Cyberattaque à la DGFIP: faire face, protéger et tirer les enseignements
Les organisations syndicales ont été reçues ce 18 août par la directrice générale pour faire le point sur les attaques informatiques qui touchent la DGFiP.
La CFDT-CFTC veut d’abord le rappeler : une cyberattaque n’est pas une faute de la DGFiP. Aucune administration n’est aujourd’hui à l’abri de ce type de menace. Face à cette attaque, la priorité doit être de protéger les données, les agents et les contribuables, puis de tirer tous les enseignements de ce qui s’est passé.
Des mesures de sécurisation prises immédiatement
La DGFiP a engagé plusieurs mesures d’urgence : coupure de l’accès au PIGP, y compris pour les partenaires et malgré la double authentification, fermeture de certains accès à E-contact, Ficoba, Ficovie et au cadastre.
La direction générale a également annoncé la réinitialisation de l’ensemble des mots de passe des applications DGFiP, ainsi que celle de la double authentification des comptes particuliers sur impots.gouv.fr.
Ces mesures peuvent être contraignantes pour les agents, mais elles sont nécessaires. La situation reste évolutive et les investigations se poursuivent. La DGFiP a par ailleurs confirmé le signalement à la CNIL et le dépôt d’une plainte.
Les premiers éléments font état d’environ 350 000 particuliers et 250 000 professionnels concernés par la fuite liée à E-contact et d’environ deux millions de personnes pour les données cadastrales. Ces chiffres doivent encore être consolidés. Le portail des successions vacantes a également fait l’objet d’une attaque hier.
Après l’attaque, renforcer durablement la sécurité
La CFDT-CFTC l’a rappelé lors de la réunion : le risque zéro n’existe pas en matière de cybersécurité.
Cela ne dispense évidemment pas de tirer les enseignements de chaque attaque. La CFDT avait encore alerté la direction générale en avril sur les risques cyber lors du dernier groupe de travail SI.
Le retour d’expérience devra notamment porter sur la détection des intrusions, la sécurisation des accès, les relations avec les tiers et les dispositifs d’authentification. Les incidents récents concernant le PIGP montrent également l’intérêt de poursuivre le renforcement de ces dispositifs.
Mais cette exigence ne concerne pas seulement la DGFiP.
La France accuse toujours un retard dans la transposition de la directive européenne NIS2, qui vise précisément à renforcer la cybersécurité et la résilience des systèmes d’information. Son délai de transposition était fixé au 17 octobre 2024 et elle n’est toujours pas pleinement transposée en droit français.
La cybersécurité doit être une priorité de l’État. La DGFiP doit disposer des moyens humains, techniques et budgétaires nécessaires pour protéger un système d’information aussi stratégique et les données qui lui sont confiées.
Protéger les agents et les contribuables
Les agents sont directement exposés aux conséquences de cette crise. Ils doivent répondre aux inquiétudes des contribuables alors même que les investigations sont encore en cours. Ils doivent aussi faire face aux réactions parfois agressives, voire aux insultes de certains usagers qui leur font porter une responsabilité qui n’est pas la leur.
Les agents ne sont responsables ni de l’attaque, ni des choix techniques du système d’information. Ils n’ont pas à devenir les boucs émissaires de cette crise.
L’alliance demande donc une information régulière des agents, des consignes claires et une protection fonctionnelle lorsque cela est nécessaire. Un véritable retour d’expérience devra également être organisé avec les personnels.
La question des conséquences pour les contribuables devra elle aussi être suivie dans la durée. Si les données volées étaient ultérieurement utilisées pour une fraude ou une usurpation d’identité, comment les victimes seraient-elles accompagnées et comment les responsabilités seraient-elles déterminées ? La CFDT-CFTC a posé cette question lors de la réunion ; la direction générale a indiqué qu’elle devait être approfondie.
Défendre la DGFiP, c’est aussi lui donner les moyens
La DGFiP est une administration essentielle de l’État et une cible particulièrement exposée compte tenu de la nature et du volume des données qu’elle détient.
Elle doit être soutenue dans cette épreuve.
Pour la CFDT-CFTC, il ne s’agit ni de nier les difficultés ni de rechercher des responsabilités individuelles. Il faut comprendre les failles, renforcer les protections et donner à la DGFiP les moyens de faire face à une menace qui ne fera que s’accroître.
L'alliance CFDT-CFTC demande donc que les enseignements de cette crise soient examinés avec les organisations syndicales, notamment dans le cadre d’un groupe de travail dédié à la sécurité des systèmes d’information.
La sécurité numérique est désormais une condition de la continuité et de la confiance dans le service public. Elle doit être traitée comme telle, avec les moyens correspondants.
Face à cette attaque, la DGFiP doit pouvoir compter sur ses agents. Et les agents doivent pouvoir compter sur leur administration et sur les moyens que l’État lui donne.
