DGFiP piratée : l’État exige tout, ne protège rien

Fin juin 2026, quelqu’un se connecte au système d’information de la Direction générale des Finances publiques avec les identifiants d’un agent, puis avec ceux d’un tiers habilité. Il consulte, il extrait. Un contrôle interne finit par couper ces accès, puis plus rien : personne ne cherche à savoir ce qui est sorti. Il faudra attendre le 12 août et la revendication d’un pirate nommé ZeroBytes sur un forum cybercriminel pour que Bercy comprenne ce qui lui est arrivé. La CNIL, qui devait être saisie sous 72 heures, l’est avec près de deux mois de retard. Ce n’est pas la détection qui a fonctionné, c’est la vantardise du voleur.

Bilan officiel, révisé à la hausse au fil des jours : 678 000 particuliers et professionnels pour le premier volet. Noms, prénoms, adresses, revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN pour les entreprises. Puis le serveur professionnel de données cadastrales : la DGFiP annonce 200 000 comptes, avant de corriger à 1,8 million, un chiffre étrangement proche du décompte du pirate lui-même. Puis le portail des successions vacantes, où une vulnérabilité signalée par le collectif LunarisSec aurait permis d’accéder à des données sans la moindre authentification.

En mai, j’écrivais qu’il y avait une fuite par heure en France et que l’État refusait les architectures qui rendraient ces fuites inoffensives. Trois mois plus tard, la démonstration arrive en conditions réelles, et c’est le premier détenteur de données du pays qui s’y colle.

Le musée des horreurs

Regardez le plan de remédiation annoncé par Bercy le 18 août, il vaut tous les audits. Généralisation de la double authentification à l’ensemble des agents d’ici la fin de l’année. Généralisation des quotas de consultation, aujourd’hui appliqués au seul fichier FICOBA. Déploiement de capteurs de détection sur les systèmes qui en sont encore dépourvus. Refonte de la détection des usages anormaux d’un compte valide.

Lisez cette liste à l’envers et vous obtenez l’état des lieux de juin 2026. Pas de MFA généralisée. Pas de quotas de consultation. Des systèmes sans capteurs. Pas de détection comportementale sur les comptes agents. En clair : un identifiant et un mot de passe volés suffisaient à se promener dans les données fiscales des Français, sans plafond, sans alarme, sans second facteur.

La directrice générale Amélie Verdier explique que l’attaque était sophistiquée : pas de requêtage massif par robots, pas d’atypie détectable dans les volumes consultés. Prenons cette affirmation au sérieux, car elle est invérifiable par construction : on ne détecte pas d’atypie avec des outils qu’on ne possède pas. Deux lectures seulement sont possibles. Soit la supervision existait, l’accès a été jugé suspect au point d’être coupé, et personne n’a poussé l’investigation jusqu’à découvrir l’exfiltration : la détection a fonctionné, la réponse à incident a échoué. Soit la supervision n’existait pas vraiment, et « pas d’atypie détectable » signifie « rien pour détecter une atypie ». Les deux lectures condamnent. L’analyse comportementale des comptes, le moindre privilège, la journalisation corrélée, tout cela existe depuis quinze ans, s’achète et se déploie. Ailleurs.

Et la directive NIS 2, censée relever le niveau de cybersécurité des administrations, attend toujours sa transposition française, près de deux ans après l’échéance fixée par Bruxelles. L’État sanctionne chez les autres ce qu’il tolère chez lui : n’importe quel hébergeur de données de santé se fait retoquer pour un dixième de ce tableau.

L’asymétrie, ou le vrai scandale

Ce hack ne serait qu’un fait divers administratif s’il n’arrivait pas au pire moment possible pour la doctrine officielle. Car pendant que la DGFiP se faisait vider par un individu muni de deux mots de passe, le même État finalisait le plus grand aspirateur à données économiques de son histoire.

