🔴 Piratage des impôts : comment en est-on arrivé là ?

Au milieu de la pause estivale, nous avons tous découvert cet incident majeur au cœur de l'État. Nous avions déjà parlé de la question de la sécurité de l'État lors du piratage de l'ANTS, mais là, il faut le dire, on atteint un nouveau palier, peut-être le niveau le plus haut jamais atteint.Et toujours la même question : comment est-ce possible ?Pour confronter des points de vue différents, j'ai discuté avec des membres de la communauté Cybernetica aux profils variés : un spécialiste de la transformation numérique de l'État, un spécialiste en cybersécurité, une personnalité politique et quelques vieux routards du monde numérique. Une analyse nuancée qui essaye d'aller un peu plus loin que le bruit ambiant.💡Il y aura un temps pour critiquer et demander des sanctions exemplaires, mais il y a d'abord un temps pour comprendre et réfléchir.Les faits, d'abordLa DGFiP a confirmé une intrusion ayant conduit à la fuite d'un fichier de 678 000 entrées, particuliers et professionnels. La directrice générale des finances publiques, Amélie Verdier, a confirmé le vendredi 14 août au soir le bilan et les principales catégories concernées : noms et prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. L'échantillon analysé par FrenchBreaches à partir des données revendiquées par le pirate contient en outre l'adresse, le téléphone, l'adresse électronique et le nombre de personnes à charge.ChronologieL'accès de l'attaquant avait été coupé fin juin, mais l'exfiltration n'avait alors pas été détectée. La fuite n'a été identifiée qu'après la mise en vente des données, le 12 août. C'est déjà, en soi, une partie importante du problème.Depuis, tout s'est accéléréLe même pirate a revendiqué une seconde attaque, menée fin juillet contre le serveur professionnel des données cadastrales et confirmée par l'administration : plus de deux millions de personnes concernées, selon lui. Il a aussi donné sa version des faits, l'accès récupéré sur un VPN utilisé par les agents du fisc, et s'est permis de commenter : il faut, dit-il, que les gens se réveillent et voient à quel point « la France est un sketch ».💡Le parquet de Paris a ouvert une enquête samedi, confiée à l'Office anticybercriminalité. Les personnes concernées seront prévenues une par une à partir de la semaine prochaine, près de deux mois après l'intrusion.Et la classe politique s'en mêle : l'eurodéputée Aurore Lalucq, coprésidente de Place publique, a demandé sur X la démission du ministre chargé des comptes publics, David Amiel, après avoir dénoncé que la personne « est entrée et repartie avec la caisse. Ça suffit ».Je ne suis pas du genre à appeler à la démission des ministres tous les quatre matins. Mais étant donné la gravité de la situation, le manque de réactivité et la nécessité d’être redevable, humble et respectueux vis à vis des Français, ce ministre devrait démissionner. https://t.co/OqaJOiM1xf— Aurore Lalucq 🇪🇺 (@AuroreLalucq) August 15, 2026 Le piratage de l'Éducation nationaleEt pendant ce temps, une autre administration s'est aussi fait hacker dans l'obscurité la plus complète.Dans la nuit du 25 au 26 juillet, quelqu'un est entré dans le système d'information dédié à la formation des personnels de l'Éducation nationale. Même chose qu'à la DGFiP : l'usurpation d'un compte professionnel.Les données concernées sont celles de tous les agents ayant exercé en académie depuis 2001 : identité, statut, fonctions, et pour une partie d'entre eux adresse postale, téléphone et numéro de sécurité sociale. Le ministère n'a à notre connaissance pas publié de volumétrie. Le communiqué est sorti le 31 juillet, en pleine période estivale, et personne n'en a parlé. C'était le troisième piratage de l'Éducation nationale depuis janvier.L'exemple bulgareBeaucoup de gens sur Twitter ont posé la question : peut-on attaquer l'État pour négligence ?La réponse vient de Bulgarie. Le 15 juillet 2019, l'agence nationale des recettes publiques bulgare est piratée. Les données fiscales et sociales de six millions de personnes se retrouvent en ligne.Une contribuable attaque son administration. La Cour de justice de l'Union européenne tranche le 14 décembre 2023 et confirme trois choses.La crainte d'un usage abusif de ses données suffit à constituer un dommage réparable, sans avoir été victime de quoi que ce soit.La charge de la preuve est renversée : c'est à l'administration de prouver que ses mesures de sécurité étaient appropriées.Et le fait que le dommage vienne de pirates n'exonère pas automatiquement l'administration.L'arrêt de la Cour de justice de l'Union européenne interprète le RGPD, il s'applique aussi en France.Remettre l'informatique au centrePour comprendre, il faut aussi remettre l'informatique au centre de la discussion. La cybersécurité s'est muée depuis quelques années en un bloubiboulga de réglementation, de gouvernance et de communication, reléguant au second plan la question du savoir-faire technologique. C'est triste.Je ne me