Un État qui n’arrive plus à garder les données qu’il exige de nous

Le communiqué est tombé le vendredi 14 août, veille d’un week-end de 15 août, quand le pays avait les yeux sur le massif landais et sur ceux qui s’y relayaient depuis trois semaines. Bercy y reconnaissait des « accès illégitimes » au système d’information de la Direction générale des finances publiques. Traduction : les données de centaines de milliers de contribuables ont été dérobées.

Les faits, eux, remontent à bien plus tôt. Un pirate, « ZeroBytes », revendique une première intrusion le 26 juin. Il avait récupéré les identifiants d’un agent et ceux d’un tiers habilité, ce qui lui donnait un accès VPN à un outil interne de recherche sur les particuliers et les professionnels. Personne ne l’a vu passer. Le 29 juillet, il est revenu, par une autre porte cette fois, le serveur professionnel de données cadastrales, celui qu’utilisent les notaires et les géomètres. Personne ne l’a vu non plus. Un troisième service y est passé, le portail des successions vacantes, via une vulnérabilité. Ce qui a fini par alerter l’administration, ce ne sont pas ses outils de détection, ce sont les messages de revendication publiés par l’intéressé sur un forum criminel les 12 et 13 août. Les contribuables concernés ont reçu leur courriel à partir du lundi 17.

Sept semaines. Pendant sept semaines, quelqu’un s’est promené dans les fichiers du fisc, y est revenu une deuxième fois, et l’administration l’a appris en lisant les fanfaronnades du voleur.

Deux comptages, et un écart embarrassant

Sur les volumes, il faut mettre les deux versions côte à côte, parce qu’elles en disent long. Bercy annonce 678 000 comptes de particuliers et de professionnels, dont environ 350 000 particuliers, avec ce que cela suppose de données couvertes par le secret fiscal : revenu fiscal de référence, quotient familial, taux de prélèvement à la source. Le pirate, lui, revendique 678 438 lignes, ce qui colle. Mais il ajoute autre chose : son extraction a été interrompue par la lenteur du système, et l’outil auquel il avait accès permettait, selon lui, d’aller chercher plusieurs dizaines de millions de contribuables.

Pour le cadastre, l’écart est encore plus embarrassant. ZeroBytes annonçait 252 149 lignes exfiltrées, soit 2 041 778 titulaires d’après son propre décompte. La DGFiP a d’abord parlé de 200 000 comptes. Une semaine plus tard, elle corrigeait : 1,8 million. Neuf fois plus. Autrement dit, la version de l’administration a rejoint celle du pirate, et pas l’inverse. Une victime qui révise son bilan dans ces proportions n’a pas seulement été attaquée, elle ignorait ce qu’elle avait perdu.

Un rythme, pas un accident

Et ce n’est pas un accident isolé, c’est un rythme. FICOBA, le fichier qui recense tous les comptes bancaires ouverts en France, avait déjà lâché 1,2 million de comptes en février, là encore à partir des identifiants d’un fonctionnaire. Les titres sécurisés de l’ANTS, devenue France Titres, ont exposé des millions de dossiers d’identité. Deux fichiers de police, dont le traitement d’antécédents judiciaires, ont été consultés illégalement en décembre. France Travail a été touché à nouveau, l’Insee aussi, Bloctel, Santé publique France, l’Agence du service civique, et jusqu’à Tchap, la messagerie censée être la plus sûre de l’administration. Le Premier ministre a lui-même cité le chiffre au début du mois : trois vols de données par jour en moyenne depuis janvier. La France est désormais le deuxième pays au monde, derrière les États-Unis, pour le volume de comptes compromis.

Ce que permettent de vraies données fiscales

On a longtemps rangé ces affaires au rayon des incidents techniques, en se disant qu’après tout personne n’était mort. Le hacker éthique Clément Domingo, alias SaxX, qui a pu échanger avec les auteurs et récupérer des échantillons, parle de « la cyberattaque la plus grave » subie par notre pays, et son raisonnement est difficile à écarter. Un escroc qui dispose de vraies données fiscales n’a plus besoin d’être bon. Le faux conseiller qui vous appelle en connaissant votre revenu de référence et votre taux de prélèvement n’a rien à démontrer, il lui suffit de réciter, et vous n’avez aucune raison de douter.

Ensuite viennent les dégâts qu’on met des années à réparer. L’usurpation d’identité, dont on ne se débarrasse jamais tout à fait. La fraude au virement, qui peut emporter une PME en une journée. Et un risque plus direct, dont on parle peu : croisez un fichier fiscal et un fichier cadastral, et vous obtenez une carte du patrimoine des Français, c’est-à-dire un outil de repérage pour des cambriolages ciblés et des extorsions au domicile. Ce n’est pas une hypothèse d’école, c’est ce qu’on observe déjà contre les détenteurs de cryptoactifs. Un État qui ne protège plus les données de ses citoyens finira par ne plus protéger les citoyens.

Vingt ans d’archives scolaires, et une question de principe

Il y a enfin l’Éducation nationale, et là je voudrais poser une question de principe. Le pirate revendique 346 millions de lignes réparties dans près de 2 500 fichiers, une vingtaine d’années d’archives, certaines remontant au début des années 2000. Des données d’enfants scolarisés il y a vingt ans, qui sont aujourd’hui des adultes, circulent sur des forums criminels. Or le RGPD pose une règle simple, la limitation de la durée de conservation : on ne garde une donnée personnelle que le temps nécessaire à ce pour quoi on l’a collectée. C’est au nom de cette règle que la CNIL sanctionne chaque année des entreprises françaises. Nos PME nomment des délégués à la protection des données, tiennent des registres de traitement, purgent leurs bases, subissent des contrôles et paient quand elles se trompent. Très bien. Mais qu’on m’explique pourquoi celui qui impose cette discipline s’en dispense.

