🔴 Piratage des impôts : comment en est-on arrivé là ?

Au milieu de la pause estivale, nous avons tous découvert cet incident majeur au cœur de l'État. Nous avions déjà parlé de la question de la sécurité de l'État lors du piratage de l'ANTS, mais là, il faut le dire, on atteint un nouveau palier, peut-être le niveau le plus haut jamais atteint.

Et toujours la même question : comment est-ce possible ?

Pour confronter des points de vue différents, j'ai discuté avec des membres de la communauté Cybernetica aux profils variés : un spécialiste de la transformation numérique de l'État, un spécialiste en cybersécurité, une personnalité politique et quelques vieux routards du monde numérique. Une analyse nuancée qui essaye d'aller un peu plus loin que le bruit ambiant.

Les faits, d'abord

La DGFiP a confirmé une intrusion ayant conduit à la fuite d'un fichier de 678 000 entrées, particuliers et professionnels. La directrice générale des finances publiques, Amélie Verdier, a confirmé le vendredi 14 août au soir le bilan et les principales catégories concernées : noms et prénoms, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. L'échantillon analysé par FrenchBreaches à partir des données revendiquées par le pirate contient en outre l'adresse, le téléphone, l'adresse électronique et le nombre de personnes à charge.

Chronologie

L'accès de l'attaquant avait été coupé fin juin, mais l'exfiltration n'avait alors pas été détectée. La fuite n'a été identifiée qu'après la mise en vente des données, le 12 août. C'est déjà, en soi, une partie importante du problème.

Depuis, tout s'est accéléré

Le même pirate a revendiqué une seconde attaque, menée fin juillet contre le serveur professionnel des données cadastrales et confirmée par l'administration : plus de deux millions de personnes concernées, selon lui. Il a aussi donné sa version des faits, l'accès récupéré sur un VPN utilisé par les agents du fisc, et s'est permis de commenter : il faut, dit-il, que les gens se réveillent et voient à quel point « la France est un sketch ».

Et la classe politique s'en mêle : l'eurodéputée Aurore Lalucq, coprésidente de Place publique, a demandé sur X la démission du ministre chargé des comptes publics, David Amiel, après avoir dénoncé que la personne « est entrée et repartie avec la caisse. Ça suffit ».

Le piratage de l'Éducation nationale

Et pendant ce temps, une autre administration s'est aussi fait hacker dans l'obscurité la plus complète.

Dans la nuit du 25 au 26 juillet, quelqu'un est entré dans le système d'information dédié à la formation des personnels de l'Éducation nationale. Même chose qu'à la DGFiP : l'usurpation d'un compte professionnel.

Les données concernées sont celles de tous les agents ayant exercé en académie depuis 2001 : identité, statut, fonctions, et pour une partie d'entre eux adresse postale, téléphone et numéro de sécurité sociale. Le ministère n'a à notre connaissance pas publié de volumétrie. Le communiqué est sorti le 31 juillet, en pleine période estivale, et personne n'en a parlé. C'était le troisième piratage de l'Éducation nationale depuis janvier.

L'exemple bulgare

Beaucoup de gens sur Twitter ont posé la question : peut-on attaquer l'État pour négligence ?

La réponse vient de Bulgarie. Le 15 juillet 2019, l'agence nationale des recettes publiques bulgare est piratée. Les données fiscales et sociales de six millions de personnes se retrouvent en ligne.

Une contribuable attaque son administration. La Cour de justice de l'Union européenne tranche le 14 décembre 2023 et confirme trois choses.

• La crainte d'un usage abusif de ses données suffit à constituer un dommage réparable, sans avoir été victime de quoi que ce soit.
• La charge de la preuve est renversée : c'est à l'administration de prouver que ses mesures de sécurité étaient appropriées.
• Et le fait que le dommage vienne de pirates n'exonère pas automatiquement l'administration.

L'arrêt de la Cour de justice de l'Union européenne interprète le RGPD, il s'applique aussi en France.

Remettre l'informatique au centre

Pour comprendre, il faut aussi remettre l'informatique au centre de la discussion. La cybersécurité s'est muée depuis quelques années en un bloubiboulga de réglementation, de gouvernance et de communication, reléguant au second plan la question du savoir-faire technologique. C'est triste.

Je ne me considère pas comme un spécialiste de la cybersécurité, mais j'ai été plongé tout jeune dans le computer underground des années 80-90, celui du Chaos Computer Club et de Kevin Mitnick, et j'ai parfois l'impression que rien n'a changé depuis.

Il y a d'un côté les gens qui font le travail de sécurisation, qui ont un sens pratique technologique, et de l'autre les gens qui parlent de ces sujets sans vraiment savoir comment les choses fonctionnent. Après, je comprends la frustration de nombreux spécialistes qui avaient prévu tout ce qui se passe aujourd'hui.

Mais on va le voir, il y a aussi un biais important du monde de la sécurité informatique, où l'informatique Unix des années 90-2000 et les modèles de sécurité qui lui sont inhérents dominent. C'est notamment le cas à l'ANSSI et dans de nombreux services. Avec l'arrivée du cloud et désormais de l'IA, la mise en place de stratégies de sécurité oblige à travailler avec de plus en plus d'acteurs non techniques, et parfois le monde politique, qui préfère la com au fond. Ça ne doit pas toujours être facile de jongler entre les directives, même si cela n'excuse pas le retard accumulé sur ces questions.

C'est dans ce contexte qu'il faut aujourd'hui regarder le piratage des impôts. L'objectif de cette newsletter n'est pas de faire un texte accusatoire (c'est difficile en n'ayant que des informations parcellaires), mais de proposer une première analyse de dysfonctionnements qui sont en partie, je dis bien en partie, compréhensibles.

