A futura memoria
Le 1er septembre, c'est demain !
Le calendrier est le suivant :
Toutes les entreprises, quelle que soit leur taille, sont concernées par la réforme dès le 1er septembre 2026, car elles doivent toutes être en capacité de recevoir des factures électroniques à compter de cette date (par exemple de leurs fournisseurs d’énergie, d’accès téléphone ou internet). En effet, les grandes entreprises et les entreprises de taille intermédiaire devront émettre l’intégralité de leurs factures au format électronique à cette date.
Toutefois, les petites et micro-entreprises (cela concerne les auto-entrepreneurs) auront jusqu’au 1er septembre 2027 pour émettre électroniquement leurs factures. La transmission de données à l’administration (e-reporting) suit le même calendrier.
Donc, sur sa page consacrée à la facturation électronique, la Direction générale des finances publiques (DGFiP) demande aux entreprises d'être prêtes. Mais après le récent piratage massif de son système d'information, il serait peut-être temps de lui demander de démontrer qu'elle l'est aussi.
*
Le 19 août dernier, j'ai reçu un message de la Direction générale des finances publiques, comme j'imagine d'autres centaines de milliers de contribuables :
où la DGFiP m'informait que mes données personnelles étaient susceptibles d'avoir été violées à la suite du récent piratage de son système d'information.
Dont cet extrait : « Quelles sont les données susceptibles d'avoir été consultées ? Votre identifiant fiscal, votre état civil, vos coordonnées (postales, téléphoniques et électroniques), votre situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et la liste des messages que vous avez échangés avec la DGFiP par la messagerie [...] »
L'énumération est déjà impressionnante, mais « la liste des messages échangés avec la DGFiP » m'a scotché (détail absent du communiqué officiel...) ! Attention, "liste" ne veut pas forcément dire "contenu", or dans la messagerie fiscale, chaque message était identifié par son objet, le plus souvent explicite, puisqu'il est censé exprimer l'essence du message, cela peut déjà révéler la nature de certaines problématiques qu'on préférerait garder confidentielles.
Je suis moi-même dans l'attente d'une réponse sensible de l'administration fiscale à ma question, posée le 23 juin dernier et toujours "en cours de traitement", et ça m'énerve grandement que le premier pirate venu puisse extrapoler des renseignements sur moi, juste sur la base de l'objet du message.
Ajoutons à cela l'identité, les coordonnées, la situation familiale, le revenu fiscal de référence, le taux de prélèvement à la source, etc. (puisqu'en fait même l'administration ne sait pas quelles sont toutes les données volées), et nous avons là un ensemble d'informations permettant de contextualiser très précisément la situation fiscale et administrative d'une personne, y compris de nombreux propriétaires (selon le pirate lui-même, le communiqué n'évoquant que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers) (voir également...).
Dans cette histoire, on ne parle plus d'une simple adresse électronique égarée dans une base de données, mais d'un cadre beaucoup plus inquiétant ! D'autant que la DGFiP n'a pas mesuré elle-même l'ampleur du vol, ce qu'elle reconnaît précisément dans sa communication institutionnelle : « Les investigations se poursuivent afin de déterminer précisément la nature et le volume de données extraites ainsi que le nombre d'usagers concernés. »
*
Il existe d'ailleurs une chronologie bien précise, et bien plus préoccupante !
Dès le 15 avril dernier, Sébastien Lecornu avait adressé un courrier à ses ministres en leur demandant de renforcer la sécurité des systèmes d'information sensibles de l'État, notamment contre l'usurpation des comptes d'agents publics. La mise en place de l'authentification multifacteur (MFA) faisait partie des mesures demandées, au titre du renforcement de l'authentification des systèmes d'information sensibles de l'État.
Environ deux mois et demi plus tard, fin juin, survenait le premier des accès frauduleux aujourd'hui publiquement identifiés à la DGFiP, précisément à la suite d'une usurpation d'identifiants. Une seconde intrusion intervenait fin juillet. Ce n'est que les 12 et 13 août que l'attaquant revendiquait publiquement le vol de données.
