Détectée par les services de Bercy dès juin, l’intrusion dans le système informatique de la DGFiP n’a pourtant été rendue publique que près de deux mois plus tard, après sa revendication par un pirate. Un délai qui interroge sur la communication du gouvernement et sur l’information due aux contribuables potentiellement concernés par la fuite de leurs données.
Le système d’information de la Direction générale des finances publiques (DGFiP) a été victime, fin juin, d’une intrusion informatique ayant permis la consultation et l’extraction de données concernant des particuliers et des professionnels. Révélée le 12 août par un acteur malveillant, l’attaque a été confirmée le lendemain par Bercy.
Selon le ministère, l’accès avait été obtenu à la suite d’une usurpation d’identité et avait été coupé fin juin. Mais les investigations ont établi qu’avant cette coupure, des données avaient pu être consultées et extraites.
L’ampleur exacte de la fuite reste à déterminer. Le site spécialisé French Breaches évoque 678 437 personnes potentiellement concernées, dont 392 867 particuliers et 285 570 professionnels. Le pirate affirme notamment détenir des noms, dates de naissance, adresses, identifiants fonciers, parcelles cadastrales et informations relatives aux biens détenus. Le Monde indique avoir pu consulter un échantillon correspondant à cette revendication. Bercy, de son côté, n’a pour l’instant confirmé ni ce nombre ni l’ensemble de ces données.
L’affaire soulève surtout des questions sur la capacité du système fiscal à empêcher qu’une usurpation d’identité ne débouche sur un accès suffisamment large pour permettre l’extraction de données. Comment un accès obtenu frauduleusement a-t-il pu permettre la consultation de données sensibles ? Quels contrôles ont détecté l’anomalie, avec quel délai et quelle capacité de réaction ? Des mécanismes de limitation des droits, de cloisonnement des bases et de détection des extractions massives étaient-ils suffisamment efficaces ? Autrement dit, la question n’est pas seulement de savoir comment le pirate est entré, mais aussi pourquoi il a pu consulter et extraire des données avant que son accès ne soit neutralisé.
Cette interrogation est d’autant plus sensible que la DGFiP avait déjà été confrontée, en début d’année, à des accès illégitimes au fichier national des comptes bancaires (FICOBA). Dans cette précédente affaire, un acteur malveillant avait utilisé les identifiants usurpés d’un fonctionnaire pour consulter une partie du fichier, concernant environ 1,2 million de comptes. La DGFiP avait alors annoncé des restrictions d’accès et un renforcement de la sécurité de son système d’information.
La nouvelle intrusion pose donc la question de l’efficacité des mesures mises en place après ce premier incident. Deux compromissions liées à des usurpations d’identité en quelques mois suffisent-elles à révéler une fragilité structurelle dans la gestion des comptes et des habilitations ? La réponse devra notamment passer par l’examen des droits accordés aux utilisateurs, de l’authentification, de la surveillance des comportements inhabituels et du cloisonnement des données.
Autre sujet sensible : la communication de l’incident. Bercy affirme avoir détecté et interrompu l’accès en juin, mais c’est la revendication publique du pirate, près de deux mois plus tard, qui a révélé l’existence de la fuite. La DGFiP annonce désormais une notification à la CNIL, une plainte et une information individuelle des usagers concernés. Or, en matière de violation de données présentant un risque pour les personnes, le RGPD prévoit une notification à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent également être informées dans les meilleurs délais.
L’enjeu dépasse donc la seule cyberattaque. La question centrale est celle de la résilience d’un système qui concentre une quantité considérable de données fiscales, patrimoniales et personnelles : comment empêcher qu’une simple compromission d’identité ne puisse ouvrir la voie à une extraction massive, et comment garantir aux citoyens qu’ils seront informés rapidement lorsqu’une fuite est détectée ? Les investigations de la DGFiP, de l’ANSSI et de la CNIL devront permettre de déterminer si l’incident relève d’une défaillance ponctuelle ou révèle des faiblesses plus profondes dans l’architecture et la gouvernance de la sécurité informatique de l’administration fiscale.
Cyberattaque. Photo DR
Lire aussi : Les dérives d’un fichage administratif tentaculaire –