Une chose doit être dite tout de suite, parce que tout le reste en découle. Le problème n'est pas qu'un attaquant puisse entrer dans un système, cela arrivera toujours. Le problème est qu'une compromission mette autant de temps à être détectée et donne accès à bien trop de choses. Surtout que Bercy avait déjà subi une autre cyberattaque quelques semaines avant.

Imaginez que quelqu'un force la porte de votre magasin, que vous ne vérifiiez pas si quelque chose a été volé, que vous ne mettiez pas d'alarme supplémentaire, et que vous vous refassiez cambrioler.

Trois questions viennent immédiatement à l'esprit :

• Pourquoi ce type d'attaque semble-t-il se répéter ?
• Comment un attaquant qui réussit à entrer dans un service de l'État peut-il repartir avec les données ?
• Pourquoi l'exfiltration et les conséquences pour les usagers semblent-elles détectées et communiquées aussi tardivement ?

Ces trois questions en ouvrent deux autres, bien plus profondes :

• Le problème est-il technique ou organisationnel ?
• Et en quoi le virage du cloud hier, puis celui de l'IA aujourd'hui, accélèrent-ils l'inadéquation de la politique cyber de l'État ?

Normalement, la suite est réservée aux abonnés payants de Cybernetica. Exceptionnellement, en raison du sujet, j'ai décidé d'ouvrir cette newsletter au public, mais les propositions, toutes les sources et les bonus restent réservés aux abonnés payants.

En trois ans, les lecteurs de cybernetica.fr sont devenus les référents tech, géopolitique, cyber et IA de leurs organisations. Devenez membre de notre communauté. Abonnez-vous.

⸻

1. Pourquoi ce type d'attaque semble-t-il se répéter ?

Le point de départ, c'est évidemment ce « pattern » que l'on retrouve dans quasiment tous les incidents récents : un accès est compromis, l'attaquant entre dans un système sensible, accède à des données importantes et peut ensuite les exfiltrer pour ensuite annoncer leur revente sur le darknet.

Les très nombreuses attaques que la France a subies ne sont pas nécessairement identiques, mais elles démontrent un problème systémique : une compromission initiale produit des risques et des conséquences très importantes. Et elles nous obligent à nous poser une question très inquiétante. Si le pirate n'avait pas annoncé la vente des données, le gouvernement l'aurait-il su ? Cela veut-il dire qu'il y a peut-être eu des piratages d'ampleur dont nous ne savons rien ?

Un hack sans fin

Cette répétition n'est d'ailleurs plus une impression. Le même pirate a revendiqué une seconde attaque, fin juillet, contre le serveur professionnel des données cadastrales de la DGFiP, confirmée vendredi soir par l'administration.

Le pirate y revendique 252 149 lignes extraites, représentant selon lui plus de deux millions de personnes : identité, date et lieu de naissance, adresse, identifiant foncier, parcelles. Il affirme avoir contourné l'authentification multifacteur, le dispositif qui impose une seconde vérification en plus du mot de passe, et estime à 20 millions le nombre de citoyens présents dans ce système.

Deux attaques revendiquées sur la même administration, le même été.

Petit rappel. Sur la seule année 2026 : 774 000 étudiants au CNOUS en mars, deux millions selon les pirates ; 1,5 million de personnes au Secrétariat général de l'enseignement catholique ; 243 000 agents de l'Éducation nationale, avant les deux autres intrusions du ministère ; une fuite ÉduConnect touchant des élèves révélée mi-avril. Une sénatrice parlait sur X de France Passoire.

Quand on regarde de plus près, on se rend compte que ces incidents récents ne reposent d'ailleurs pas nécessairement sur le même scénario technique.

Cela précise encore plus la question. Ce n'est pas pourquoi quelqu'un peut pénétrer dans un système : un mot de passe, un accès VPN et un compte privilégié (ceux qui ont accès à tout) peuvent toujours être volés. La question qui se pose, c'est pourquoi, une fois dans le système, on peut repartir « avec la caisse », comme le disait l'eurodéputée Aurore Lalucq.

Pour répondre à cela, prenons une image de film.

Dans les films d'action, on voit souvent le héros couper la grille autour d'une usine, se faufiler entre les gardes armés et piquer un badge pour entrer à l'intérieur. Là, sans se faire remarquer, il va dans la pièce où se trouvent les plans secrets et réussit à repartir. Une fois dedans, il n'y a pas d'autre sécurité, car normalement personne n'est censé être à l'intérieur. C'est un peu ce qui se passe avec les services de l'État : quand vous êtes dedans, c'est un peu le jackpot.

Pour comprendre pourquoi, il faut refaire un peu d'histoire.

Le modèle historique des barrières physiques

Une première explication vient du modèle historique de sécurité de l'État. Beaucoup de systèmes ont été conçus dans un environnement où l'accès informatique était précédé par une série de barrières physiques : bâtiment sécurisé, badge, machine contrôlée, réseau interne.

Cette logique conduit naturellement à accorder davantage de confiance à quelqu'un une fois qu'il est « dedans ».

C'est l'inverse exact du zero trust, le principe qui consiste à ne faire confiance à aucun accès par défaut et à tout revérifier en continu, à chaque action. Mais le zero trust suppose une architecture moderne. Rien n'interdit d'appliquer ces principes à un système ancien, mais cela suppose de le reprendre en profondeur. Sinon le système hérite des propriétés de sécurité de l'époque qui l'a vu naître : une fois entré, on a accès à tout.

Ce système a des avantages, mais il n'est efficace que lorsque les gens sont connus.

