Piratage et vol de données du fisc: ce que l'on sait

Le Premier ministre, Sébastien Lecornu, présidera ce lundi après-midi une réunion de crise sur le piratage informatique très sophistiqué et à grande échelle qui a eu lieu en juin et en juillet contre l'administration fiscale. Que sait-on de ce vol rendu public jeudi 13 août? LCP vous explique.

Que s'est-il passé ?

Le système d'information du fisc a été victime fin juin d'un "accès illégitime", permettant "la consultation et l'extraction de données concernant des particuliers et des professionnels", a annoncé Bercy dans un communiqué publié jeudi 13 août. Au total, 678.000 usagers sont concernés à ce jour par cette cyberattaque qui a permis d'extraire des données de contribuables et d'entreprises lors d'une opération "plus sophistiquée" que "par le passé", a déploré l'administration fiscale vendredi.

En juin, les services de Bercy avaient détecté la compromission du compte d'un agent par un tiers et ont immédiatement coupé ses accès. A cette date, l'administration n'avait pas identifié que l'assaillant était parvenu à extraire des données personnelles.

L'assaillant avait réussi à contourner la double authentification, une mesure de sécurité qui permet d'accéder à un compte avec deux moyens d'identification distincts. L'auteur est ensuite parvenu à tromper la vigilance en récupérant un important volume de données mais sans générer une activité anormale qui aurait pu alerter les services, et il a seulement été identifié au moment de la revendication de l'attaque, le 12 août.

L'administration fiscale a également confirmé une seconde attaque, perpétrée fin juillet, ciblant le Serveur professionnel de données cadastrales (SPDC). Ce vol concerne, lui, 200.000 comptes, selon les premiers décomptes de la Direction générale des finances publiques (DGFiP).

Les deux attaques ont été revendiquées sur un forum de revente de données du "darkweb" par un cybercriminel dissimulé sous le pseudonyme "ZeroBytes", qui a déjà un historique d'intrusion dans des cibles françaises, a constaté un journaliste de l'AFP. Dans cette économie criminelle, celui qui s'introduit dans un système n'est généralement pas celui qui escroquera les victimes : il ne fait que revendre les fichiers aux futurs escrocs.

Quelles données ont été volées ?

Pour les particuliers, les données dérobées concernent notamment les noms et prénoms, le quotient familial, le revenu fiscal de référence, et le taux de prélèvement à la source, a détaillé la directrice générale des finances publiques, Amélie Verdier, lors d'un échange par téléphone avec la presse au lendemain de l'annonce de cette attaque.

Les données dérobées "ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr" a toutefois voulu rassurer le fisc.

Pour les entreprises, il s'agit de "données moins sensibles que les particuliers", notamment le numéro de Siren, l'adresse de l'entreprise, du mandataire, a détaillé Amélie Verdier.

Qui est concerné ?

Les usagers concernés doivent être contactés en ce début de semaine, notamment pour les avertir des risques d'usurpation d'identité. "J'ai demandé à la DGFiP de communiquer à chaque contribuable concerné de manière individuelle le détail des données volées ainsi que les conseils de vigilance appropriés", a expliqué samedi sur X le ministre des Comptes publics, David Amiel.

Quelles suites judiciaires ?

Bercy a indiqué vendredi soir avoir notifié l'incident à la Commission nationale de l'Informatique et des Libertés (Cnil). Le syndicat Solidaires Finances Publiques a dénoncé une communication "tardive". Le règlement européen sur les données personnelles prévoit une notification à la Cnil dans les 72 heures après la découverte d'une violation susceptible de présenter un risque. Les personnes concernées par un risque élevé doivent d'autre part être informées "dans les meilleurs délais".

Par ailleurs, la section cyber du parquet de Paris a ouvert une enquête, a indiqué samedi le ministère public, sollicité par l'AFP. Les investigations, confiées à l'Office anticybercriminalité (Ofac), concernent notamment "l'extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l'État". L'enquête englobe également, entre autres, la "participation à une association de malfaiteurs en vue de la préparation d'un délit puni d'au moins cinq ans d'emprisonnement".

Et après ?

Le Premier ministre, Sébastien Lecornu, doit tenir ce lundi après-midi une cellule interministérielle de crise (CIC) sur le piratage informatique à grande échelle ayant visé l'administration fiscale, qu'il présidera en "visioconférence sécurisée", a annoncé dimanche Matignon.

Cette réunion des responsables des ministères concernés visera, entre autres, à préparer l'information des 678.000 particuliers ou entreprises victimes d'un accès à leurs données qui doit commencer lundi, a-t-on précisé. Elle doit également permettre de faire le point sur la mise en œuvre d'un plan de sécurisation des administrations, lancé le 30 avril, et qui s'articule autour d'une "nouvelle gouvernance numérique de l’État" et d'un renforcement des moyens.

De leur côté, les sénateurs socialistes ont demandé, dans un courrier adressé au président de la chambre haute Gérard Larcher, une commission d'enquête parlementaire sur ce piratage de données à grande échelle dont vient d'être victime l'administration fiscale.

Cette nouvelle attaque informatique d'ampleur risque de relance le débat sur la sécurité des systèmes d'informations de l'Etat, alors que de précédents épisodes ont émaillé l'actualité ces dernières semaines (ANTS, Insee...). "Il faut prendre la mesure de cette menace, je veux mettre en place un plan Vauban pour construire une véritable forteresse numérique et enfin protéger les données des Français", a écrit dimanche sur X le candidat à la présidentielle des Républicains, Bruno Retailleau. Sur le même réseau social, le député socialiste Hervé Saulignac a, quant a lui, déploré que "le projet de loi cybersécurité qui a été déposé en octobre 2024 (…) attende depuis mars 2025 un examen à l’Assemblée" nationale. Il ajoute, en réponse au message de David Amiel : "On ne peut pas jouer les victimes quand on est irresponsable à ce point."