Cyberattaque à la DGFiP : les failles d'une administration face à sa dette technologique

Comment a-t-on pu en arriver là ? Depuis la découverte d'un vol massif de données dans le système d'information de la Direction générale des finances publiques (DGFiP), à chaque étage de l'administration, on essaie de comprendre comment ce piratage a pu se produire. Dans un long post sur la plateforme X, mercredi 19 août, Sébastien Lecornu a harangué : "Arrêtons de découvrir la Lune à chaque cyberattaque." "La menace est connue : massive, organisée, hybride", a ajouté le Premier ministre. Reste que les données fiscales très sensibles de près de 700 000 particuliers et professionnels se retrouvent dans la nature, soulevant des questions sur de possibles failles dans la sécurité numérique de la DGFiP.

Alertée sur une intrusion illégitime dans son système interne, l'administration a "immédiatement" coupé l'accès du cybercriminel, a assuré mardi sa directrice générale, Amélie Verdier. "Comment est-il possible d'avoir vu l'intrusion dans le système, mais pas le vol ?", s'interroge Fanny De Coster, secrétaire générale de la CGT Finances publiques.

La directrice générale reconnaît elle-même que les investigations menées dans la foulée de l'intrusion ont "échoué à repérer ce qu'il s'est passé". Ce qui aurait pu rester une attaque sans répercussion – comme la DGFiP en a essuyé 6 972 en 2025, d'après le schéma directeur du numérique –, est devenu une affaire d'une tout autre ampleur après l'annonce de la mise en vente des données volées.

Si le ministre de l'Action et des Comptes publics a présenté ses excuses, mardi, aucune responsabilité n'a encore été établie sur les causes de cette cyberattaque, pour laquelle le parquet de Paris a ouvert une enquête. Le Premier ministre a demandé à l'Agence nationale de la sécurité des systèmes d'information (Anssi) de "conduire un audit approfondi pour établir précisément les circonstances et les causes de l'incident".

Mais à la sortie d'une réunion entre les syndicats et la direction générale, mardi, l'inquiétude dominait chez les représentants du personnel. "On a la sensation que quelque chose nous échappe", glisse Fanny De Coster à franceinfo. Même sentiment chez Sandra Demarcq, secrétaire générale de Solidaires Finances Publiques. "J'ai l'impression qu'ils sont un peu dépassés par l'ampleur [de l'attaque]. Ils ne comprennent pas comment ils n'ont pas pu voir", résume la syndicaliste au sujet de la direction de l'administration.

Une dette technologique difficile à résorber

Une des réponses se trouve-t-elle dans la dette technologique du fisc ? Comme dans toute administration, des moyens sont alloués à la DGFiP pour maintenir l'ensemble des systèmes informatiques à jour, et s'assurer que les applications et les serveurs bénéficient des derniers logiciels garantissant la sécurité numérique. Une tâche qui demande du temps et de l'argent, l'architecture informatique du service étant complexe. "Nos applications n'ont pas vocation à vivre seulement un an ou deux. Et ce qui était bon il y a dix ans ne l'est pas forcément aujourd'hui", explique Richard Bordonneau, développeur à la DGFiP et secrétaire de la section CGT Disi Sud-Ouest.

"Au fur et à mesure de la vie de nos applications, de nos matériels, une nouvelle dette apparaît : quelque chose qui n'est pas obsolète va finir par le devenir. C'est une activité sans fin."

Dès 2020, le rapport du Sénat sur la gestion des finances publiques et des ressources humaines s'intéressait à la résorption de la dette technique des administrations, et du fisc en particulier. Son corapporteur, le sénateur Claude Nougein (LR), y écrivait que "la Cour des comptes juge que les systèmes sont gérés avec fiabilité, mais que c'est bien leur ancienneté qui est source de faiblesses". Si des travaux ont été engagés pour pallier cette difficulté, Claude Nougein remarquait cinq ans plus tard "la même difficulté de suivi des projets informatiques, avec des dépassements importants de calendrier et de coût".

La lutte contre ce retard est si cruciale qu'elle est inscrite dans le contrat d'objectifs et de moyens de la DGFiP, qui fixe les grandes orientations stratégiques de l'administration pour les années à venir. A l'issue du précédent contrat, en 2022, un rapport de l'inspection générale des finances (IGF) soulignait que la dette technique restait "un point de vulnérabilité (…) que les financements supplémentaires [n'avaient] pas permis de résoudre".

En réponse à la difficulté "de démontrer les progrès accomplis", l'IGF préconisait "que le cabinet du ministre chargé des Comptes publics, la direction du budget et le secrétariat général soient informés tous les six mois de l'état d'avancement de ce chantier". La résorption de cette dette est une "priorité absolue" du nouveau contrat d'objectifs et de moyens, qui court jusqu'en 2027. Dans sa feuille de route informatique, le fisc assure avoir nettement modernisé ses systèmes : alors que moins d'un tiers (31%) de ses logiciels et serveurs répondaient aux normes techniques actuelles en 2021, ce chiffre a dépassé la moitié (52,2%) fin 2025. L'administration vise désormais un taux de modernisation de 78% d'ici la fin 2027.