Le Covid et les accès distants

Le Covid a brutalement modifié ce modèle. Le télétravail et les VPN ont permis d'atteindre depuis l'extérieur des systèmes initialement conçus pour fonctionner dans un environnement beaucoup plus fermé. Évidemment, c'était indispensable pour ne pas paralyser l'État, mais comme de nombreux experts me le répètent depuis longtemps, on a étendu les accès sans nécessairement reconstruire partout le modèle de confiance sur lequel reposaient les systèmes. Et surtout, depuis le Covid, la mise à jour est aux abonnés absents.

Il y a aussi un aspect psychologique qu'on a tardé à entrevoir : en télétravail, le prisme organisationnel qui vous fait comprendre que ce que vous manipulez est sensible se délite. Et les nouveaux arrivants, ceux qui sont arrivés directement dans cet environnement hybride, n'ont pas forcément les mêmes réflexes de sécurisation.

Mais ce n'est pas tout.

Quand l'interministériel sème la zizanie

Beaucoup de systèmes informatiques d'administration sont avant tout pensés pour leurs utilisateurs en propre. On définit la politique de sécurité, on connaît les gens, les machines et son réseau. Mais parfois il faut donner accès à des utilisateurs ou à des systèmes extérieurs dont on ne contrôle pas entièrement les conditions de sécurité.

Le piratage de Ficoba semble en être l'exemple type : l'accès compromis appartenait précisément à un fonctionnaire autorisé à consulter le fichier dans le cadre d'échanges interministériels. Il se dit que c'est le cas pour d'autres attaques, mais en l'absence de données sourcées (lire à la fin du document) cela reste une hypothèse.

Ces accès interministériels posent des challenges à la fois au niveau de la politique de sécurité, mais aussi pour son traitement.

Des patchs traités localement

La répétition apparente des hacks vient aussi du fait que les incidents sont souvent traités à l'échelle du ministère concerné.

Des corrections sont bien apportées après chaque attaque, rotations de mots de passe, durcissements, mais elles ne produisent pas automatiquement un réexamen transversal de tous les systèmes qui partagent les mêmes dépendances : accès distants, comptes privilégiés, relations entre administrations, gestion des droits ou détection des exfiltrations.

Des incidents différents ont donc probablement révélé des faiblesses communes dans la manière dont l'État contrôle globalement les identités, les accès et les conséquences d'une compromission.

Le cas particulier des impôts

Le système des impôts, lui, cumule les particularités. C'est l'un des plus vieux systèmes de l'État, éminemment legacy, très siloté, hyper processé, hyper contrôlé. C'est la machine à cash de l'État, et pendant longtemps il a été considéré comme le service exemplaire, l'impôt électronique étant globalement un succès et les gens qui y travaillent ou y ont travaillé étant bien considérés par leurs pairs.

Il est aussi volontairement à part : on a considéré qu'il y avait un risque à le mutualiser avec le reste, vu la sensibilité de la mission. Cette ségrégation a ses vertus de sécurité, mais elle place le système en dehors des socles mutualisés et de leurs règles.

Enfin, il est profondément saisonnier : il y a le rush de la déclaration avec son lot de contraintes, c'est un peu le Black Friday d'Amazon pour l'État, suivi d'une période de vacances.

L'intrusion de la fin du mois de juin a eu lieu en plein post-rush, ce qui a sûrement rendu encore plus difficile sa détection.

2. Comment quelqu'un peut-il entrer et repartir avec les données ?

La première barrière est l'authentification, mais elle ne peut pas être la dernière.

Si l'on part du principe qu'une identité peut toujours être compromise, le système doit continuer à contrôler ce que fait l'utilisateur une fois connecté. Or c'est là que le bât blesse.

Un ancien conseiller de ministre m'a dit il y a quelques années : on a parfois l'impression que l'État, c'est un OneDrive géant, une fois que tu es dedans, tu as un peu accès à tout.

Je me demande s'il n'avait pas un peu raison.

Dans les services numériques sur Unix (qui est la référence), on distingue toujours le droit de se connecter, le droit de consulter une donnée, le droit d'en consulter beaucoup d'un coup, voire le droit de les copier et celui de les exporter.

La gestion fine des droits existe depuis la préhistoire de l'Internet, les systèmes modernes y ajoutent la journalisation, la détection d'anomalies, la réauthentification et des contrôles supplémentaires sur les opérations sensibles.

L'ANSSI communique d'ailleurs sur la journalisation comme une brique indispensable de la sécurité : elle permet à la fois de détecter les incidents et de reconstruire après coup le cheminement d'une attaque et son impact, ce qui est super important.

Les comptes privilégiés

Les comptes privilégiés constituent un point particulièrement critique. Un administrateur, un compte technique ou fonctionnel peut disposer de droits beaucoup plus larges qu'un utilisateur normal ; sa compromission transforme immédiatement un problème d'identité en problème d'accès potentiellement massif aux données.

Dans WarGames (1983), on expliquait déjà ce qu'était une backdoor et le film explique le risque d'usage d'un compte privilégié.

L'exfiltration est une autre étape

L'exfiltration constitue ensuite une étape différente de l'accès. Même si un attaquant réussit à entrer et à consulter des données, un volume inhabituel, un téléchargement massif ou un export devraient pouvoir déclencher une alerte, une limitation ou une validation supplémentaire.

C'est précisément ce qui rend le cas actuel important : la DGFiP affirme avoir détecté et interrompu l'accès fin juin, sans avoir détecté à ce moment-là que les données avaient été exfiltrées.

Depuis la revendication, la DGFiP précise que le site impots.gouv.fr et les espaces des usagers, particuliers comme professionnels, n'ont pas été compromis, et dit avoir coupé dès la détection les accès de l'ensemble des comptes utilisés dans les incidents identifiés, ainsi que d'autres applications sensibles à titre préventif.

