Technomedia

Après une nouvelle fuite de données à la Direction générale des Finances publiques, Sébastien Lecornu accélère la sécurisation informatique de l’État : 200 millions d’euros, nouvelle gouvernance, audits, tests d’intrusion et budgets sanctuarisés. Un changement d’échelle qui intervient toutefois après une succession d’attaques et alors que Solidaires Finances Publiques affirme avoir alerté la DGFiP dès juin.

La réponse se veut à la mesure de la menace. Après des mois marqués par une succession de fuites de données dans les administrations, jusqu’à la Direction générale des Finances publiques (DGFiP), Sébastien Lecornu a détaillé samedi 15 août une accélération de la stratégie de cybersécurité de l’État. Gouvernance, argent, audits, tests des systèmes : l’exécutif veut désormais colmater les brèches. Reste une question : ces mesures arrivent-elles suffisamment tôt ?

L’urgence est difficilement contestable. La DGFiP a confirmé qu’un acteur malveillant avait obtenu fin juin un accès illégitime à son système d’information après une usurpation d’identité, permettant la consultation et l’extraction de données de particuliers et de professionnels. Une autre intrusion revendiquée concerne des données cadastrales. Elle s’ajoute à une longue série d’incidents ayant touché cette année notamment l’Urssaf, France Titres ou encore Santé publique France.

200 millions d'euros et la création d'ARIANE, une nouvelle autorité numérique

Le gouvernement répond d’abord par les moyens. 200 millions d’euros supplémentaires doivent financer des capacités interministérielles d’intelligence artificielle appliquée à la cybersécurité, une offre de sécurisation destinée aux ministères et les priorités de la stratégie nationale établie début 2026. Surtout, à partir de 2027, 5 % du budget numérique de chaque ministère devra être consacré à la cybersécurité.

La gouvernance doit également être revue. La réforme de la DINUM et de la DITP doit déboucher sur ARIANE, une nouvelle autorité numérique directement rattachée au Premier ministre, chargée notamment de standardiser et sécuriser les infrastructures ministérielles. Leur disparité est identifiée par le gouvernement comme un facteur augmentant la surface d’attaque. L’organisme doit être créé administrativement avant le 1er janvier 2027.

Un plan d'urgence

À ces réformes structurelles s’ajoute un plan d’urgence de 40 actions réparties dans dix champs. Quinze mesures arrivées à échéance au 30 juin ont déjà fait l’objet d’un contrôle interministériel. Les services de l’État doivent également pratiquer des exercices d’« auto-attaque » afin de rechercher leurs propres vulnérabilités avant que des pirates ne les exploitent.

Le cas de Bercy montre cependant la limite d’une stratégie qui ne peut pas reposer uniquement sur la réaction à l’incident. Sébastien Lecornu a demandé un audit de la sécurisation des systèmes de la DGFiP, notamment ceux qui sont en interface avec les contribuables. Ses conclusions opérationnelles sont attendues en septembre. Mais cet audit intervient après l’intrusion de juin.

Solidaires Finances Publiques avait alerté l'administration

C’est précisément sur ce calendrier que Solidaires Finances Publiques attaque l’administration. Le syndicat affirme avoir alerté dès juin la directrice générale de la DGFiP, après les fuites concernant Tchap et France Services, sur les risques de piratage, d’usurpation d’identité et d’hameçonnage ciblé, ainsi que sur la possibilité de nouvelles attaques « à très court terme ». Selon son communiqué, la direction lui avait alors répondu qu’aucune donnée n’avait fuité.

La proximité entre cette alerte et l’accès frauduleux constaté fin juin nourrit donc les interrogations. Solidaires réclame notamment de faire la lumière sur ce que savait précisément la DGFiP à cette période et dénonce une information trop tardive des contribuables. Le gouvernement annonce désormais que les personnes concernées seront contactées à partir du lundi 17 août.

Les administrations face à une menace industrialisée

L’enjeu dépasse la seule DGFiP. En 2025, 6 167 violations de données ont été notifiées à la Cnil. Dans son précédent article, cette accumulation plaçait déjà les administrations face à une menace industrialisée, capable d’exploiter aussi bien une vulnérabilité technique que l’usurpation d’une identité ou la compromission d’un accès.

Les annonces du 15 août apportent donc plusieurs réponses aux faiblesses identifiées : budgets dédiés, gouvernance commune, contrôles réguliers, recherche proactive des vulnérabilités et audit spécifique de Bercy. Mais leur efficacité dépendra de leur mise en œuvre concrète dans des systèmes souvent complexes et interconnectés.