Or dans sa version du Schéma directeur du numérique, datée du 16 juin 2026, Amélie Verdier, Directrice Générale de la DGFiP, déclarait expressément :
Cette nouvelle publication me donne l’occasion de réaffirmer les enjeux numériques qui guident la DGFiP et engagent chaque jour des millions d’usagers, des dizaines de milliers d’agents et un écosystème dense de partenaires publics et privés. Notre feuille de route se poursuit avec la volonté de renforcer notre système d’information dans sa souveraineté et au service de toutes nos parties prenantes.
Succulent, à la lumière de ce qui s'est passé quelques jours plus tard ! Et Tomasz Blanc, Directeur des Systèmes d’Information, d'ajouter :
L’État n’a pas de bouton pause : notre SI doit être résilient, robuste, toujours au rendez-vous. C’est là l’assurance pour la DGFiP de tenir ses engagements, quelles que soient les circonstances.
En lisant ces mots, la question que je me pose est : à quel moment la parole institutionnelle cesse-t-elle de constituer une garantie suffisante ?
Quelques jours plus tard, le rapport fait au nom de la commission d’enquête de l’Assemblée nationale sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France, publié le 8 juillet 2026, dit ceci à propos de la DGFiP :
Enfin, s’agissant des ministères économiques et financiers, le constat est là encore identique : « Il n’y a pas aujourd’hui de cartographie des dépendances formalisées à l’échelle des Ministères Économiques et financiers, mais un certain nombre d’aspects critiques des dépendances ont pu faire l’objet de travaux spécifiques ponctuels ou portés sur des périodes plus longues : logiciel de gestion de base de données Oracle, logiciel statistique SAS, logiciel de virtualisation VMWARE ». Ainsi que l’expliquait Tomasz Blanc, chef du service des systèmes d’information de la direction générale des finances publiques (DGFIP), lors de son audition devant la commission d’enquête : « Compte tenu de l’ancienneté de notre système, des dépendances extra-européennes subsistent, que nous nous efforçons de maîtriser et de réduire. Nos principales dépendances concernent les infrastructures matérielles, avec IBM et Oracle, quasi exclusivement produites en Asie et aux États-Unis à défaut de solutions européennes complètes. Nous activons toutefois les leviers de la concurrence dans l’acquisition des matériels et des marchés afin de maîtriser au mieux ces dépendances.
Le 12 août, un arrêté publié au Journal officiel du 14 août approuve formellement la version 3.2 du référentiel SecNumCloud d’exigences relatif aux prestataires de services d’informatique en nuage. Le point 12.14 est formidable ! Surveillance des flux sortants de l’infrastructure, à citer in extenso :
a) Le prestataire doit fournir une capacité d'inspection et de suppression des sortants de l’infrastructure technique relatifs au périmètre du service (informations de facturation, les éventuels journaux nécessaires au traitement d'incidents, etc.) :
- les sortants doivent pouvoir être expurgés des données pouvant porter atteinte à la confidentialité des données des commanditaires ;
- cette capacité d'inspection et de suppression doit générer des journaux d'activité et doit pouvoir faire l'objet d'un audit de code ;
- les sortants sont traités sur des dispositifs spécifiques opérés et maintenus par le prestataire, et hébergés dans une zone cloisonnée du reste de l’infrastructure (du type zone démilitarisée telle que définie dans [G_INT]).
Dans son communiqué n° 953 du 14 août (qui fait suite aux revendications des attaquants des 12 et 13 août, remarquons-le...), le ministère de l'Économie reconnaît que la DGFiP avait détecté les accès frauduleux et les avait interrompus, mais que les contrôles réalisés n'avaient pas permis d'établir que les intrusions avaient entraîné des vols de données.
A minima les données de 678 000 particuliers seraient concernées, dont un plus de 250 000 professionnels (chiffres plus précis)... Autrement dit, non seulement la DGFiP a été piratée, mais après avoir détecté l'intrusion elle n'avait même pas pu identifier l'exfiltration des données dont elle avait la garde.