Trois explications possibles

Il faut comprendre comment fonctionne la détection sur ce genre de système. Le déclencheur porte sur le volume de données, pas sur l'accès aux données. Celui qui sait qu'il existe un seuil au-delà duquel il sera repéré n'a qu'à rester en dessous et extraire par petites quantités.

À partir de là, il n'y a que trois explications possibles à une exfiltration non détectée.

• Soit l'extraction n'est loguée nulle part, et c'est un défaut de conception intolérable sur un système de cette sensibilité.
• Soit l'attaquant est entré, a obtenu suffisamment de privilèges et a effacé ses traces derrière lui.
• Soit personne n'a pris la peine de vérifier comment il avait opéré.

Aucune de ces trois options n'est rassurante, mais attendons le Retex, le retour d'expérience, s'il est rendu public, ce que je ne pense pas que l'administration fera pour des raisons évidentes.

Mais revenons à la comparaison avec l'export de données de Facebook ou LinkedIn. Certains mécanismes sont devenus ordinaires : reconnaître un nouvel appareil ou un nouveau navigateur, signaler certaines connexions inhabituelles, renforcer l'authentification et encadrer les procédures d'export. Si ces mesures n'étaient pas mises en œuvre, elles renforceraient ceux qui disent qu'il vaut parfois mieux, sur l'aspect cybersécurité, faire confiance aux Gafam qu'à l'État.

Et pourtant, les grandes plateformes ne sont pas forcément immunisées. Petit rappel.

Octobre 2015. John Brennan, directeur de la CIA, voit son compte AOL personnel piraté par des adolescents. Ils appellent son opérateur téléphonique, se font passer pour un technicien, obtiennent ses informations et réinitialisent son mot de passe. Le questionnaire d'habilitation de sécurité qu'il avait rempli pour la CIA, une cinquantaine de pages contenant son parcours, ses adresses et les coordonnées de ses proches, se trouvait dans cette boîte. Il est publié.

Mars 2016. John Podesta, directeur de campagne d'Hillary Clinton, se fait pirater son compte Gmail à la suite d'un faux message d'alerte Google. Il clique sur le lien et saisit son mot de passe sur une fausse page de connexion.

Octobre 2016. Ses emails sont publiés par WikiLeaks pendant le dernier mois de campagne.

Janvier 2017. Le renseignement américain attribue l'opération à la Russie, au groupe APT28.

Printemps 2017. Le même groupe vise la campagne d'Emmanuel Macron. Cinq vagues d'hameçonnage visent ses collaborateurs, avec de fausses pages web et un faux serveur imitant les outils internes de l'équipe. Le 5 mai, deux jours avant le second tour, neuf gigaoctets de documents de la campagne sont publiés en ligne.

2017. Google impose à ses 85 000 salariés une clé de sécurité physique, un second facteur résistant à l'hameçonnage, et lance un programme de protection avancée pour les journalistes, activistes, équipes de campagne, dirigeants et administrateurs. Dans ce programme, la clé est exigée à chaque connexion sur un nouvel appareil, et elle désactive le code par SMS comme l'application d'authentification.

Juillet 2018. Google annonce qu'aucun des 85 000 salariés n'a été victime d'hameçonnage depuis, et qu'aucune prise de contrôle de compte n'a été constatée. Prix de la clé : vingt dollars.

Août 2018. Google commercialise sa propre clé, la Titan, vendue 50 dollars la paire aux États-Unis, une clé USB-NFC et une clé Bluetooth.

Janvier 2019. Le chercheur Troy Hunt découvre un fichier de 772 millions d'adresses email et 22 millions de mots de passe, revendu par un pirate pour moins de 50 euros. L'adresse Gmail d'Emmanuel Macron y figure, avec son mot de passe, dans un sous-fichier partagé le 25 juin 2017. C'est l'adresse personnelle qu'il utilise encore à l'Élysée. L'Élysée répond au Journal du dimanche que le mot de passe est changé régulièrement et qu'une double authentification par code sur téléphone a été activée, la méthode que Google avait retirée à ses salariés deux ans plus tôt.

Mais passons à la troisième question.

3. Pourquoi la fuite a-t-elle été découverte et communiquée aussi tard ?

Il faut distinguer trois moments : l'intrusion, l'exfiltration et la découverte de l'exfiltration.

Une administration peut identifier un accès anormal, couper cet accès et commencer une investigation sans savoir immédiatement que des données ont déjà quitté le système. Selon les communications publiques, la DGFiP a détecté l'accès et l'a coupé fin juin, mais affirme ne pas avoir identifié l'exfiltration. Elle n'a découvert la fuite qu'après la mise en vente publique des données, le 12 août.

Cela répond à une première question : le retard de communication ne traduit pas nécessairement une décision de cacher une fuite connue. De toute façon, soyons clair, il est très difficile d'imaginer qu'un patron d'administration centrale ne communique pas une intrusion à la CNIL. Les acteurs de l'État suivent les règles de l'État.

Reste l'autre question sous-jacente : l'administration n'avait pas vu que des données étaient déjà sorties. Si cette hypothèse est correcte, le sujet central devient la capacité d'observation du système. Il faut pouvoir reconstruire précisément ce qui s'est passé : quel compte a agi, quelles données ont été consultées, lesquelles ont été copiées, quand et dans quel volume.

La règle des 72 heures

La question des 72 heures doit être traitée avec la même précision. Le RGPD ne fait pas courir ce délai à partir de la date de l'intrusion, mais à partir du moment où le responsable du traitement prend connaissance d'une violation de données personnelles.

La chronologie exacte de la détection est donc indispensable pour savoir à partir de quand l'obligation de notification s'appliquait.

