Fin juin, un pirate informatique s'est introduit dans le système d'information de la DGFiP et a volé un volume important de données personnelles de contribuables. Pourtant, il aura fallu attendre la revendication du cybercriminel le 12 août et la révélation dans la presse, pour que la DGFiP informe officiellement de cette fuite de données. Par un communiqué le 13 août, Bercy a confirmé un accès illégitime intervenu, selon ses termes, « après une usurpation d'identité », ayant permis « la consultation et l'extraction de données ».
Une question se pose : sans cette révélation publique, quand et comment les usagers et les personnels auraient-ils été informés du vol de leurs données personnelles ?
Dès juin, Solidaires Finances Publiques avait interpellé la Directrice générale. Après les fuites Tchap et France Services, nous l'avions alertée sur les risques de « piratage, d'usurpation d'identité ou d'hameçonnage ciblé » et sur la possibilité, « à très court terme », de nouvelles attaques. Mais comme à son habitude , la DGFiP nous avez répondu que tout était sous contrôle et qu’aucune donnée n’avait fuité !
Quelques semaines plus tard, le système d'information de la DGFiP est donc compromis. La proximité de ces événements doit être examinée. Des zones d'ombre demeurent sur ce que savait la DGFiP fin juin et sur l'ampleur réelle de la fuite. Une fois encore, Bercy communique tardivement et de manière parcellaire !
Pourtant cette succession d'incidents n'est pas une fatalité. Elle est aussi le résultat de choix politiques : toujours plus de numérique, de données et d'interconnexions, sans que la sécurité informatique suive au même rythme.
Les premières victimes sont les usagers qui risquent de recevoir de faux messages de la DGFiP pour des fraudes en tout genre, leur identité peut être usurpée.Par ailleurs, ces fuites fragilisent la confiance dans le service public et le consentement à l'impôt. Et ce sont les agentes et agents, avec toujours moins d'effectifs et de moyens, qui devront répondre aux inquiétudes et au mécontentement légitimes des contribuables.
Solidaires Finances Publiques exige la transparence sur cette cyberattaque et l'information des usagers concernés. Les investissements dans l'IA ne peuvent se faire au détriment de la cybersécurité et de la résorption de la dette technique, alors même que ces nouveaux usages augmentent les risques
Nous le réclamions déjà en février après la fuite de données FICOBA : la sécurité des systèmes d'information doit redevenir une priorité et disposer de moyens humains et techniques à la hauteur des enjeux.
L'État doit également renforcer les moyens de la CNIL et de l'ANSSI, chargées de la protection des données et de la cybersécurité.
Pour Solidaires Finances Publiques, il faut de façon urgente tirer les conséquences de ces incidents : la protection des données, des usagers et des personnels doit être une priorité, pas une variable d'ajustement budgétaire.