Le 17 août, à l'issue de la cellule interministérielle de crise, et face à la multiplication des attaques, le Premier ministre a demandé au Ministre de l’Action et des Comptes publics de diligenter un audit sur la sécurisation des systèmes informatiques de la Direction générale des Finances publiques (DGFIP), notamment ceux en interface avec les contribuables, qui devrait être mené par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Les mesures opérationnelles issues de cet audit devront être présentées au ministre en septembre.
Le point 3, intitulé Une doctrine de protection renforcée, est particulièrement intéressant :
Alors qu’une seule vulnérabilité peut permettre à un hacker de revendiquer une attaque, l’Etat doit sécuriser dans un même élan l’ensemble de ses systèmes d’information. Pour cela, un plan d’urgence avec 40 actions prioritaires, réparties en 10 champs d’action, s’est imposé à tous les ministères.
Comme le Premier ministre l’a écrit le 15 avril dans un courrier à l’ensemble de ses ministres, cette feuille de route fait l’objet d’un suivi étroit tous les trois mois par son cabinet. Une réunion interministérielle a permis début juillet de s’assurer de l'exécution par les ministères des 15 actions à échéances du 30 juin 2026. La mobilisation des ministères est forte et les résultats des actions engagées depuis avril sont d’ores et déjà tangibles. L’effort doit être maintenu.
Beau discours ! On a vu les résultats !
Le 18 août, dans une conférence de presse réunissant M. David Amiel, Mme Amélie Verdier et le directeur général adjoint de l'ANSSI, la directrice de la DGFiP a affirmé que la cyberattaque n'avait « aucun lien » avec l'entrée en vigueur de la facturation électronique. Le 24 août, en répondant directement à la question du maintien de la facturation électronique au 1er septembre, le ministre précise que la réforme n'est absolument pas suspendue et la date de démarrage maintenue. « Dans 6 jours, cette réforme est mise en route. »
De fait, le 25 août, la directrice générale des finances publiques et le ministre des comptes publics ont convoqué en urgence les responsables concernés afin d'accélérer le déploiement de la double authentification des agents de la DGFiP pour lutter contre l'usurpation de comptes d'agents publics. Une mesure déjà demandée par le Premier ministre quatre mois auparavant et dont la DGFiP a eu au moins dix semaines pour la mettre en oeuvre sans le faire, puisque ce mécanisme se trouve précisément au cœur du piratage.
Plus troublant encore : le calendrier annoncé après l'attaque prévoit la généralisation de cette double authentification à l'ensemble des agents de la DGFiP d'ici à la fin de l'année 2026, et non au 1er septembre. Mais si le déploiement complet d'une seule mesure, circonscrite, nécessite encore plusieurs mois, combien de temps faudrait-il pour réexaminer sérieusement, à la lumière d'une violation majeure, l'ensemble des dépendances, habilitations, interconnexions, prestataires, sous-traitants, architectures, procédures de détection, dispositifs de continuité et analyses de risques d'un système aussi complexe que celui de la facturation électronique ?
Donc, selon moi, cette série rapprochée d'événements pose une question de responsabilité qui dépasse largement cet incident. C'est là qu'entrent en jeu le RGPD et la CNIL.
*
Dans son article 32, le RGPD impose au responsable du traitement (la DGFiP dans notre cas) et à ses sous-traitants des mesures techniques et organisationnelles appropriées afin d'assurer un niveau de sécurité adapté au risque. Mais selon la raison 74, le responsable doit surtout mettre en œuvre des mesures « appropriées et effectives » et être capable de démontrer la conformité des traitements ainsi que l'efficacité de ces mesures. La logique "juridique" du RGPD est donc : « Démontrez que vous avez pris des mesures adaptées aux risques », cela s'appelle l'accountability (ou responsabilisation), ou, mieux encore provable accountability (ou responsabilisation justifiable). Quant aux traitements à haut risque, comme ici, l'article 35 du RGPD prévoit une analyse d'impact relative à la protection des données (AIPD), à effectuer AVANT le traitement : c'est ici que la question devient beaucoup plus sérieuse.
