Exfiltration de données : la DGFiP va devoir rendre des comptes 

La Direction générale des finances publiques (DGFiP) a détecté une compromission en juin. Elle a alors immédiatement coupé le compte pour éviter une hémorragie. Mais, le 12 août, suite aux revendications du cybercriminel ZeroBytes, elle découvre qu’elle a bien eu lieu. Au total, 678 000 comptes fiscaux de professionnels et de particuliers voient leurs données en vente sur un forum spécialisé du dark web. Le lendemain, Bercy confirme deux accès illégitimes intervenus en juin et juillet. Le premier repose sur l'usurpation des identifiants d'un agent de la Direction générale des finances publiques. Le second cible le Serveur professionnel de données cadastrales (SPDC) grâce aux accès d'un tiers habilité. Revenu fiscal de référence, quotient familial, taux de prélèvement à la source, données d'entreprises et données cadastrales figurent au butin. Au-delà de l’information, cette découverte a généré une controverse quant à un éventuel non-respect des obligations RGPD par la DGFIP. Pour rappel, le règlement impose de notifier la CNIL dans les 72 heures suivant la découverte d'une violation de données. Or, en juin, l'administration dit n'avoir identifié qu'une compromission de compte. L'exfiltration n'est en effet apparue qu'après les revendications de ZeroBytes. Bercy a alors saisi la CNIL. Une chronologie malgré tout contestée par la force syndicale unifiée de la DGFiP, Solidaires Finances publiques. L'organisation affirme avoir alerté la direction dès le mois de juin sur les risques d'usurpation d'identité, quelques mois après la compromission du fichier FICOBA qui recense les comptes bancaires ouverts en France. Elle reproche également à l'administration d'avoir communiqué après les révélations du pirate. 

Une extraction passée sous les radars 

Les investigations conduites depuis le 12 août dessinent un mode opératoire inhabituel. Aucun requêtage massif. Aucun transfert susceptible de saturer les journaux d'événements. Les données quittent le système par petites quantités, parfois de manière automatisée, selon un rythme suffisamment proche d'un usage ordinaire pour échapper aux seuils d'alerte. Les systèmes de supervision recherchent des ruptures de comportement. ZeroBytes s'est appliqué à ne jamais en produire. D’après Amélie Verdier, directrice générale de la DGFiP les compromissions de comptes ne constituent pas un événement exceptionnel. Leur exploitation, elle, a changé de méthode. L'administration ferme la porte, sans voir ce qui est déjà sorti par la fenêtre. Le pirate revendique une seconde extraction visant le SPDC. Elle porterait sur 252 149 lignes représentant plus de 2 millions de propriétaires. ZeroBytes affirme avoir interrompu lui-même l'extraction cadastrale. Selon ses déclarations, récupérer l'ensemble de la base aurait demandé plusieurs mois supplémentaires. Les autorités n’ont pas confirmé ces allégations. De son côté, le parquet de Paris a ouvert une enquête pour identifier le parcours des données, les auteurs et l’étendue réelle.  

Le vrai butin ou Le fisc comme gisement de données 

ZeroBytes ne revendique aucun objectif politique. Dans un échange avec nos confrères de France Info, le cybercriminel affirme rechercher un bénéfice financier. Il dit opérer depuis un pays sans accord d'extradition avec la France. Son pseudonyme apparaît déjà dans plusieurs intrusions revendiquées contre des organisations françaises, parmi lesquelles Intermarché, la Fédération française de handball ou une société de jeux vidéo. La DGFiP s'ajoute donc à une liste de cibles choisies moins pour leur activité que pour la valeur des informations hébergées Les données fiscales se revendent cher parce qu'elles permettent d'affiner une fraude. Une adresse postale, un revenu fiscal de référence, un quotient familial ou un taux de prélèvement donnent immédiatement de la crédibilité à un faux courrier, un appel ou un courriel présenté comme émanant de l'administration. Benoît Grünewald, expert cybersécurité chez ESET, évoque également le risque de démarchages physiques réalisés par de faux agents. L'expérience récente invite à prendre cette menace au sérieux. Les données volées à la Fédération française de tir avaient servi, quelques mois plus tôt, à cibler des propriétaires d'armes avant plusieurs vols. Les fichiers de la DGFiP offrent la même matière première, à savoir des informations assez précises pour personnaliser une fraude avant même le premier contact. 

Le crash test du plan cyber de l'État 

La cyberattaque contre la DGFiP ne survient pas dans un paysage vierge. Depuis le printemps, l'État enchaîne les incidents touchant ses systèmes d'information. L'Insee, l'Agence nationale des titres sécurisés, puis désormais l'administration fiscale. Cette succession conduit Sébastien Lecornu à réunir, le 17 août, une cellule interministérielle consacrée à la réponse de l'État et au suivi des 678 000 usagers concernés. À son issue, le Premier ministre a chargé l'Agence nationale de la sécurité des systèmes d'information (ANSSI) de conduire un audit approfondi, afin d'établir les circonstances et les causes de l'incident. Il demande également l’accélération du plan de sécurisation des systèmes d'information de l'État. L'incident intervient moins de quatre mois après la présentation d'un plan de renforcement de la cybersécurité des administrations. Nouvelle gouvernance numérique, moyens supplémentaires, montée en puissance de la protection des systèmes sensibles, les orientations étaient fixées. L'affaire de la DGFiP en fournit le premier cas d'école. Les sénateurs socialistes réclament déjà une commission d'enquête afin d'identifier d'éventuelles vulnérabilités communes entre plusieurs administrations. Le candidat à la présidentielle, Bruno Retailleau appelle, de son côté, à bâtir une “forteresse numérique”. La solidité des remparts inquiète moins que la pression exercée. La DGFiP affirme avoir déjoué 6 972 attaques informatiques en 2025. La difficulté réside dans la capacité à détecter rapidement une exfiltration lorsqu'un attaquant utilise des accès qui paraissent légitimes.