi les acteurs jouant un rôle important dans les outils souverains actuellement déployés par l’État.
L’idée consiste notamment à analyser automatiquement du code afin de détecter certaines failles avant qu’elles ne puissent être exploitées. Bercy veut également intensifier le recours au hacking éthique et aux programmes de bug bounty. Des chercheurs en sécurité pourront ainsi rechercher des vulnérabilités dans un cadre défini et être récompensés lorsqu’ils les signalent à l’administration.
UNE NOUVELLE UNITÉ CYBER EN URGENCE
Sébastien Lecornu veut aller encore plus loin. Dans un courrier adressé au secrétaire général de la défense et de la sécurité nationale, le Premier ministre reconnaît que peu de ministères atteignent actuellement le niveau de cybersécurité requis, une situation qu’il juge pas acceptable.
Il demande donc la constitution en urgence d’une équipe composée d’agents de l’ANSSI, chargée d’intervenir en première ligne lorsqu’une atteinte grave au système d’information de l’État est suspectée. Cette unité pourrait être renforcée par des spécialistes issus des ministères des Armées et de l’Intérieur. Sa mission ne serait donc pas de remplacer l’ANSSI, mais de disposer d’une équipe spécifiquement mobilisable pour intervenir rapidement sur les systèmes informatiques des ministères. Sébastien Lecornu réclame également un retour d’expérience après chaque intervention.
Qu’en penser ?
Les annonces vont clairement dans le bon sens, mais certaines mesures interrogent par leur caractère tardif. Généraliser la double authentification en 2026 dans une administration manipulant des données fiscales particulièrement sensibles paraît davantage relever d’un minimum indispensable que d’une véritable révolution.
L’IA, les bug bounty et la nouvelle unité de l’ANSSI pourraient permettre de détecter et de traiter les failles plus rapidement. Mais après plusieurs fuites successives, le principal défi sera surtout de remettre à niveau des systèmes de l’État dont le gouvernement reconnaît lui-même aujourd’hui les faiblesses.