Premier constat : la DGFiP est largement fautive et défaillante. Quand c'est le contribuable qui est fautif et défaillant, généralement l'administration publique ne prend pas de gant ! Quand c'est l'État français ?
Les déclarations de Mme Verdier et de M. Amiel qui ont suivi (mais uniquement parce qu'ils avaient été mis au pied du mur) ont présenté leurs plus plates excuses en expliquant partiellement le "comment", mais beaucoup moins le "pourquoi" un tel incident a-t-il pu se produire.
Dire que le pirate a obtenu les identifiants d'un agent et un « accès externe » explique le chemin d'entrée. Cela ne répond pas encore aux questions de contrôle :
Pourquoi ces deux éléments suffisaient-ils ? Pourquoi la MFA n'a-t-elle pas empêché cet accès ? Quels systèmes étaient ou n'étaient pas couverts par la MFA ? Quels privilèges l'identité compromise permettait-elle d'obtenir ? Pourquoi les extractions sont-elles restées sous les seuils de détection ? Ces seuils étaient-ils correctement calibrés ? Quels contrôles compensatoires existaient ? Etc.
La reconnaissance même que l'attaquant a pu rester « sous notre seuil » de détection et que les enquêtes internes de juin et juillet n'ont pas identifié l'exfiltration est particulièrement importante. Autrement dit, nous avons obtenu une cinématique de l'attaque, pas encore une analyse complète de la défaillance des défenses...
Mais revenons-en à l'AIPD, dont la CNIL aussi précise qu'elle « doit être menée avant la mise en œuvre du traitement », démarrée « le plus en amont possible » et « mise à jour tout au long du cycle de vie du traitement. »
Quant aux critères de réalisation, il me semble difficile de nier que la DGFiP n'y serait pas soumise !
En réalité, nous confions à l'administration fiscale certaines de nos informations les plus personnelles, dans le cadre d'une relation obligatoire. Nous ne le faisons pas vraiment par choix. Nous ne pouvons pas décider de ne plus faire confiance à la DGFiP ni de transférer demain notre dossier fiscal à un concurrent. La DGFiP nous dit : Nous vous obligeons à nous transmettre vos données ; faites-nous confiance, nous les protégeons...
Une institution ne peut pas raisonnablement restaurer, par sa seule parole, la confiance que les faits viennent de mettre en défaut. Après un incident de cette nature, la confiance devrait changer de régime : avant l'incident, la confiance pouvait être présumée ; après l'incident, elle doit être démontrée.
Or il manque un maillon, et même plusieurs !
La généralisation de la facturation électronique en France concerne à terme quelque 8 millions d'entreprises assujetties à la TVA et a minima quatre milliards de factures.
Certes, toutes les factures ne seront pas stockées intégralement dans une gigantesque base centrale de la DGFiP. Pourtant le propre schéma directeur numérique de la DGFiP parle de la facturation électronique comme d'un projet majeur d'« acquisition de données », il prévoit une exploitation massive des données acquises par des techniques de data science et évoque la concentration par l'État des données de TVA. Il s'agit donc incontestablement d'une nouvelle infrastructure informationnelle majeure.
Plusieurs interrogations me paraîssent désormais incontournables :
- La violation de données qui vient d'affecter le SI de la DGFiP a-t-elle conduit à réexaminer les hypothèses de risque et les mesures de sécurité applicables aux traitements entrant en fonctionnement dans le cadre de la facturation électronique ?
- Sur quelle analyse la décision du maintien du calendrier de la réforme repose-t-elle ?
- À la veille du 1er septembre, l'ANSSI a-t-elle donné un avis sur le maintien du calendrier de la facturation électronique ? Et si oui, cet avis peut-il être rendu public, au moins dans ses conclusions ?
