Des failles de plus en plus manifestes dans les systèmes informatiques de l'État français: après l'Éducation nationale, l'Agence nationale des titres sécurisés (ANTS) ou encore l'Urssaf, c'est au tour de la DGFiP d'être victime d'un piratage. Deux intrusions sur le site des impôts sont survenues cet été, entraînant le vol de données de 678.000 particuliers et professionnels.

Ces informations alimentent une économie du crime bien rodée: usurpation d'identité, arnaques sophistiquées, voire, dans les cas les plus graves, enlèvements des personnes les plus fortunées, à l'instar des fameux crypto kidnapping qui pullulent en France depuis 2 ans.

Zerobytes, un groupe de deux hackers à l'identité inconnue, a revendiqué l'attaque contre la DGFIP évoquant un butin de «plusieurs milliers d'euros» seulement. Une humiliation pour l'État, dont les failles en matière de cyberdéfense apparaissent de plus en plus manifestes.

«En 2026, les fuites de données deviennent beaucoup plus massives», analyse Sébastien Forte, fondateur du média French Breaches, spécialisé dans les fuites de données. Depuis le début de l'année, son site recense au moins 300 attaques visant des services français, ayant entraîné le vol de 250 millions d'informations sensibles. Parmi elles, les coordonnées d'environ 1,2 million de comptes bancaires, exposées lors du piratage du Fichier des comptes bancaires (FICOBA) en janvier. Au mois d'août, l'éducation nationale a elle aussi été ciblée. La dette technologique de l'État est dévoilée au grand jour.

Et une fois la fuite constatée, il est déjà trop tard. Les forces de l'ordre peuvent fermer une plateforme ou arrêter un hacker, mais pas récupérer une donnée volée. «Une fois diffusée, il faut partir du principe qu'elle circulera pour toujours», prévient l'expert en cybersécurité. «Le principal risque ne se situe pas au lendemain de la fuite, c'est l'utilisation de ces informations des mois ou années plus tard.» Les conséquences se mesureront donc sur le long terme.

Manque de moyens ou de volonté?

Face à cette succession d'incidents, la question des moyens alloués à la cybersécurité se pose. «Je tiens à présenter nos excuses», a déclaré, le visage grave, Daniel Amiel, ministre de l'Action et des Comptes publics, lors d'une conférence de presse consacrée au piratage de la DGFiP.

Un aveu d'impuissance? Pour Gérôme Billois, associé en cybersécurité et confiance numérique chez Wavestone, ce discours de repentance est rare et symptomatique d'un problème plus profond. «Pour une fois, le ministre ne remet pas en question le grand savoir-faire des hackers. Le discours est assez ouvert et les excuses sont claires.» Et d'ajouter : «Le vrai problème pour protéger ces données, ce sont les moyens alloués. L'État manque d'argent.»

Pour autant, tous les services de l'État ne sont pas logés à la même enseigne. Il convient de distinguer les capacités de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), l'autorité chargée de la sécurité des systèmes d'information de l'État et des opérateurs d'importance vitale, de celles de l'ensemble des systèmes numériques publics, moins critiques. «L’ANSSI sait gérer des attaques sophistiquées, avec des attributions récentes contre les Russes. Mais sur l’ensemble des systèmes numériques de l’État, c’est autre chose.»

Au-delà des moyens, c'est donc aussi la capacité à anticiper les menaces qui interroge. Dès le 18 juin, le syndicat Solidaires Finances Publiques avait alerté la DGFiP. Selon Sandra Demarcq, secrétaire générale du syndicat, une fuite de données du portail France Services avait été mise en vente sur le dark web le 12 juin 2026, avant d'être révélée le 15 juin par French Breaches.

Pourtant, dans sa réponse adressée au syndicat, que nous avons pu consulter, la Direction générale des Finances publiques écartait alors tout risque. Le 1^er juillet 2026, Jean-Pierre Dufon, sous-directeur à la DGFiP, écrivait: «Ces incidents de sécurité n'ont concerné aucun accès à un système d'information de la DGFiP ni aucun accès à des données personnelles.»

La DGFiP a-t-elle réellement enquêté à la suite du signalement de French Breaches et du syndicat Solidaires Finances publiques? Selon Sandra Demarcq : «L'État réalise des investissements en informatique, mais ils sont essentiellement destinés au développement de l'intelligence artificielle et à la dématérialisation.» S'y ajoute l'interconnexion croissante des données entre les différents services administratifs. Une numérisation à marche forcée qui multiplie mécaniquement les vulnérabilités.

La sécurité semble reléguée au second rang. «La DGFiP ne dispose même pas d'un responsable cybersécurité» explique Sandra Demarcq. Cette casquette, comme bien d'autres, revient au responsable informatique, qui gère également le développement de l'IA, des applications, de la dématérialisation, des outils de travail des agents, etc. «Sur les 94.000 agents de la DGFiP, seuls 5.000 travaillent sur l'informatique. Ce n'est pas suffisant», regrette la Secrétaire générale.

Une réaction en deçà des enjeux

Après le piratage de la DGFiP, le Premier ministre Sébastien Lecornu a lui-même reconnu que «peu de ministères sont au niveau requis» en termes de cyberdéfense, et demandé la création d'une nouvelle unité au sein de l'ANSSI, composée majoritairement de ses agents. Elle doit permettre à l'État de réagir plus rapidement aux cyberattaques. Contactée, l'ANSSI n'a pas répondu à nos sollicitations. Un conseil de défense sur les cyberattaques doit par ailleurs avoir lieu à la mi-septembre selon le porte-parole du gouvernement.

Le gouvernement a annoncé, dans la foulée du piratage de l'ANTS, une enveloppe de 200 millions d'euros destinée à renforcer la sécurité numérique de l'État. Un budget en deçà des besoins selon les experts. Au-delà des investissements technologiques, l'un des enjeux centraux consiste à limiter les conséquences d'une intrusion lorsqu'elle survient.

«Dans les systèmes informatiques, il faut pouvoir limiter les capacités d'extraction», estime Gérôme Billois, en restreignant notamment les accès des agents aux seules données nécessaires à leur activité. Une intrusion ne devrait ainsi permettre de récupérer qu'un nombre limité de données et, surtout, «donner des alertes». Autre difficulté: l'attractivité de la fonction publique, qui peine à recruter suffisamment d'experts en cybersécurité, en raison de salaires peu attractifs. Et rien ne permet d'exclure que de nouveaux piratages surviennent d'ici la fin de l'année.