Cyberattaques contre l’État: un député Modem réclame une commission d’enquête

Depuis le début de l'année, c'est une véritable épidémie de fuites de données qui touche les administrations françaises. Fichier national des comptes bancaires, direction générale des finances publiques, agence France Titres - qui gère les demandes de pièces d'identité -, ministère de l'Éducation nationale... Autant d'organismes et d'administrations qui ont été victimes d'intrusions malveillantes au cours de ces derniers mois. Ce 28 août encore, les pirates déjà à l'œuvre sur l'extraction des données fiscales ont revendiqué une cyberattaque massive visant des données hébergées sur la plateforme du site "zéro logement vacant", rattaché au ministère de la Ville et du Logement.

Une succession d'incidents "d’autant plus préoccupante qu’elle concerne des fonctions administratives très différentes", selon Philippe Latombe (Les Démocrates). Le député spécialiste des sujets numériques a déposé une proposition de résolution pour demander la mise en place d'une commission d'enquête parlementaire visant à faire la lumière sur les failles de l'administration française, afin de déterminer si les intrusions ont été permises par des défaillances ponctuelles, ou s'il faut s'inquiéter de l'existence de "fragilités structurelles" dans la gouvernance de la cybersécurité de l'État.

Au cours de ces derniers mois, les attaquants ont réussi à exploiter des vulnérabilités humaines, techniques et organisationnelles au sein des administrations pour parvenir à leurs fins. Les fuites ont parfois été de grande ampleur, comme celle ayant touché l'agence France Titres, avec 11,7 millions de comptes particuliers susceptibles d'être concernés ; ou particulièrement sensibles, comme l'intrusion ayant touché un service du ministère de l'Éducation nationale, avec des données relatives à des élèves majoritairement mineurs. Les différentes données extraites, notamment les informations fiscales et données personnelles, peuvent faciliter la commission de nouvelles tentatives d'escroqueries, d'hameçonnage ou d'usurpation d'identité.

Un sujet de gouvernance

Philippe Latombe souhaite que la commission d'enquête détermine si les moyens humains, techniques et budgétaires consacrés à la cybersécurité de l'administration sont suffisants, et si l'architecture établie est pertinente. "La multiplicité des administrations, agences, opérateurs et systèmes d’information peut rendre difficile l’identification d’une responsabilité claire en matière de cybersécurité", constate le député vendéen. Selon lui, l'instance devra également tenter d'établir, autant que possible, l'ampleur des données effectivement extraites. Pour voir le jour, la commission d'enquête devra être approuvée par une majorité de députés.

Face à la multiplication des incidents, le Premier ministre a commandé mi-août à l'Agence nationale de la sécurité des systèmes d'information (Anssi) un "audit approfondi". Sébastien Lecornu a également demandé à l'Anssi de constituer une "nouvelle unité cyber" pour offrir une "réponse opérationnelle plus réactive" aux cyberattaques. "Peu de ministères sont au niveau requis" en termes de cybersécurité, a jugé le locataire de Matignon. Un conseil de défense dédié à la série d'attaques informatiques qui ont visé la France doit se tenir à la mi-septembre, a fait savoir la porte-parole du gouvernement, Maud Bregeon.