Un secteur qui attire difficilement les jeunes

La dette technique ne suffit pas, à elle seule, à expliquer tous les maux numériques de cette administration. "Est-ce que c'est un manque de moyens ? Peut-être. Mais de quels moyens ?", s'interroge Richard Bordonneau, encore un peu sonné par le retentissement de cette affaire. Le développeur reconnaît qu'avec plus d'effectifs, "ce serait plus simple". "Il y a des moments où je ne peux pas être disponible pour un projet parce que je suis en train de travailler sur un autre. Et je suis loin d'être le seul dans ce cas-là." Encore faut-il réussir à recruter au sein d'une administration qui n'attire plus.

"L'Etat n'est pas le meilleur des employeurs sur le plan financier. Notamment dans un domaine où les gens diplômés vont gagner beaucoup plus dans le privé que chez nous."

Ce constat est partagé par son collègue Bruno Rigoulet, inspecteur PSE (programmeur système d'exploitation) et conseiller syndical en charge des services informatiques pour Solidaires. Il regrette qu'il n'y ait pas plus de "personnel jeune, formé aux nouvelles technologies" car "ceux qui ont de l'expérience s'en vont" et que "la pyramide des âges a tendance à engendrer des départs à la retraite qui ne sont pas remplacés".

La Cour des comptes constatait déjà ce problème dans un rapport d'avril 2019. Elle y relevait que "près de 35% des postes de programmeurs ouverts au concours des trois dernières années n'ont pas été pourvus". Un chiffre d'autant plus préoccupant que les services informatiques de la DGFiP avaient à l'époque subi une coupe de 13% dans leurs effectifs. Fanny De Coster reconnaît que la courbe des emplois s'est inversée "malgré un budget global en baisse".

Selon le schéma directeur du numérique, le service informatique du fisc comptait "plus de 5 000 personnes" en 2026, soit "plus du quart des effectifs de l'informatique civile de l'Etat". "On ne peut pas dire qu'il n'y ait pas de moyens mis sur l'informatique", poursuit Fanny De Coster. Mais la responsable syndicale craint, à la lecture d'un schéma directeur qui met l'accent sur "l'efficience et l'efficacité", de voir des postes supprimés à l'avenir. "En termes administratifs, ça veut dire que l'informatique doit surtout permettre de supprimer des emplois", affirme-t-elle.

"Pour les hauts fonctionnaires, le cyber coûte mais ne rapporte rien"

En réponse à la crise qui dure depuis près de deux semaines, Sébastien Lecornu a remis sur la table le déblocage de 200 millions d'euros dédiés à la cybersécurité, annoncé en avril. "Ce n'est pas suffisant", rétorque Philippe Latombe, député MoDem de Vendée. Celui qui est également membre de la Commission nationale de l'informatique et des libertés (Cnil) juge le chantier colossal. "Il faut se remettre à niveau sur la dette technologique, sur l'authentification multifacteurs, sur des traceurs, sur des compteurs pour savoir quels sont les volumes de données qui sortent", liste-t-il.

En janvier 2025, dans un article sur les "violations massives de données" de l'année précédente, la Cnil décrivait un scénario qui débute par l'usurpation de vrais identifiants de connexion et se termine par la vente des données piratées. Troublant de ressemblance avec la cyberattaque qui a visé la DGFiP durant l'été. Pour s'en prémunir, l'autorité préconisait de "mettre en place une authentification multifacteurs, en particulier pour les accès à distance, et de systématiser les comptes nominatifs individuels".

Comment expliquer qu'un an et demi plus tard cette recommandation n'ait pas été généralisée à l'ensemble des outils de la DGFiP ? Pour Philippe Latombe, il s'agit d'un manque de volonté politique. "Dans l'esprit des hauts fonctionnaires des différents ministères et des responsables des systèmes d'information, la partie cyber, c'est quelque chose qui coûte et qui ne rapporte rien", avance-t-il. L'élu centriste, spécialiste de ces questions, s'agace de voir les administrations se faire avoir par des attaques "très faciles". "Il n'y a personne que vous pourrez interroger qui vous dira que c'est sophistiqué. On a expliqué les choses dix fois et les ministères ne font pas attention", accuse-t-il.

"Comme ça coûte, on fait le minimum. En espérant que ça va suffire."

Si la Cnil mène des contrôles, le député et membre de l'instance affirme qu'en cas de non-conformité, "on dit gentiment [à l'administration] qu'il faut qu'elle revoie sa copie". A la différence des entreprises privées, contre lesquelles le gouvernement "a la possibilité de prendre des sanctions", l'Etat "ne se sanctionne pas lui-même" lorsque ses services ne respectent pas les règles et les bonnes pratiques, insiste Philippe Latombe.

Mise sous pression au sujet de la généralisation de la double authentification, la directrice générale de l'administration fiscale a annoncé, mardi 18 août, le déploiement de "l'usage systématique de l'authentification forte" pour tous les agents et sur tous les accès d'ici la fin de l'année. Une maigre première étape pour regagner la confiance des agents et des contribuables.