Ce délai de 72 heures en a d'ailleurs un jumeau, que personne ne mentionne. Depuis l'article 5 de la loi du 24 janvier 2023, une personne morale ou un professionnel victime d'une atteinte à un système de traitement automatisé de données doit déposer plainte dans les 72 heures suivant la connaissance de l'atteinte, faute de quoi son assurance ne l'indemnise pas.

Deux obligations, deux destinataires, et le même point de départ : le moment où l'on comprend ce qui s'est passé. Ce dispositif ne concerne pas l'État. Il ne souscrit pas de garantie cyber, il est son propre assureur, et la sanction n'a donc aucune prise sur lui.

Le bug du gouvernement

Alors que l'ensemble de l'État continue de se faire hacker, la principale loi de protection numérique, la transposition de la directive NIS2, n'est toujours pas votée. Cette directive européenne de 2022 impose à environ 15 000 entités françaises, entreprises et administrations, un socle commun de sécurité : gestion des risques, notification des incidents, sanctions à la clé. Elle devait être transposée avant octobre 2024.

Le calendrier français a de quoi laisser sans voix.

• Présentation en Conseil des ministres en octobre 2024.
• Adoption au Sénat en mars 2025.
• Examen en commission à l'Assemblée jusqu'en septembre 2025.

Puis plus rien. Le texte n'a jamais atteint l'hémicycle, il n'a même pas été inscrit à l'ordre du jour de la session extraordinaire de juillet dernier. L'examen est désormais annoncé pour septembre 2026.

Depuis, la ministre déléguée chargée de l'Intelligence artificielle et du Numérique, Anne Le Hénanff, est inaudible. Elle était pourtant rapporteure de cette loi Résilience à l'Assemblée avant d'entrer au gouvernement en octobre 2025. Personne n'est censé connaître mieux le texte, et il n'a toujours pas été inscrit.

La raison de ce blocage est désormais connue. Le 4 février 2026, en conférence de presse au Sénat, les deux présidents des commissions spéciales chargées d'examiner le texte, le député Philippe Latombe et le sénateur Olivier Cadic, ont désigné l'exécutif, et derrière lui la DGSI.

Ce qui coince tient en un article, le 16 bis, introduit par Olivier Cadic et déjà voté par le Sénat. Il interdit à l'État d'imposer des portes dérobées aux fournisseurs de chiffrement.

• Selon le député Philippe Latombe, la DGSI ne veut pas que la réglementation soit transposée en l'état.
• Pour le sénateur Cadic, la raison de cet amendement vient de ce qui s'est passé aux États-Unis, où des portes dérobées installées pour surveiller les appels et les messages ont été exploitées par des pirates chinois, compromettant des millions de communications.

Il s'agit de la fameuse affaire Salt Typhoon.

Meredith Whittaker, présidente de Signal, en a détaillé les conséquences sur la scène de DLD en janvier 2025.

Les attaquants ont obtenu des données de localisation à la minute près et des informations au niveau des comptes, sur des millions de personnes résidant aux États-Unis.

Ils ont piraté le téléphone de Trump ou celui de Vance.

Ils ont cartographié les entrées et les sorties de bâtiments, dont le complexe de la CIA à Washington, en les reliant à des comptes identifiés.

Ils avaient aussi l'historique des appels, qui appelle qui, à quelle heure, combien de temps et à quelle fréquence.

Le tout obtenu par les mêmes portes dérobées que les forces de l'ordre avaient imposées aux opérateurs pour que, selon la formule de Whittaker, les gentils puissent entrer. La porte dérobée que l'État veut se réserver finit par se retourner contre lui.

Sur NIS2, l'Europe n'attend plus.

Vingt-trois États membres avaient manqué l'échéance d'octobre 2024, dix-neuf ont depuis régularisé. Il ne reste que quatre mauvais élèves. Le 8 juillet 2026, la Commission a renvoyé la France devant la Cour de justice de l'Union européenne, avec l'Irlande, l'Espagne et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières. La France fait en plus l'objet d'un second renvoi, depuis avril 2026, pour la directive REC sur la résilience des entités critiques.

Pour revenir à la question des impôts, il est intéressant de voir que le syndicat Solidaires Finances Publiques dit avoir écrit à la directrice générale dès juin, après les fuites Tchap et France Services, pour signaler des risques de piratage, d'usurpation d'identité ou d'hameçonnage ciblé « à très court terme ». Le syndicat dénonce aujourd'hui une communication tardive.

Maintenant, il faut analyser les conséquences de tout cela.

Gérer les conséquences

Ces données ne sont pas censées sortir. Pour l'OSINT, la collecte de renseignement en sources ouvertes, d'un service étranger, un tel fichier est une mine d'or. États, et évidemment grand banditisme : repérer les gens qui ont de l'argent pour aller les cambrioler ou les racketter. Selon l'analyse des données revendiquées par le pirate, 26 805 des particuliers concernés déclareraient un revenu fiscal de référence supérieur à 100 000 euros, et 386 dépasseraient le million.

Le croisement avec les données cadastrales de la seconde attaque, identité, adresse, patrimoine immobilier, augmente encore la valeur de ces fichiers pour un ciblage.

Le précédent de la Fédération française de tir

Ce scénario n'est pas théorique, il a déjà eu lieu. En octobre 2025, la Fédération française de tir se fait voler les données de près d'un million de licenciés et d'anciens licenciés : état civil, adresse postale, téléphone, numéro de licence.

Les mois suivants, des individus se présentent au domicile de licenciés en se faisant passer pour des policiers ou des gendarmes, parfois en tenue, pour se faire remettre des armes. Des vols sont constatés à Nice, à Paris, à Limoges, à Décines.

