Le ministre des Comptes publics, David Amiel, a présenté mardi ses «excuses» face au piratage massif du fisc, et l'administration fiscale a reconnu une autre fuite de données, moins sensible, sur les successions. «Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français», a déclaré le ministre lors d'une conférence de presse à Bercy consacrée à cette cyberattaque historique contre la Direction générale des finances publiques (DGFiP).
Dans la foulée, la directrice générale de l'institution, Amélie Verdier, a admis l'existence d'une brèche informatique inédite concernant des données de successions, repérée lundi et rapidement «coupée». Cette faille n'est «vraiment pas du tout de la même ampleur» que les précédentes attaques, a-t-elle toutefois tempéré. Selon elle, les informations exposées s'avèrent beaucoup moins sensibles, s'apparentant à de simples «annonces légales» publiques.
Sur le front de la communication, David Amiel a exigé que chaque contribuable inquiet pour ses données «soit accueilli avec le plus grand respect» par les services des impôts. Une mise au point consécutive à une polémique née mardi sur le réseau X, où la capture d'écran de ce qui est présenté comme la réponse peu amène d'un agent du fisc à un contribuable inquiet est devenue virale.
«Nos systèmes d'information comportent des faiblesses», a concédé le ministre, qui a évoqué plusieurs phases d'un plan d'action, dont «la lutte contre la compromission des comptes des agents» et un renforcement «de la formation cyber des agents». Constatant que l'explosion des capacités de l'IA décuplait les menaces, David Amiel a également demandé «à ce que l'on se teste nous-mêmes avec des intelligences artificielles sous contrôle».
Infiltration via un «agent externe»
Amélie Verdier s'est par ailleurs employée à détailler la chronologie de la première attaque, la plus importante. Fin juin, les pirates parviennent à subtiliser les accès d'un «agent externe, réputé sécurisé», qu'ils utilisent ensuite pour s'introduire dans «les canaux d'accès» aux données fiscales.
Une fois infiltrés, les hackers ont «fait des tests» d'extraction de manière manuelle, avant d'enclencher un siphonnage massif. Le tout en restant sous les seuils d'alerte de la DGFiP, calibrés pour permettre aux agents de brasser un grand volume d'informations quotidiennement. Par un moyen technique que la directrice s'est refusée à divulguer, les services de Bercy finissent par détecter la compromission d'un compte et coupent ses accès.
Des «investigations» sont alors menées en interne, mais se révèlent «malheureusement insuffisantes», de l'aveu même d'Amélie Verdier, puisqu'elles passent totalement à côté du vol massif de données. Ce n'est finalement que le 12 août, jour de la revendication du piratage sur un forum de revente spécialisé, que la DGFiP prend conscience de l'ampleur de la fuite.
Des centaines de milliers de personnes touchées
«Nous n'avions pas connaissance du vol de données avant le 12 août», a martelé Amélie Verdier. Elle dément ainsi fermement les accusations, notamment syndicales, reprochant au fisc d'avoir tardé à rendre l'affaire publique.
Le vol concerne au moins 678'000 particuliers et professionnels pour les données fiscales, auxquels s'ajoutent quelque 430'000 particuliers ciblés par la fuite de fichiers cadastraux. Saisi du dossier, le parquet de Paris a ouvert une enquête, retenant notamment les chefs d'"extraction frauduleuse de données» et d'"association de malfaiteurs».
Lundi, l'administration a entamé une campagne pour contacter les victimes et les sensibiliser aux risques d'hameçonnage et d'usurpation d'identité. De son côté, le groupe de pirates «ZeroBytes», contacté le même jour par l'AFP, a affirmé avoir déjà revendu les données à «deux personnes», pour plusieurs «milliers» d'euros.
L'affaire devient politique
L'affaire menace désormais de glisser sur le terrain politique, à quelques semaines d'une rentrée sociale tendue et de la reprise des discussions budgétaires. Les sénateurs socialistes ont réclamé la création d'une commission d'enquête parlementaire, pointant du doigt la répétition des failles de sécurité au sein du ministère de l'Économie.
ZeroBytes a également affirmé sur un forum avoir mis la main sur des données personnelles de plusieurs millions d'élèves français et des dizaines de milliers d'enseignants. Ils revendiquent avoir des numéros de téléphones, des adresses mails et des adresses de domicile notamment, remontant parfois jusqu'aux années 2000. Une enquête judiciaire est en cours, selon le ministère de l'Education nationale.