Et une, et deux, et trois cyber-attaques. Après les professionnels et particuliers, les informations cadastrales, ce sont les données liées aux successions qui ont été dérobées. C’est le mardi 18 août que Bercy a décidé de prendre la parole lors d’un point presse. David Amiel, ministre des Comptes publics et Amélie Verdier, directrice générale des finances publiques ont dévoilé leur plan pour faire face à ces attaques.
Au total, les hackers ont dérobé par moins de 678 000 données fiscales de particuliers et de professionnels. On trouve aussi dans leur hack, les données de successions tout comme celles qui concernent des plans cadastraux. Plus récemment, ce 19 août, ce sont les informations de réservation de clients Sport 2000 qui ont été dérobées par les deux hackers, surnommés Zerobytes. Face à l’ampleur de ces attaques, Bercy a décidé de répondre par une série de mesures visant à protéger leur service, et les français par ricochet.
La généralisation de la double authentification
Mais qu’est ce que la double authentification ? Cette méthode, vous l’utilisez déjà peut être. Elle permet de recevoir un code (par mail, SMS ou sur une application dédiée) lorsque vous tentez de vous connecter à un site internet. Pour les agents de la Direction générale des finances publiques, cette méthodes n’était pas obligatoire ni généralisée. Les hackers ont donc exploitée une faille humaine plutôt qu’en brisant la sécurité de Bercy.
Dans les faits, les hackers se sont emparés des codes de connexion d’au moins trois personnes habilitées. Parmi les comptes, figuraient celui d’un agent interne de l’administration fiscale, celui d’un agent travaillant dans une autre administration partenaire ainsi que le compte d’un tiers extérieur autorisé. En utilisant identifiants de ces fonctionnaire, pas besoin de forcer les comptes individuels des usagers. Il sont entrés par les outils internes de l’administration. Même si le compte d’un agent a bien été fermé dans la foulée, les investigations n’ont rien donné. Ce n’est que 7 semaines plus tard que le fisc a appris le vol.
David Amiel annonce que dans les prochains mois, il va y avoir une intensification des campagnes internes de sensibilisation. En clair, bien qu’une seule des trois attaques ne soit liée à la double authentification, Bercy souhaite faire son maximum pour protéger les comptes de ses agents. Les formations vont être « renforcées » afin de prendre en comptes ces récentes attaques.
À lire aussi : Elle se fait passer pour une femme musulmane : la streameuse Emmodem au cœur d’une polémique
Bercy va payer des « hackers éthiques » pour détecter les failles
C’est la nouvelle la plus intéressante de la conférence de presse : Bercy va faire appel à des « hackers éthiques » pour les aider à identifier les problèmes. Le système s’appelle le « bug bounty ». Le ministre affirme que cette méthode va leur permettre de « détecter nos vulnérabilités plus vite». Ce terme signifie « prime à la faille » et désigner le fait de payer une personne afin qu’elle teste les systèmes informatiques d’une société ou d’une administration. L’État devra donc mettre la main à la poche.
Cette méthode est largement utilisé outre Atlantique. En 2025, Google a versé 17 millions de dollars à plus de 700 hackers éthiques. De son côté, Apple a donné plus de 35 millions de dollars entre 2019 et 2025 à 800 chercheurs en sécurité. De cette façon, les entreprises se mettent les hackers de leur côté avec des primes plus qu’intéressantes. Par exemple, Microsoft peut offrir jusqu’à 250 000 dollars par faille trouvée. Le but est d’offrir des primes supérieures à ce que le marché illégal peut offrir.
Dans les faits, est-ce que l’État peut offrir des primes aussi intéressantes ? En 2025 l’État a distribué 6925 euros de primes aux hackers dans le cadre de son partenariat avec l’entreprise YesWeHack. Reste a savoir avec quel budget ces action vont être menées. À l’issue de cette conférence de presse, aucune information détaillée à ce sujet.
De l’IA et une nouvelle unité spéciale
Sébastien Lecornu a adressé un courrier au secrétaire général de la défense et de la sécurité nationale. Dans celui-ci, il évoque une situation qui n’est « pas acceptable« . Il fait référence au fait que peu de ministère ont aujourd’hui le niveau de défense requis. C’est ainsi qu’il demande la création d’une équipe d’agents de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Son rôle sera d’intervenir dès le premiers instants ou une attaque est détectée. Le but n’est pas de remplacer l’actuel ANSSi mais de déployer des personnes là ou il y a une attaque. Le premier ministre demande aussi un retour d’expérience après chaque intervention.
Quant à l’intelligence artificielle, le gouvernement s’appuiera dessus afin de renforcer ses systèmes. Le but est de tester les systèmes informatiques en simulant des attaques afin de déceler les vulnérabilités. David Amiel demande à ce que dès le mois de septembre des outils soient opérationnels. C’est à la Direction interministérielle du Numérique (Dinum) de s’en charger. Le ministre évoque Mistral AI afin de les aider dans cette tâche.
En plus de cela, l’ANSSI mène un audit sur la sécurisation des systèmes du fisc. Elle doit rendre ses conclusion en septembre.