Devant l'Assemblée nationale, le ministre de l'Intérieur a reconnu qu'entre vingt et trente faits pouvaient être directement liés à ce piratage. La fédération, elle, relie ces cambriolages à des données revendues sur le darknet.

Et cela conduit à la question qui devrait empêcher de dormir. Si la seule chose qui a permis de découvrir cette exfiltration, c'est que le pirate a décidé de la revendiquer publiquement, alors combien d'extractions ont été menées par des gens qui, eux, n'ont rien annoncé ? Quelqu'un peut-il récupérer suffisamment de données de multiples services pour créer une simulation réaliste de la France ?

Personne ne peut répondre. C'est précisément le problème.

Restent les deux autres questions en suspens.

4. Le problème est-il technique et organisationnel ?

Pour de nombreux interlocuteurs, tout part du programme de réforme de l'État Action publique 2022, lancé en octobre 2017, dont le volet numérique visait 100 % de démarches administratives dématérialisées en 2022.

L'objectif a été tenu pour l'essentiel. En cinq ans, la relation entre les Français et leur administration est passée en ligne. Mais l'empreinte numérique de l'État a probablement grandi beaucoup plus vite que les organisations chargées de la tenir.

Le pouvoir technique et les décisions

Le sujet n'a jamais été l'absence de personnes compétentes dans l'État. Le problème est que les personnes qui comprennent réellement les systèmes ne sont pas nécessairement celles qui disposent du pouvoir d'imposer les architectures, les règles de sécurité ou l'arrêt d'un projet jugé dangereux.

Dans le contexte de l'attaque actuelle, des syndicats de Bercy ont eux-mêmes évoqué le manque de moyens, les difficultés à recruter des professionnels du numérique et la nécessité d'investissements supplémentaires.

Trois manques

Si on devait faire un premier diagnostic, il y a principalement trois manques :

• un manque de moyens
• un manque de sens pratique
• un manque d'expertise à des postes de direction.

On a été trop vite et on a mis beaucoup d'improvisateurs au pouvoir. (un ancien responsable politique.

Mais comme le disait un ami, il y a aussi la fameuse loi de Conway : les systèmes tendent à refléter la structure des organisations qui les produisent.

Dans l'État, les ministères restent responsables de leurs systèmes d'information, tandis que la DINUM, la direction interministérielle du numérique, assure des fonctions de coordination et de mutualisation interministérielles.

Deux exemples opposés le montrent.

Au ministère des Armées, l'authentification est centrale, l'ensemble est gouverné, maîtrisé.

Au ministère de l'Intérieur, ce sont des fédérations de fédérations, des grappes de raisin : une préfecture a son autonomie, la légitimité de penser les choses différemment dans son coin, et un dispositif centralisé y serait vécu comme antidémocratique.

La décentralisation n'est pas en elle-même un problème. Elle le devient lorsqu'elle empêche d'appliquer un niveau de sécurité commun aux systèmes qui doivent pourtant se connecter et se faire confiance.

On peut alors avoir des systèmes correctement protégés localement mais fragilisés par leurs dépendances. Une administration ne peut pas être pleinement résiliente si son niveau de sécurité dépend d'un autre système dont elle ne maîtrise ni les comptes, ni les accès, ni les règles.

Cela pose d'ailleurs une question cruciale.

Les impôts sont-ils encore un tiers dans lequel on peut avoir confiance ?

La perte de confiance dans le système des impôts pourrait avoir un effet secondaire important. Le compte impots.gouv.fr est lui-même un fournisseur d'identité de FranceConnect : il permet donc de s'authentifier auprès d'autres services publics.

La DGFiP affirme que les espaces des usagers, particuliers comme professionnels, n'ont pas été compromis. Mais le principe reste : si un fournisseur d'identité est perçu comme attaquable, c'est la chaîne de confiance qui vacille, comme pour l'ANTS. Un peu comme si Facebook Connect était corrompu.

La transformation numérique a accentué cette tension. Plus de services, plus de données, plus d'accès distants et davantage d'interconnexions ont créé une surface d'attaque commune, alors que les responsabilités et les architectures restent largement distribuées. Cela restera le point noir de la décennie Macron. Beaucoup pour les startups, pas assez pour le numérique d'État.

Et surtout, un manque criant de vision.

⸻

5. Le cloud, premier virage mal négocié

Le cloud a été un premier changement profond de modèle. Il ne s'agissait pas simplement de déplacer des serveurs, mais de penser des systèmes distribués, des identités multiples, des accès distants et une sécurité qui ne repose plus principalement sur un périmètre physique ou réseau.

La doctrine cloud de l'État

L'État dispose d'une doctrine cloud depuis plusieurs années : une première stratégie apparaît en 2018, et « Cloud au centre » fait du cloud le mode d'hébergement par défaut des nouveaux projets à partir de 2021.

Mais en mars 2026, la DINUM présentait encore la migration des grands systèmes d'information historiques et sensibles vers le cloud de confiance comme une nouvelle étape de la transition.

Le problème n'est donc pas que l'État aurait ignoré l'existence du cloud. Il est que la transformation de ses systèmes historiques et de son organisation reste incomplète, alors même que les usages distribués se sont généralisés.

On l'a vu, le Covid a accéléré brutalement cette contradiction : les accès distants et le télétravail ont dû être déployés à grande échelle avant que tous les systèmes et toutes les organisations soient prêts à fonctionner dans ce nouveau modèle.

À l'heure de la souveraineté numérique comme totem, un audit de la plateformisation ratée de l'État sera indispensable.

⸻

6. L'IA, le virage suivant

L'IA constitue un deuxième changement de même ampleur que le cloud. Elle modifie directement les moyens disponibles pour rechercher et exploiter les faiblesses existantes : automatisation, analyse plus rapide des systèmes, exploration de plusieurs vecteurs et réduction du coût humain de certaines opérations offensives.

