Le piratage des données de 678 000 contribuables est un sujet plus politique que technique

Les données de 678 000 contribuables français et environ 200 000 comptes présents dans des fichiers cadastraux volés ! Le scandale de la DGFiP fait grand bruit. La dette technique explique pour beaucoup cet échec. Egalement le blocage de la loi NIS2. Une vraie leçon.

L’affaire fait grand bruit. Et pour cause. La politique du « toujours plus » sans ressources suffisantes allouées à la sécurité va coûter cher. Pour le syndicat Solidaires Finances Publiques, la crise actuelle mérite mieux que des cris et des promesses démagogiques. Elles émanent de celles et ceux qui ont largement participé à cette situation en votant, sans discontinuer, la baisse des budgets, au nom de la sacro-sainte réduction des dépenses publiques…

S’il est évident que le risque zéro n’existe pas, l’importance de la dette technique pose problème. Elle serait manifeste dans cette administration. Comme dans d’autres. Selon le cabinet Gartner, les collectivités et institutions publiques dépensent largement plus de la moitié de leur budget informatique pour la maintenance du système d’information. Davantage que dans tous les secteurs d’activité.

Les administrations publiques, cibles de choix des hackers

L’explication ? Financière, mais pas seulement. Dans leur majorité, les systèmes d’information publics ont été construits très tôt avec une immense diversité d’applications, de fonctionnalités, de services et d’échanges inter-applicatifs. Un organisme public peut dénombrer jusqu’à 200 métiers avec autant de besoins informatiques. Sans compter que chaque institution est en relation avec de nombreux services d’État, ministères, conseils régionaux ou agences. Ce qui ajoute un niveau de complexité.

Dans sa « Feuille de route des efforts prioritaires en matière de sécurité numérique de l’Etat 2026-2027 », l’ANSSI admet que les ministères n’ont toujours pas généralisé l’authentification multifacteur pour accéder à leurs systèmes d’information. En l’occurrence, c’est un objectif pour les systèmes d’information « à enjeux » d’ici février 2027, et à l’ensemble des systèmes d’ici février 2028.

La dette technique, une dette… avec intérêts !

Une étude de l’IBM Institute for Business Value montre que les organisations qui prennent pleinement en compte le coût de la gestion de la dette technique dans leurs analyses de rentabilité génèrent un ROI de 29 % plus élevé que celles qui ne le font pas. La logique va également dans l’autre sens : ignorer la dette technique entraîne une baisse du ROI de 18 % à 29 %. C’est évidemment sans compter la question de la cybersécurité.

La gestion de la dette technique est souvent considérée comme un problème d’ingénierie. Mais il s’agit aussi d’un problème culturel, estime encore IBM.

À l’instar de la dette financière, la dette technique génère des intérêts. Et ceux-ci peuvent rapidement devenir incontrôlables s’ils ne sont pas gérés correctement. La dette technique va donc freiner la performance numérique. Et, par conséquent, peser sur l’évolution, les coûts futurs et la valeur des actifs technologiques d’une organisation.

La transposition de la directive NIS2 victime d’un « retard parlementaire »

Outre la dette technique, mentionnons le « retard » de NIS2. Le projet de loi censé renforcer la cybersécurité de l’État français n’a jamais été examiné dans l’hémicycle de l’Assemblée nationale. Adopté par le Sénat le 12 mars 2025, transmis aux députés le lendemain, il a été travaillé pendant six mois par une commission spécial. Le rapport a été déposé le 10 septembre 2025. Depuis, il attend !

Onze mois plus tard, alors que la DGFiP annonce le détournement des données fiscales de 678 000 contribuables et que le Premier ministre Sébastien Lecornu réunit une cellule interministérielle de crise, le texte n’a toujours pas été inscrit à l’ordre du jour de la séance publique. La raison ? Officiellement, un « retard de l’agenda parlementaire ».

Si la loi avait été transposée, la DGFiP aurait été officiellement classée comme « entité essentielle ». Ce qui lui aurait valu des obligations de sécurité et des contrôles beaucoup plus strictes…

Danger virtuel, risques physiques…

D’un piratage, on en vient à un sujet politique. De toute évidence, cette affaire altère le lien de confiance entre l’Etat et les citoyens. De fait, comment les citoyens pourraient-ils encore ccorder leur confiance à des administrations qui n’appliquent pas l’« hygiène de base » de la cybersécurité ? Comment, surtout, pourraient-ils accepter que la numérisation des services publics et la collecte de données continuent ainsi, comme si de rien était ?

Sans oublier que pour les contribuables, en particulier les plus fortunés, le danger -aujourd’hui- n’est pas seulement virtuel; il pourrait devenir physique. Le fichier dérobé contient près de 27 000 déclarations au-dessus de 100 000 euros avec, outre les noms et prénoms, des informations précises. Pratiquement : quotient familial, revenu fiscal de référence et taux de prélèvement à la source. L’échantillon analysé par FrenchBreaches à partir des données revendiquées par le pirate contient en outre l’adresse, le téléphone, l’adresse électronique et le nombre de personnes à charge…