Le fiasco des serveurs de l'Etat : Analyse d'une faille systémique !

L'émission aborde un sujet majeur : la cyberattaque subie par la Direction Générale des Finances Publiques (DGFIP) en France, qui a compromis les données de centaines de milliers de particuliers et de professionnels. Cet événement est analysé non pas comme un incident isolé, mais comme la manifestation d'une faillite systémique annoncée, mettant en lumière des lacunes profondes dans la cybersécurité des administrations publiques françaises. La chronologie des faits est accablante : la DGFIP a confirmé le 14 août avoir subi deux intrusions, fin juin et fin juillet. L'ampleur du vol n'a été pleinement comprise que le 12 août, lorsque le pirate, utilisant le pseudonyme "Z0 bytes", a divulgué les données sur un forum public. Il revendique avoir les informations de 678 437 personnes, un chiffre confirmé, incluant 392 867 particuliers, 28 570 professionnels, et 386 personnes dont le patrimoine dépasse le million d'euros. Jérémy Michel, l'un des intervenants, souligne que la méthode d'intrusion n'était pas sophistiquée. Il s'agissait d'une compromission de compte, où le pirate a obtenu un accès légitime via le compte d'un fonctionnaire. Cela soulève deux questions fondamentales : comment cet accès a-t-il été obtenu (ingénierie sociale, mot de passe faible, etc.) et pourquoi n'y avait-il pas de double authentification ? De plus, il est jugé anormal qu'un seul compte d'agent puisse avoir accès à une telle quantité d'informations sensibles. Jérémy prend l'exemple de sa propre entreprise, où les habilitations sont différenciées selon les rôles, même pour une petite structure. Le fait qu'un compte puisse exfiltrer des données par petites quantités sur une longue période, sans être détecté par les solutions de cybersécurité censées repérer ce type de comportement, est également un signe de défaillance. L'absence de double authentification est un point particulièrement critique. Le ministère a annoncé, 48 jours après l'annonce du pirate, que la généralisation de l'authentification multifactorielle serait une mesure phare. Cette annonce est perçue comme un aveu de la faiblesse passée et un signal désastreux envoyé aux hackers du monde entier, leur indiquant que les agents du fisc n'étaient pas protégés par cette mesure de sécurité de base. La double authentification, même par SMS, est considérée comme un minimum, le mieux étant une clé physique ou la biométrie. Au-delà des aspects techniques, la discussion s'oriente vers les problèmes structurels. Jérémy critique la réaction du gouvernement, notamment la création d'une "task force cyber" par Sébastien Lecornu, la qualifiant de simple communication. Il compare cela à la création d'une task force pour éteindre un feu alors que les pompiers existent déjà et ont des outils adaptés. Le problème n'est pas conjoncturel mais systémique. Les intrusions à la DGFIP s'inscrivent dans une série d'attaques subies par d'autres entités publiques, comme le serveur des données cadastrales et le ministère de l'Intérieur. La cause profonde de ces problèmes est identifiée comme la lourdeur et l'inertie du service public. Jérémy décrit l'administration comme un "paquebot, un mammouth immobile" où la réforme est impossible et l'initiative étouffée par des strates hiérarchiques pléthoriques. Une bonne idée, comme la mise en place de la MFA, peut être bloquée par des arguments de tradition, de budget ou de procédures administratives complexes. Il existe également une tension entre les départements DSI et cyber, la DSI pouvant bloquer les initiatives de cybersécurité. La complexité opérationnelle est un autre facteur. Le système d'information de l'État est tentaculaire, avec des centaines d'applications, dont beaucoup sont des "legacy systems" dont le codeur est parti à la retraite ou décédé, rendant toute intervention risquée. L'utilisation de solutions open source, dont les équipes de développement sont parfois dissoutes, ajoute à cette complexité. Un parallèle est fait avec le secteur bancaire, qui rencontre des problèmes similaires de systèmes legacy et de briques open source. Cependant, dans le secteur privé, les fuites de données ont des conséquences directes (perte de clients, amendes réglementaires, licenciements), ce qui incite à une plus grande réactivité. Dans le service public, il y a un problème d'irresponsabilité. La question de qui est responsable est posée, pointant le ministre comme le fusible naturel, mais sans ministre spécifique de la cybercriminalité, la responsabilité est diffuse entre le ministre du numérique et celui de l'économie. Le manque de transparence sur les causes des défaillances et l'absence de sanctions sont regrettables. Fred Montagnon renchérit sur le manque de culture informatique au sein des services décisionnels. Le fait qu'un seul accès puisse permettre de drainer autant de données est aberrant. Il met en avant l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI), un service technique compétent qui alerte depuis des années sur le manque de moyens et la fragmentation technologique, mais qui n'a