Ce changement n'est plus théorique. Le NCSC, l'agence britannique de cybersécurité, prévoit une augmentation de l'exploitation des vulnérabilités assistée par IA et une réduction du délai entre découverte et exploitation.

L'AI Security Institute, l'institut public britannique chargé d'évaluer les modèles d'IA, mesure une progression rapide des modèles sur les tâches de cybersécurité, tandis qu'Anthropic documente déjà des opérations cyber réelles utilisant l'IA.

Un sujet renvoyé à plus tard en France

Le problème est que cette évolution est connue depuis plusieurs années mais reste souvent traitée comme un sujet futur ou secondaire. Le risque est de reproduire le même décalage qu'avec le cloud : comprendre le changement, mais adapter les systèmes seulement lorsqu'il devient impossible de faire autrement.

Une doctrine de retard

Ce décalage se retrouve noir sur blanc dans les documents officiels. Dans son état de la menace consacré à l'IA générative, publié le 4 février 2026, l'ANSSI indiquait n'avoir « pas connaissance de cyberattaques menées contre des acteurs français à l'aide de l'intelligence artificielle », ni identifié de système d'IA capable de réaliser seul l'intégralité des étapes d'une attaque, tout en jugeant plausible que ces technologies améliorent le niveau, la quantité et l'efficacité des attaques, particulièrement sur les environnements peu sécurisés.

Le Panorama de la cybermenace publié ce printemps évoque l'intérêt des attaquants pour l'IA « sans qu'il soit pour autant pertinent de parler de changement de paradigme ».

Ces textes paraissent pourtant moins de trois mois après le rapport d'Anthropic documentant la première campagne d'espionnage largement orchestrée par une IA, et au moment même où les agences britanniques décrivent, chiffres à l'appui, l'accélération des capacités offensives.

Dans le même temps, la communication publique de l'agence reste centrée sur la prévention : une stratégie 2026-2030 qui érige la sensibilisation du grand public en priorité, sur le modèle de la sécurité routière, et des alertes qui rappellent aux hauts fonctionnaires les règles basiques d'hygiène numérique.

Ces messages sont nécessaires. Mais mis côte à côte avec ce que documentent les agences britanniques et les laboratoires d'IA, ils dessinent un écart entre une menace dont les moyens changent d'échelle et un discours public qui n'a pas encore intégré ce changement.

Le postulat des moyens hors de portée

La doctrine implicite repose d'ailleurs sur un postulat : les incidents graves seraient réservés à des attaquants disposant de moyens hors de portée, étatiques ou quasi étatiques. Nous sommes beaucoup à penser que ce n'est plus le cas.

Le pirate qui revendique l'attaque des impôts dit aussi revendre des bases dérobées à SFR, Intermarché, la Fédération française de handball ou Accor. La presse décrit des profils jeunes, motivés par la notoriété et l'argent, pas des génies de l'informatique. Le suspect mis en examen après le piratage de l'ANTS a quinze ans.

Interrogé par FrenchBreaches, le pirate décrit une activité purement opportuniste: repérer une faille, accéder à ce qui est disponible, revendre, parce que tout se vend.

L'asymétrie entre attaque et défense

Défendre coûte infiniment plus cher qu'attaquer. Celui qui défend doit protéger tous ses systèmes, tous ses comptes et toutes ses connexions, en permanence. Celui qui attaque n'a besoin de trouver qu'une seule porte, une seule fois.

Toute la question est de savoir ce que l'IA change à ce rapport de forces.

Les laboratoires d'IA répondent qu'elle profitera aux deux camps. Elle aidera l'attaquant à trouver les failles plus vite, mais elle aidera tout autant le défenseur à les repérer et à les corriger.

L'un des spécialistes de la sécurité des systèmes de l'État avec qui j'ai discuté n'y croit pas une seconde.

Pour lui, on ne rattrapera jamais l'offensif avec l'IA appliquée au défensif. Accélérer les deux camps à la même vitesse ne remet pas les compteurs à zéro : le défenseur va plus vite sur un travail sans fin, l'attaquant va plus vite sur un travail qui s'arrête dès qu'il a trouvé sa porte. L'écart ne se comble pas, il se creuse. Je suis totalement d'accord avec lui.

Les agences de cybersécurité, elles, ne tranchent pas, car elles n'ont plus la big picture. Elles documentent l'accélération des capacités offensives, tout en rappelant que l'IA peut aussi renforcer la défense. Mais elle n'ont pas accès aux recherches frontières des labos.

Et surtout, elles se préparent à un changement de doctrine américain que peu de gens osent documenter publiquement.

Le pivot américain

Les États-Unis sont en train de lâcher l'Europe, et la France en particulier. Ce n'est plus une inquiétude d'analyste, c'est une séquence de décisions.

Le mécanisme est simple. Ils gardent la puissance offensive pour eux et la confient au secteur privé, et ils se retirent de tout ce qui protégeait collectivement les Européens. Les enceintes où l'on partage les méthodes, les alertes et le renseignement se vident. Les équipes qui contraient les manipulations de l'information ferment. Et quand un allié tente de prendre le relais, il est bloqué.

Petit rappel pour ceux qui n'ont pas lu nos précédentes newsletters :

Février 2025. La CISA gèle ses activités de protection électorale et place en congé administratif les agents chargés de la désinformation et de l'influence étrangère. Les Européens perdent l'agence qui suivait les campagnes d'ingérence contre les scrutins.

Avril 2025. Le département d'État ferme son bureau de lutte contre la désinformation étrangère, celui qui suivait les opérations d'influence russes et chinoises. Les Européens n'ont plus d'interlocuteur à Washington sur ce sujet, alors que la Russie intensifie ses opérations hybrides en Europe.