- Et pourquoi mettre malgré tout la réforme en route avant de connaître les conclusions de l'audit que l'État lui-même a jugé nécessaire de commander après l'attaque ?
La question est d'autant plus troublante qu'elle semble inverser la logique même de l'analyse de risque consacrée par le RGPD, alors que les lignes directrices européennes définissent explicitement l'AIPD comme un outil d'aide à la prise de décisions.
Or là, il me semble que les décisions sont déjà prises ! Dans ces circonstances, je pense que maintenir la date du 1er septembre est une décision de risque en elle-même, irresponsable selon moi, mais bon... L'État a-t-il correctement évalués tous les « signaux de risque » à sa disposition :
- Le courrier du 15 avril.
- La demande de MFA.
- L'absence de cartographie formalisée des dépendances signalée par le rapport parlementaire du 8 juillet.
- L'ancienneté du SI reconnue devant la commission d'enquête.
- Le premier piratage.
- Les difficultés initiales à mesurer l'exfiltration.
- Les vérifications encore en cours par la CNIL
- L'audit de l'ANSSI
- L'AIPD (ou les AIPD), oui ou non
- La réunion du 25 août pour accélérer la MFA
- Le fait que certaines mesures de sécurisation devront continuer après le 1er septembre
- Etc.
Une autre absence interroge : sur le site de l'ANSSI, la rubrique « Actualités » ne comporte toujours aucune publication consacrée au piratage de la DGFiP. Le dernier article qui y figure est daté du 5 août, avant même la révélation publique de l'incident. Il s'agit là d'un silence éditorial et institutionnel sur son propre canal public d'information qui ne fournit aucune communication expliquant ce que l'incident de la DGFiP change, ni aucune appréciation du risque entourant la nouvelle infrastructure.
Personne ne demande à l'ANSSI de publier des vulnérabilités exploitables ou les détails d'un audit ou d'une investigation en cours. Mais entre la divulgation dangereuse et l'absence de communication publique se loge un espace considérable : celui d'une assurance indépendante. L'ANSSI pourrait, par exemple, indiquer si les enseignements immédiatement disponibles ont été examinés au regard de la facturation électronique, si des vérifications complémentaires ont été jugées nécessaires et si, de son point de vue, aucun élément connu ne justifierait de différer le démarrage.
Par conséquent mon billet entend juste poser ex ante les questions qui se poseraient inévitablement ex post si un nouveau piratage devait se produire sur les données liées à la facturation. Car ici la chronologie semble fonctionner à rebours : l'État demande un audit pour « tirer toutes les leçons » de l'attaque, lance la réforme avant que ces leçons soient publiquement connues, puis annonce pour septembre les mesures qui en découleront. Or l'institution devrait pouvoir démontrer ce qu'elle a compris, ce qu'elle a corrigé, ce qu'elle a vérifié et, lorsque l'enjeu le justifie, qui l'a vérifié indépendamment d'elle.
Après un piratage de cette ampleur, « faites-nous confiance » ne peut plus constituer la réponse à « pourquoi devrions-nous vous faire confiance ? » La confiance publique n'est pas un capital inépuisable. Après l'échec, elle ne se décrète pas. Elle se reconstruit par la preuve.
P.S. Je ne suis manifestement pas le seul à poser la question en ces termes : le 27 août, Intégr'Action Conseil, société spécialisée notamment dans la cybersécurité, a annoncé à ses partenaires avoir résilié son abonnement à sa plateforme agréée de facturation électronique. Non parce qu'elle refuse le principe de la réforme, précise-t-elle, mais parce qu'elle estime ne pas disposer de garanties suffisamment vérifiables pour confier ses flux à ce dispositif. Son communiqué :
se termine ainsi : « La conformité se vérifie. La sécurité s'audite. La cybersécurité ne s'impose pas : elle se démontre. »
Pour la DGFiP, la charge de la preuve a cessé d'être abstraite : une entreprise a décidé qu'en l'état, les preuves dont elle disposait ne suffisaient plus à fonder sa confiance, quand bien même la loi l'oblige à utiliser le dispositif (sous peine de non-conformité sanctionnable).
