Cyberattaques massives à la DGFiP à Bercy : sous-informer n’est pas une option

L’Etat a un problème avec la sécurité des citoyens

Il est un fait que l’Etat, dont c’est la principale mission, ne protège plus comme il le devrait les citoyens. Les rues dans certains quartiers de villes ou de banlieues sont devenues des coupe-gorges tant le narcotrafic s’est emparé de notre pays. Et voici que l’administration et notamment ses services collectant les données personnelles les plus sensibles, font l’objet d’attaques massives : ces toutes dernières années, ce furent d’abord plusieurs hôpitaux, puis en novembre 2025, le ministère de l’Intérieur a rendu publique une cyberattaque sur 150 applications des fichiers de police (le TAJ ou traitement des antécédents judiciaires des criminels, le FPR ou fichier des personnes recherchées et même Interpol !). Last but not least : depuis le début de l’année, deux cyberattaques spectaculaires au ministère de Finances ont été rendues publiques: en février 2026, piratage d’1,2 million de comptes du Fichier National des Comptes Bancaires et assimilés (FICOBA) et le 14 août 2026, vol des données de « 678 000 particuliers et professionnels, notamment des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source, et en ce qui concerne les entreprises, des données telles que leur raison sociale ou leur SIREN. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées » (communiqué de presse du ministère de l’Action et des Comptes publics).

Les fuites de données au ministère de l’Intérieur sont caractéristiques de défaillances de gestion

La présidente de la Commission du Sénat, Muriel Jourda, pour donner suite aux révélation du vol de données de la police, avait eu la bonne idée le 13 janvier 2026 d’auditionner le ministre de l’Intérieur sur cette énorme défaillance. Laurent Nunez avait alors évoqué des messages d’agents s’échangeant par des mots de passe pour accéder à certaines applications… sans plus et en soulignant « à ce jour, nous n’avons pas d’éléments d’inquiétude, mais nous restons très prudents » dans un effort de minimisation de l’incident dont la gravité extrême n’a pas besoin d’être rappelée. Et d’indiquer qu’il présenterait volontiers le « plan d’action et de remédiation » accompagné des conclusions de l’audit de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Mais il n’y a semble-t-il pas trace d’un tel plan qui passe avant tout par des formations sur des pratiques bien définies de sécurité et la mobilisation sans faille des chef de services pour les faire respecter. L’objectif de transparence proclamé comme un devoir éthique de l’administration est loin d’être atteint.

Les fuites répétées de données du ministère des Finances ne doivent pas être minimisées

Aujourd’hui, l’administration des Finances déploie le même effort de minimisation d’un incident presqu’aussi gravissime s’agissant des données personnelles de contribuables (des hackers ont déjà indiqué qu’ils avaient vendu des données) et demande aux personnes concernées d’attendre benoîtement d’être prévenues sans se manifester. Là où le bât blesse, c’est que la gestion de cette affaire met encore à mal la confiance des citoyens dans leurs administrations. En voulant éviter toute dramatisation, c’est le soupçon  – justifié ou non – qu’elles provoquent à l’inverse car la gravité de l’incident n’échappe à personne. Le paradoxe français est là : d’un côté, la Commission Nationale de l’Informatique et des Libertés (CNIL) ne cesse de brider l’administration lorsqu’elle entend renforcer et la sécurité nationale en mettant en place des fichiers pour pouvoir mieux détecter et prévenir les dangers qui pèse sur elle, et d’un autre côté, la CNIL s’avère impuissante apparemment à veiller par ses audits à une utilisation sécuriser des fichiers publics, ce qui devrait pourtant être l’un de ses principaux chantiers.

Le silence de la CNIL, protectrice de la vie privée, interroge l’opinion publique

Rappelons que les personnes concernées par des fuites de leurs données personnelles présentant un risques pour leurs droits et libertés doivent être, selon la loi, prévenues dans les 72 heures et que le délai est dépassé. La CNIL prévenue, doit se mobiliser, réaliser un audit, transmettre au parquet toute conduite de l’organisme piraté constitutive d’une infraction, définir des mesures correctrices et le cas échéant prononcer des sanctions. En 2026, Free a ainsi été sanctionnée à hauteur de 42 millions d’euros pour un piratage du à une authentification VPN insuffisante et des dispositifs inefficaces de détection de comportements anormaux. France Travail – établissement public administratif – a du acquitter une amende de 5 millions d’euros assortis d’une astreinte de 5000 euros par jour de retard dans l’application des mesures correctrices préconisées. S’agissant d’administrations de l’Etat, il n’est pas sûr que les amendes administratives soient la solution, car l’argent public va à l’argent public. En revanche, il n’est plus possible de rester de ne pas pouvoir identifier les responsabilités et les mesures prises au plus haut niveau de ces responsabilités. Le flou administratif et notamment le silence de la CNIL ne sont pas davantage admissibles.

Car dans le société actuelle, sous-informer n’est pas une option.

Noëlle Lenoir, avocate, ancienne directrice à la CNIL