Juillet 2025. La loi budgétaire, le One Big Beautiful Bill, alloue un milliard de dollars aux opérations cyber offensives du commandement Indo-Pacifique jusqu'en 2029, et deux cent cinquante millions aux travaux d'IA du commandement cyber. La même loi ampute d'environ 1,2 milliard les budgets civils de cyberdéfense. On finance l'attaque en coupant la défense.

Décembre 2025. Jamie Tarabay révèle, dans une enquête exceptionnelle de Bloomberg, que l'administration prépare une stratégie destinée à confier à des entreprises privées la conduite d'attaques offensives contre des adversaires étrangers. L'offensif sort du périmètre étatique, et du contrôle parlementaire qui l'accompagnait.

7 janvier 2026. Un mémorandum présidentiel ordonne le retrait du Global Forum on Cyber Expertise, de la Freedom Online Coalition et du centre européen d'Helsinki sur les menaces hybrides, où les États-Unis siégeaient depuis 2017 comme membres fondateurs. Ce sont les trois enceintes où circulaient les alertes et les méthodes.

Janvier 2026. Environ deux cents postes américains sont supprimés dans les structures de l'OTAN, et la participation américaine réduite dans une trentaine d'organismes de l'Alliance, centres d'excellence compris. Avec ces gens partent les procédures partagées et le renseignement qui circulait avec eux.

Mars 2026. La stratégie nationale de cybersécurité tient en quatre pages, contre près de quarante en 2023. Elle appelle à libérer le secteur privé pour identifier et perturber les réseaux adverses. L'objectif n'est plus de défendre un espace commun, mais de savoir frapper plus fort.

Juillet 2026. Washington bloque au sein de l'Alliance le projet français de centre d'excellence de l'OTAN sur l'IA militaire à Rennes. Paris décide d'avancer sans approbation américaine. Ce bras de fer pourrait priver le centre rennais du statut, du réseau et de l'intégration formelle de l'Alliance.

12 août 2026. Un programme autorise des entreprises privées agréées à mener, sous contrôle fédéral, des opérations de surveillance et des opérations à effets cyber pouvant aller jusqu'à la destruction de systèmes étrangers. Ce que Tarabay annonçait huit mois plus tôt. Des sociétés commerciales peuvent désormais perturber, dégrader ou détruire des systèmes à l'étranger.

En dix-huit mois, le paysage a changé. J'avais tenté d'en parler dans différentes conférences cyber, on m'expliquait que l'IA agentique, c'était pour 2027 (sic).

Le centre de gravité de l'IA ouverte a d'ailleurs quitté la Californie pour la Chine.

Selon le rapport de Hugging Face, les modèles chinois pèsent désormais 41 % des téléchargements sur douze mois, devant les modèles américains. Et le modèle Qwen d'Alibaba est le parent de 69 % des nouveaux modèles dérivés en février 2026, contre 1 % deux ans plus tôt.

Cela va avoir des implications vertigineuses. Pour protéger le patrimoine numérique français, il est plus probable que nous utilisions un modèle entraîné à Hangzhou qu'un modèle français. D'ailleurs, Mistral a mis fin au suspense et se prépare à devenir un workload d'inférence chinoise pour les acteurs européens. C'est un smart move, mais aussi le constat qu'on aurait dû parier plus tôt sur ces modèles.

En moins d'un an, les options sont désormais limitées pour la cybersécurité, et possiblement pour la cyberattaque :

• des modèles fermés américains, dont l'accès dépend de listes tenues par des entreprises privées dont les contraintes vont être de plus en plus fortes ;
• ou des modèles ouverts chinois, performants et gratuits, développés dans un pays qui poursuit ses propres objectifs.

La France se retrouve dans une situation de pays moyen. De bons ingénieurs, de bons centres, et aucune capacité propre à produire les outils qui font la différence. Là où la France a la dissuasion nucléaire qui la rend crédible, nous n'avons pas de dissuasion IA de frontière.

Début août, à Black Hat, deux ingénieurs d'OpenAI ont raconté que leurs agents autonomes s'étaient organisés seuls pour entrer dans Hugging Face, en montant entre eux un forum où ils s'échangeaient les vulnérabilités trouvées.

Un an plus tôt, à DEF CON, sept systèmes autonomes avaient découvert 18 failles réelles que personne ne connaissait, avec un correctif produit en 45 minutes en moyenne, et leur code a été publié : ces outils appartiennent maintenant à tout le monde.

Pendant ce temps, la stratégie française pour 2026-2030 fait de la sensibilisation du grand public sa priorité, sur le modèle de la sécurité routière.

Conclusion

Une identité finit toujours par être compromise. Ce qui distingue un système sûr d'un système fragile, c'est ce qui se passe après : jusqu'où l'attaquant peut aller, ce qu'il peut copier, ce qu'il peut faire sortir, et en combien de temps on s'en aperçoit. Sur ces trois points, la DGFiP a échoué, et elle n'est pas la seule.

Les protections existent, les compétences aussi. Ce qui manque, c'est le pouvoir de les imposer partout, à toutes les administrations, sans attendre que chaque faiblesse soit découverte après une attaque.

Nous avons raté le virage du cloud, nous sommes en train de rater celui de l'IA, et le texte qui devait nous protéger attend toujours d'être voté. Pendant ce temps, notre allié se retire et nos outils viennent d'ailleurs.

Le piratage des impôts n'est donc pas un incident isolé. C'est la mesure de ce que l'État est encore capable de tenir.

Merci de m'avoir lu. Pour les abonnés, quelques bonus supplémentaires.

Si vous nous découvrez pensez à vous abonner maintenant car les prix vont augmenter.