En effet, cela revient à dire aux huit millions d'entreprises captives, quand bien même vous restez parfaitement libres de douter de la fiabilité du Fisc français, vous n'avez aucune alternative. Et depuis la loi de finances pour 2026, cette obligation a même son propre régime de sanction. L'article 1737 IV bis du CGI prévoit qu'une entreprise qui ne recourt pas à une plateforme agréée est mise en demeure de le faire sous trois mois ; si elle persiste, elle encourt 500 €, puis 1 000 €, puis une nouvelle amende de 1 000 € à chaque nouvelle période de trois mois après injonction infructueuse.
Nous sommes face à une asymétrie entre contrainte, maîtrise du risque et exposition aux conséquences. L'État impose l'exposition, maîtrise une partie déterminante de l'architecture et de ses règles, mais l'entreprise demeure exposée aux conséquences d'un risque qu'elle n'a ni librement accepté ni la capacité de contrôler entièrement, puisqu'elle supportera directement une partie des conséquences économiques de toute compromission de ses données ou de ses flux : fraude, usurpation, divulgation d'informations commerciales, perturbation de son activité, coûts de remédiation, etc.
*
Dans ce cadre, j'ai décidé d'exercer mon droit d’accès aux documents administratifs sur le fondement du Code des relations entre le public et l'administration (CRPA). Pour la DGFiP, le contact est le suivant :
où PRADA signifie Personne responsable de l'accès aux documents administratifs de la Direction des affaires juridiques des ministères économiques et financiers. Message transmis :
Objet : Demande de communication de documents administratifs relatifs à la protection des données, à la sécurité et à l'évaluation des risques du dispositif de facturation électronique
- l'analyse ou les analyses d'impact relatives à la protection des données (AIPD) réalisées au titre de l'article 35 du RGPD concernant les traitements relevant de la DGFiP dans le cadre de la facturation électronique, ainsi que leurs éventuelles mises à jour ;
- les analyses de risques relatives à la protection des données à caractère personnel associées à ces traitements ;
- les documents d'homologation de sécurité correspondants et/ou les décisions prises à l'issue de ces procédures ;
- les rapports, conclusions ou synthèses des audits et évaluations de sécurité réalisés en vue de la mise en service du dispositif ;
- les avis ou recommandations du délégué à la protection des données relatifs à ces traitements ;
- le cas échéant, les documents relatifs à une consultation préalable de la CNIL effectuée au titre de l'article 36 du RGPD.
- toute analyse, réévaluation ou actualisation des risques effectuée à la suite de ces incidents et concernant directement ou indirectement le dispositif de facturation électronique ;
- toute mise à jour, réexamen ou décision de maintien en l'état des AIPD, analyses de risques ou homologations de sécurité à la suite de ces incidents ;
- tout rapport, avis, note, compte rendu, synthèse ou décision achevé portant spécifiquement sur les conséquences de ces incidents pour la sécurité ou le calendrier de déploiement de la facturation électronique ;
- tout document achevé constatant les mesures correctives ou compensatoires décidées à la suite de ces incidents lorsqu'elles concernent les systèmes, accès, infrastructures ou traitements participant au dispositif de facturation électronique ;
- tout document achevé établissant que les risques résultant ou susceptibles de résulter de ces incidents ont été réévalués avant la décision de maintenir l'échéance du 1er septembre 2026 ;
- la décision, note, validation, le compte rendu ou tout autre document administratif achevé formalisant le maintien de cette échéance après les incidents précités, ainsi que, le cas échéant, les avis techniques, juridiques ou de sécurité sur lesquels cette décision s'est fondée ;
- tout document achevé permettant d'identifier l'autorité ou le service ayant procédé à cette réévaluation et l'autorité ayant validé le maintien du calendrier.
Aucun commentaire:
Enregistrer un commentaire