Bercy : les pirates au cœur de l’État
On croyait les coffres de l’État mieux gardés : il aura suffi de quelques identifiants volés pour mettre en défaut l’administration fiscale. L’affaire en dit long sur la souveraineté numérique de la France en 2026.
L’exercice avait le mérite de la franchise. C’est avec beaucoup d’humilité que Vincent Strubel, patron de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, chargée de la cybersécurité de l’État, est revenu pour la première fois, le 10 septembre, aux universités d’été d’Hexatrust, une association d’entreprises françaises et européennes spécialisées dans la cybersécurité, sur les attaques de l’été contre l’un des piliers de l’État : la Direction générale des finances publiques (DGFiP).
Une faille d’une inquiétante banalité
Les intrusions, fin juin et fin juillet, auraient touché plus de 670 000 personnes. Ce qui a été volé ? Des données courantes – nom, adresse, numéro fiscal –, mais aussi des informations sensibles : revenu fiscal de référence, quotient familial et taux de prélèvement à la source.
De quoi nourrir bien des fraudes. Par exemple, l’hameçonnage hyper-personnalisé : un courriel du « fisc » qui cite votre taux de prélèvement exact ne ressemble plus tout à fait à une arnaque. De fait, les usurpations de la DGFiP fleurissent déjà chaque été. Autre risque : le vol du remboursement d’impôt. Le fraudeur se présente au fisc à votre place, muni de données fiscales sensibles, et détourne le remboursement. En 2025, au Royaume-Uni, 100 000 comptes auraient ainsi été détournés.
Quant aux auteurs de cette attaque, Strubel décrit une cybercriminalité « endogène », c’est-à-dire née en France, loin des grands groupes cybercriminels organisés : des jeunes, inconnus des services de renseignement, motivés davantage par la réputation que par le gain et prêts à prendre tous les risques. Deux jeunes hackers ont ainsi été rapidement interpellés après les faits.
N’en déplaise aux communiqués ministériels, il ne s’agissait d’ailleurs pas de « cyberattaques particulièrement sophistiquées ». Le patron de l’ANSSI l’a reconnu : pas de manœuvres complexes, mais des identifiants volés, peut-être achetés à des spécialistes. Si l’intrusion a réussi, c’est notamment en raison de l’absence d’une authentification forte pour certains accès, c’est-à-dire d’une vérification en plusieurs étapes, comme celle désormais courante dans les banques. À la DGFiP, sa généralisation n’était promise que pour fin 2026, une faiblesse déjà relevée par le Sénat. Un cas unique dans l’appareil régalien de l’État ? Non. Le ministère de l’Intérieur avait déjà été piraté en décembre 2025 à partir des identifiants… d’un agent du ministère de l’Agriculture en Bourgogne.
Le compte n’y est pas
Tout cela met sur la piste d’un problème plus profond : la cybersécurité n’est pas encore une priorité assez affirmée. Cela se voit dès l’organigramme. Bernard Barbier, ancien directeur technique de la DGSE, le résume : le responsable de la sécurité « se trouve à plus de trois niveaux hiérarchiques sous le directeur général de la DGFiP », pourtant responsable en dernier ressort. Il faudrait un directeur de la sécurité placé directement auprès de la direction générale, un modèle adopté par nombre de très grandes entreprises depuis cinq à dix ans.
Cela se voit aussi dans les moyens. Les banques consacrent à la cybersécurité 13 à 15 % de leur budget informatique ; les administrations, 17 % au niveau fédéral civil américain et 15 % au ministère des Affaires étrangères en Israël. Or le Trésor constitue l’un des cœurs du réacteur régalien de l’État, avec l’armée et les forces de l’ordre. Il devrait donc se situer dans le haut de la fourchette. Le Canard enchaîné du 26 août avance le faible chiffre de 9 %. Sans être catastrophique, le pourcentage est très insuffisant.
Corollaire : les effectifs. Dans l’informatique bancaire en Europe, près de 11 % du personnel travaille dans la cybersécurité – et 18 % dans les infrastructures des marchés financiers. À la DGFiP, cette proportion tomberait à seulement 2 % des effectifs, un chiffre tellement dérisoire qu’il est difficile à croire.
La souveraineté ne se décrète pas
Cette absence de priorité, dans l’organigramme comme dans le budget, révèle un angle mort : l’administration n’a pas mesuré la place centrale qu’occupe désormais le numérique dans les activités humaines.
En France, le numérique n’a jamais de ministre de plein exercice. En Grèce, c’est devenu une filière d’excellence : le Premier ministre Kyriakos Mitsotakis et son ministre des Finances Kyriakos Pierrakakis ont tous deux piloté la transformation numérique de l’État. En Israël, on n’a même plus besoin de ministère : le chef de l’innovation militaire siège à l’état-major au même rang que les autres chefs d’armée et, fait rare en Occident, l’opposant et ancien Premier ministre Naftali Bennett est lui-même un ancien dirigeant de start-up de cybersécurité.
Enfin, ce n’est pas comme si l’État découvrait la menace. La France n’a pas tiré toutes les leçons des attaques contre les hôpitaux pendant le Covid, malgré un plan d’un milliard d’euros alors présenté par le président Macron. Elle n’a pas non plus compris toutes les conséquences de la guerre hybride russe – notamment de la tentative d’attaque massive contre le réseau électrique polonais fin 2025. Si nous ne protégeons pas les joyaux de la couronne face à de jeunes hackers locaux, quelle crédibilité avons-nous en matière de cybersécurité auprès de nos adversaires comme de nos alliés ? D’autant que l’IA bouleverse désormais la donne et qu’elle est déjà exploitée par les cyber-assaillants russes. Il y a dans cet épisode l’écho d’une faiblesse française : notre difficulté à agir vite face à l’apparition de nouveaux dangers. À l’ère numérique, il n’y a pas de souveraineté durable pour les États médiocres en matière de cybersécurité.