Parce que la loi le dit noir sur blanc. L’article 20 de la loi Informatique et Libertés interdit à la CNIL de prononcer une amende administrative lorsque le traitement est mis en œuvre par l’État. Une commune peut être sanctionnée, un établissement public aussi, France Travail a pris 5 millions d’euros en février pour ce que la CNIL a qualifié de négligence grave. Un ministère, non. Une entreprise qui laisserait fuir vingt ans de fichiers clients risque jusqu’à 4 % de son chiffre d’affaires mondial ; un ministère qui laisse fuir vingt ans de fichiers d’élèves risque un communiqué. Cette asymétrie n’est plus tenable, et elle nourrit exactement ce que nos concitoyens nous disent depuis des mois : une administration inflexible avec eux, compréhensive avec elle-même.

La réponse du gouvernement, et celles qui manquent

La réponse du gouvernement, pour l’instant, tient surtout du mécano administratif. Un plan lancé le 30 avril, la fusion de la DINUM et de la DITP, une autorité baptisée Ariane rattachée à Matignon d’ici janvier 2027, 200 millions d’euros, les amendes de la CNIL affectées à un fonds de modernisation. L’intention est bonne. Mais on n’a jamais sécurisé un système d’information en fusionnant deux directions, et l’audit attendu en septembre ne rendra à personne les données qui circulent depuis juin.

Des propositions existent pourtant. Bruno Retailleau défend un plan Vauban numérique, piloté par une ANSSI renforcée, avec une bascule accélérée des hébergements sensibles vers un cloud souverain qualifié SecNumCloud, c’est-à-dire hors d’atteinte des lois extraterritoriales. L’idée directrice est de cartographier d’abord toutes les dépendances critiques de nos infrastructures publiques et de les traiter dans un ordre décidé, plutôt que de colmater après coup, une fuite après l’autre. S’y ajoutent des tests de résistance réguliers pour les ministères, les hôpitaux, les mairies et les réseaux vitaux, sur le modèle de ce que le secteur bancaire pratique depuis longtemps, une inspection générale du numérique adossée à l’ANSSI avec un pouvoir de recommandation contraignante, un plan pluriannuel de recrutement des compétences cyber dans l’État, et la transposition enfin sérieuse de la directive NIS 2, sur laquelle notre retard devient gênant.

Deux mesures méritent qu’on s’y attarde. D’abord un « pourcentage de souveraineté » attribué à chaque logiciel de l’administration selon son exposition aux lois étrangères, la maîtrise des clés de chiffrement ou le contrôle capitalistique de l’éditeur, note publique et opposable dans les marchés publics. Ensuite une capacité de « switch off », c’est-à-dire la garantie que les opérateurs vitaux, eau, énergie, paiements, transports, hôpitaux, puissent isoler instantanément un réseau compromis et continuer de tourner hors ligne.

Ce qu’ont fait l’Estonie et Singapour

Ailleurs, on a fait des choix qui méritent d’être regardés. L’Estonie, qui a essuyé en 2007 la première cyberattaque massive contre un État, a ouvert en 2018 au Luxembourg une « ambassade de données », un centre serveurs couvert par les immunités diplomatiques de la convention de Vienne, qui héberge une copie de ses registres critiques et lui permettrait de fonctionner même si son territoire était paralysé. Elle a surtout fait de la traçabilité un droit du citoyen : chaque consultation d’un dossier par un agent est journalisée, et l’intéressé peut aller voir lui-même qui a regardé quoi, et quand. Dans une affaire où l’attaque a consisté à utiliser les identifiants d’un agent pour multiplier les requêtes pendant sept semaines, on imagine ce qu’un tel dispositif aurait changé.

Singapour a réagi autrement au vol, en 2018, des dossiers de 1,5 million de patients du groupe hospitalier SingHealth, dont ceux du Premier ministre. Commission d’enquête indépendante en quelques jours, auditions publiques, rapport rendu public, sanctions financières contre les deux organismes en cause, et des responsables rétrogradés ou licenciés, y compris en haut de la hiérarchie. La méthode est rude, et je ne dis pas qu’il faut l’importer telle quelle. Elle pose au moins que la sécurité des données n’est pas un aléa climatique et qu’elle relève de responsabilités qui portent des noms.

Des responsabilités qui portent des noms

C’est peut-être ce qui manque le plus ici. Six mois de fuites en série, et à ce jour aucune démission, aucun rapport public sur les défaillances constatées, aucune enquête parlementaire allée à son terme, des victimes prévenues des semaines après les faits. On demande aux Français de tout déclarer, de tout dématérialiser, de tout centraliser, et quand la centralisation se retourne contre eux, on leur recommande de se méfier des courriels suspects.

Reste une question qu’on ne pose jamais : l’État a-t-il vraiment besoin de tout garder, indéfiniment ? Un fichier qui n’existe pas ne fuit pas. Avant de bâtir des forteresses, il serait sain de se demander ce que nous entassons, pourquoi, et pour combien de temps encore.

C’est la règle que nous imposons à nos entreprises. Il serait temps de nous l’appliquer.