Les données fiscales de 678 000 particuliers et entreprises circulent désormais quelque part dans l’ombre numérique, et le Premier ministre Sébastien Lecornu a décidé ce samedi 16 août de convoquer une réunion de crise pour lundi matin à Matignon. Deux jours après la révélation de l’attaque contre la Direction générale des finances publiques (DGFiP), le gouvernement passe en mode gestion d’urgence.
L’intrusion, qualifiée par les services fiscaux eux-mêmes de plus sophistiquée que tout ce qu’ils avaient affronté jusqu’ici, a permis l’extraction de noms complets, de quotients familiaux, de revenus fiscaux de référence et de taux de prélèvement à la source pour les contribuables touchés. Pour les entreprises, le butin s’est avéré moins juteux, limité aux numéros SIREN, aux adresses professionnelles et aux coordonnées des représentants légaux. Amélie Verdier, directrice générale des finances publiques, a tenu à préciser que les identifiants de connexion aux comptes impots.gouv.fr n’ont pas été compromis. Maigre consolation quand on sait ce qu’un fraudeur inventif peut accomplir avec un nom, un revenu et un taux d’imposition…
Le parquet de Paris a confié l’enquête à l’Office de lutte contre la cybercriminalité (Ofac) dès le 15 août, visant notamment la participation à une association de malfaiteurs passible d’au moins cinq ans d’emprisonnement. La section cybercrime du parquet instruit en parallèle sur l’extraction frauduleuse de données d’un système étatique de traitement d’informations personnelles. Le ministre des Comptes publics David Amiel a demandé que les contribuables concernés soient alertés dès lundi, avec des consignes spécifiques contre les risques d’usurpation d’identité et les tentatives de hameçonnage qui ne manqueront pas de suivre.
La réunion de crise prévue par Lecornu devrait rassembler les ministres concernés et les responsables de la cybersécurité nationale pour tirer les premières leçons opérationnelles de l’attaque et, surtout, renforcer les protocoles de protection des systèmes fiscaux. Le calendrier n’a rien d’anodin, du moins politiquement, puisque Bercy constitue le cœur névralgique de la confiance entre l’État et le contribuable.
Cette offensive s’inscrit dans une séquence préoccupante qui a vu plusieurs institutions publiques françaises ciblées ces dernières semaines, dont l’Agence nationale des titres sécurisés (ANTS) et l’Institut national de la statistique (INSEE). Le schéma se répète avec une régularité qui interroge sur la robustesse de l’architecture numérique de l’État français. Chaque brèche alimente la suivante en données exploitables, et les 678 000 dossiers fiscaux dérobés offrent un terreau fertile pour des campagnes de fraude sur mesure.
Amiel a par ailleurs demandé à la DGFiP de formuler des propositions concrètes pour durcir la sécurité des systèmes d’information fiscaux. La question qui plane désormais au-dessus de Matignon est celle que tout contribuable français est en droit de poser avec une certaine impatience : combien de brèches faudra-t-il encore avant que la muraille numérique de l’État soit enfin à la hauteur des données qu’elle est censée protéger ?