considère pas comme un spécialiste de la cybersécurité, mais j'ai été plongé tout jeune dans le computer underground des années 80-90, celui du Chaos Computer Club et de Kevin Mitnick, et j'ai parfois l'impression que rien n'a changé depuis.Il y a d'un côté les gens qui font le travail de sécurisation, qui ont un sens pratique technologique, et de l'autre les gens qui parlent de ces sujets sans vraiment savoir comment les choses fonctionnent. Après, je comprends la frustration de nombreux spécialistes qui avaient prévu tout ce qui se passe aujourd'hui.Mais on va le voir, il y a aussi un biais important du monde de la sécurité informatique, où l'informatique Unix des années 90-2000 et les modèles de sécurité qui lui sont inhérents dominent. C'est notamment le cas à l'ANSSI et dans de nombreux services. Avec l'arrivée du cloud et désormais de l'IA, la mise en place de stratégies de sécurité oblige à travailler avec de plus en plus d'acteurs non techniques, et parfois le monde politique, qui préfère la com au fond. Ça ne doit pas toujours être facile de jongler entre les directives, même si cela n'excuse pas le retard accumulé sur ces questions.C'est dans ce contexte qu'il faut aujourd'hui regarder le piratage des impôts. L'objectif de cette newsletter n'est pas de faire un texte accusatoire (c'est difficile en n'ayant que des informations parcellaires), mais de proposer une première analyse de dysfonctionnements qui sont en partie, je dis bien en partie, compréhensibles.Une chose doit être dite tout de suite, parce que tout le reste en découle. Le problème n'est pas qu'un attaquant puisse entrer dans un système, cela arrivera toujours. Le problème est qu'une compromission mette autant de temps à être détectée et donne accès à bien trop de choses. Surtout que Bercy avait déjà subi une autre cyberattaque quelques semaines avant.Imaginez que quelqu'un force la porte de votre magasin, que vous ne vérifiiez pas si quelque chose a été volé, que vous ne mettiez pas d'alarme supplémentaire, et que vous vous refassiez cambrioler.Trois questions viennent immédiatement à l'esprit :Pourquoi ce type d'attaque semble-t-il se répéter ?Comment un attaquant qui réussit à entrer dans un service de l'État peut-il repartir avec les données ?Pourquoi l'exfiltration et les conséquences pour les usagers semblent-elles détectées et communiquées aussi tardivement ?Ces trois questions en ouvrent deux autres, bien plus profondes :Le problème est-il technique ou organisationnel ?Et en quoi le virage du cloud hier, puis celui de l'IA aujourd'hui, accélèrent-ils l'inadéquation de la politique cyber de l'État ?Normalement, la suite est réservée aux abonnés payants de Cybernetica. Exceptionnellement, en raison du sujet, j'ai décidé d'ouvrir cette newsletter au public, mais les propositions, toutes les sources et les bonus restent réservés aux abonnés payants.En trois ans, les lecteurs de cybernetica.fr sont devenus les référents tech, géopolitique, cyber et IA de leurs organisations. Devenez membre de notre communauté. Abonnez-vous.⸻1. Pourquoi ce type d'attaque semble-t-il se répéter ?Le point de départ, c'est évidemment ce « pattern » que l'on retrouve dans quasiment tous les incidents récents : un accès est compromis, l'attaquant entre dans un système sensible, accède à des données importantes et peut ensuite les exfiltrer pour ensuite annoncer leur revente sur le darknet.Les très nombreuses attaques que la France a subies ne sont pas nécessairement identiques, mais elles démontrent un problème systémique : une compromission initiale produit des risques et des conséquences très importantes. Et elles nous obligent à nous poser une question très inquiétante. Si le pirate n'avait pas annoncé la vente des données, le gouvernement l'aurait-il su ? Cela veut-il dire qu'il y a peut-être eu des piratages d'ampleur dont nous ne savons rien ?Un hack sans finCette répétition n'est d'ailleurs plus une impression. Le même pirate a revendiqué une seconde attaque, fin juillet, contre le serveur professionnel des données cadastrales de la DGFiP, confirmée vendredi soir par l'administration.Le pirate y revendique 252 149 lignes extraites, représentant selon lui plus de deux millions de personnes : identité, date et lieu de naissance, adresse, identifiant foncier, parcelles. Il affirme avoir contourné l'authentification multifacteur, le dispositif qui impose une seconde vérification en plus du mot de passe, et estime à 20 millions le nombre de citoyens présents dans ce système.Deux attaques revendiquées sur la même administration, le même été.Petit rappel. Sur la seule année 2026 : 774 000 étudiants au CNOUS en mars, deux millions selon les pirates ; 1,5 million de personnes au Secrétariat général de l'enseignement catholique ; 243 000 agents de l'Éducation nationale, avant les deux autres intrusions du ministère ; une fuite ÉduConnect touchant des élèves révélée mi-avril. Une sénatrice parlait sur X de France Passoire.Quand on regarde de plus près, on se rend compte