pas le pouvoir d'imposer des amendes ou de trouver des responsables. Le contraste est frappant avec les entreprises privées, qui sont lourdement sanctionnées en cas de fuite de données. La discussion met en lumière le manque de profils techniques aux postes de décision politique. Hormis Nathalie Kosciusko-Morizet, la plupart des secrétaires d'État au numérique n'ont pas de formation ou d'expérience technique. Anne Lenan, l'actuelle secrétaire d'État, est reconnue pour sa conscience des enjeux cyber, mais le fait que cela n'ait pas empêché les intrusions interroge sur son pouvoir réel et sur l'écoute dont elle bénéficie. Vincent Struble, le directeur de l'ANSSI, est également jugé trop silencieux, suggérant qu'il pourrait être muselé. NG Ismaël apporte une perspective plus nuancée, en comparant la situation française à celle d'autres pays. Il cite des cyberattaques majeures à Taïwan (pays à la pointe de la technologie), aux États-Unis (réseau de l'eau attaqué par des Iraniens, dit-il), et au Royaume-Uni (police britannique). Il souligne que les fuites de données sont un phénomène mondial et que la France n'est pas un cas unique. Il met en avant le problème de la culture technique au sein de la fonction publique, rappelant les habitudes comme les mots de passe écrits sur des post-it. Le problème de l'attractivité des talents est également soulevé. Les meilleurs ingénieurs, notamment polytechniciens, préfèrent travailler dans le privé (comme chez Mistral AI) où les salaires sont plus élevés, plutôt que de défendre la France dans des administrations où les plafonds salariaux sont contraignants. Cependant, Jérémy nuance en rappelant l'existence de réservistes sous-utilisés et de professionnels compétents qui acceptent des salaires moindres par amour du service public. Le problème n'est donc pas un manque de compétence brute, mais plutôt un manque d'écoute des experts et un problème de gouvernance. Le "facteur Covid" est évoqué comme une possible explication, avec le passage au télétravail ayant pu entraîner des accès moins sécurisés aux systèmes. Des attaques sur d'autres entités françaises, comme l'ANRS, la Cour des Comptes, et l'ANSSI elle-même, confirment l'ampleur du problème. La conversation débouche sur la nécessité d'une prise de conscience politique et citoyenne. Les politiques ne s'intéressent pas à la cybersécurité car ils pensent que l'électorat s'en moque. L'idée de lancer un mouvement citoyen, les "gilets violets", est suggérée pour sensibiliser le public et inciter les politiques à agir. Le numérique est désormais la colonne vertébrale de l'économie française, et la sécurité des données est vitale. La question de la souveraineté numérique est remise en cause. Les intervenants se demandent si, face aux défaillances de l'administration, il ne serait pas préférable de confier la gestion des données à des entreprises privées, voire à des géants comme Microsoft, qui pourraient offrir une meilleure sécurité. Fred souligne que des acteurs comme Microsoft ou Amazon proposent déjà des solutions d'hébergement en France, répondant aux exigences de souveraineté. La France possède des compétences de pointe en cryptographie, mais le problème réside dans leur implémentation. La facturation électronique, qui deviendra obligatoire le 1er septembre, est un autre exemple de numérisation massive de données sensibles. Si le choix initial d'une plateforme publique centralisée a été abandonné au profit d'acteurs privés, les données finiront quand même par être centralisées au niveau de l'État. La question de la sécurité de ce système reste sans réponse claire. Enfin, la loi du 21 juillet sur la vérification de l'âge pour l'accès aux réseaux sociaux, qui aurait imposé la collecte massive de données d'identité, a été censurée par le Conseil Constitutionnel, notamment pour l'absence de garanties suffisantes sur la sécurité des données collectées. Cela met en évidence la nécessité d'intégrer la cybersécurité dès la conception des lois ayant des implications numériques. Le Règlement Général sur la Protection des Données (RGPD) est critiqué pour son inefficacité. Malgré ses bonnes intentions, il n'a pas fondamentalement amélioré la protection des données des Européens, qui se retrouvent toujours sur le dark web ou chez des data brokers. Le RGPD est perçu comme une réglementation trop axée sur le juridique et pas assez sur la technique, créant du business pour les avocats mais peu de valeur ajoutée réelle en matière de sécurité. La conclusion est qu'il faut plus d'ingénieurs et moins de juristes pour aborder ces problèmes avec pragmatisme. En résumé, l'émission dépeint un tableau sombre de la cybersécurité en France, marqué par des défaillances techniques (absence de double authentification, systèmes legacy), des problèmes structurels au sein de l'administration (inertie, manque de culture technique, gestion des talents), et un manque criant de prise de conscience politique. La solution passe par une réforme profonde de la gouvernance, une meilleure écoute des experts, et une sensibilisation accrue de la population aux enjeux du numérique.