Technomedia

Le piratage de plusieurs bases de données de Bercy pourrait concerner des milliers de Français et expose l’exécutif à de vives critiques sur sa politique de cybersécurité. Alors que la France n’a toujours pas transposé la directive européenne NIS2, des sénateurs socialistes réclament une commission d’enquête sur cette attaque d’une ampleur exceptionnelle.

Pour son premier été à Matignon, Sébastien Lecornu enchaîne la gestion des crises et essuie les critiques sur l’impréparation de l’exécutif. Après les canicules, la sécheresse et les moyens mis pour combattre les incendies, le Premier ministre monte désormais au front pour éteindre la crise qui touche au cœur même de l’appareil d’État et à sa sécurité : le piratage de Bercy.

Hier, il a présidé « en visioconférence sécurisée » depuis la Gironde une réunion de la cellule interministérielle de crise (CIC) convoquée pour faire le point sur l’intrusion dont a été victime en juin la Direction générale des finances publiques (DGFiP) puis plus récemment son Serveur Professionnel de Données Cadastrales.

Selon French Breaches, site spécialisé dans le suivi des cyberattaques en France, 678 437 personnes seraient concernées par la première fuite, dont 392 867 particuliers et 285 570 professionnels. La seconde, a priori réalisée par le même cybercriminel utilisant le pseudonyme ZeroByte, représenterait 252 149 lignes, qui correspondraient, en raison de la présence possible de plusieurs titulaires pour une même parcelle, à 2 041 778 personnes.

Une directive européenne en attente depuis octobre 2024

Alors que ni Marie-Laure Denis, directrice de la CNIL, ni Vincent Strubel, directeur de l’ANSSI, ne se sont exprimés sur cette défaillance majeure, le Premier ministre est monté au créneau dimanche soir pour rappeler le plan de sécurisation des systèmes d’information de l’État engagé le 30 avril dernier. Mais depuis la révélation de la fuite vendredi, et le fait que Bercy n’ait pas vu l’extraction des données entre juin et le 12 août, nombre d’experts estiment que la France n’en fait pas assez.

Ainsi, elle n’a pas transposé dans le droit français la directive européenne NIS2 avant la date butoir du 17 octobre 2024. NIS2, qui aurait dû s’appliquer à quelque 10 000 à 15 000 entités en France, vise à renforcer la cybersécurité et la résilience des infrastructures critiques dans l’UE, harmoniser les exigences de sécurité entre les États membres, étendre le périmètre des organisations concernées et imposer des obligations de gestion des risques et de notification des incidents.

Adopté en première lecture au Sénat le 15 octobre 2024, le projet de loi Résilience qui doit transposer cette directive, n’est toujours pas à l’ordre du jour de l’Assemblée.

Les sénateurs PS veulent une commission d’enquête

Le vol des données des impôts a, en tout cas, suscité de nombreuses critiques politiques, certaines appelant Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, et David Amiel, ministre de l’Action et des Comptes publics, à démissionner.

L’affaire pourrait aussi déboucher sur la création d’une commission d’enquête parlementaire. C’est le souhait des sénateurs socialistes. « Les événements intervenus depuis le début de l’année 2026 font apparaître une succession d’incidents qui justifie désormais, me semble-t-il, que le Parlement puisse disposer d’une vision d’ensemble », a écrit le président du groupe socialiste Patrick Kanner au président du Sénat Gérard Larcher.

Une commission d’enquête pourrait « formuler les propositions législatives, réglementaires, organisationnelles et budgétaires nécessaires pour prévenir la répétition de tels incidents ». « Beaucoup de zones d’ombre entourent ce vol de données sensibles, qui s’annonce comme la cyberattaque la plus grave de l’histoire de notre pays », estime le sénateur Thierry Cozic.

En attendant, les Français dont les données ont été volées doivent être informés par Bercy afin d’être le plus vigilants possible. Car les données volées peuvent être utilisées pour monter différents types d’arnaques, des usurpations d’identité voire des actes de violence au domicile, comme ce fut le cas après le piratage de la Fédération française de tir.

Les données volées auraient d’ores et déjà été revendues, selon un compte X au nom de ZeroByte, qui a expliqué que ses motivations étaient purement financières…