La facturation électronique obligatoire, c’est le contrôle fiscal en temps réel : chaque facture B2B, chaque flux, chaque marge de chaque entreprise française, centralisés et transmis. J’ai déjà décrit ce que ce dispositif crée : 115 cibles pour le prix d’une avec les plateformes agréées, et un gisement de renseignement économique offert à quiconque saura se servir. Côté particuliers, DAC8 imposera la déclaration des avoirs crypto, et j’ai montré ce que deviennent ces fichiers quand ils fuient : des listes de cibles pour les kidnappings. Avec la fuite DGFiP, le fraudeur qui vous appelle connaît désormais votre revenu exact, votre quotient familial et votre adresse. Demain, avec le patrimoine cadastral dans la nature pour 1,8 million de propriétaires, il connaîtra aussi ce que vous possédez.

Voilà l’asymétrie : l’obligation de tout donner d’un côté, l’incapacité prouvée de protéger de l’autre. L’État exige la transparence totale de ses administrés et s’accorde à lui-même l’opacité totale sur ses défaillances, jusqu’à attendre qu’un pirate publie son butin pour prévenir la CNIL. Chaque fichier centralisé est une promesse de fuite, et la seule donnée dont la sécurité est garantie est celle qu’on ne collecte pas. Les architectures qui permettent de prouver sans révéler existent, je les ai décrites : l’État n’en veut pas, parce que son objectif n’est pas de vérifier, mais de détenir.

Qui construit, qui profite

Reste la question que personne ne posera en conférence de presse : qui conçoit, développe et opère ces systèmes ?

Pas les seuls agents de Bercy. L’informatique d’État vit depuis vingt ans sous perfusion de prestataires, dans un écosystème dont j’ai documenté les mœurs : le nexus McKinsey, le pantouflage que le Sénat refuse de lister, les agences qui engraissent les cabinets de conseil. Les grands programmes sont découpés en marchés captés par une poignée d’ESN, le logiciel est écrit par des juniors facturés au prix de seniors, encadrés par des chefs de projet qui tournent tous les dix-huit mois, sur des spécifications rédigées par des gens qui ne verront jamais la production. C’est ma thèse et je l’assume : la sous-traitance en cascade produit des systèmes que personne ne comprend de bout en bout, donc que personne ne sait défendre. La sécurité est une culture d’ingénierie, et une culture ne se sous-traite pas.

L’actualité offre d’ailleurs un symptôme savoureux. Au moment même où Bercy gère sa crise, le groupe de ransomware Everest revendique la compromission d’un dépôt de données lié à Capgemini Engineering : 13 Go et plus de 720 000 fichiers, essentiellement des archives historiques d’Altran, code source, dossiers de recrutement et documents de projets publics compris. Revendication non confirmée par l’entreprise, données majoritairement anciennes, aucun lien établi avec la DGFiP, soyons précis. Mais le tableau d’ensemble est là : les géants du conseil qui facturent à l’État sa transformation numérique ne protègent pas toujours leurs propres archives. Le cordonnier est mal chaussé, et c’est lui qui chausse la République.

Souveraineté de papier

On nous parle de cloud souverain, d’IA souveraine, de commissariats à la souveraineté numérique. Un État qui ne sait pas qui consulte quoi dans ses propres bases n’est pas souverain, il est locataire de son propre système d’information, et le bailleur s’appelle désormais ZeroBytes.

Alors non, la réponse n’est pas un plan de remédiation de plus. La réponse est un principe : tant que l’État n’aura pas prouvé qu’il sait garder ce qu’il détient, il n’a aucune légitimité à exiger davantage. Suspendez l’aspirateur de la facturation électronique, gelez DAC8, minimisez les collectes, et déployez enfin les architectures qui prouvent sans révéler. Les 678 000 contribuables concernés recevront un courriel de vigilance. Les responsables, eux, recevront probablement une promotion. C’est le seul mécanisme de l’État qui fonctionne sans faille.