Piratage de la DGFiP : la CNIL va enquêter sur place, 670 000 personnes concernées

La Commission nationale de l'informatique et des libertés (CNIL) a annoncé qu'elle allait dépêcher ses équipes dans les prochains jours au sein de la Direction générale des finances publiques (DGFiP), après un piratage qui aurait exposé les données fiscales de plus de 670 000 personnes.

Un contrôle sur place pour comprendre les failles

Marie-Laure Denis, présidente de la CNIL, a confirmé le déplacement de ses services :

« J'ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques » — Marie-Laure Denis, présidente de la CNIL.

Cette visite doit permettre à la CNIL de comprendre les dysfonctionnements techniques et organisationnels qui ont permis la fuite, avant de déterminer les suites à donner.

Mise en demeure ou sanction avant la fin de l'année

Selon les éléments recueillis, la CNIL pourrait émettre une mise en demeure ou, si les manquements s'avèrent caractérisés, prononcer une sanction financière d'ici la fin de l'année. Rien n'est acté à ce stade : ces suites dépendent des conclusions du contrôle sur place, qui n'a pas encore eu lieu.

Une enquête judiciaire en parallèle, un suspect déjà écroué

Ce volet CNIL s'ajoute à deux autres procédures ouvertes depuis la révélation du piratage. Le parquet de Paris a lancé une enquête judiciaire, qui a déjà abouti à la mise en détention provisoire d'un suspect de 18 ans (voir notre article). De son côté, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) mène un audit technique approfondi des systèmes du fisc, dont les conclusions n'ont pas encore été rendues publiques.

Un été noir pour les fichiers de l'État

Cette affaire intervient dans un contexte déjà tendu pour les administrations françaises : un précédent piratage avait touché l'Agence nationale des titres sécurisés (ANTS), exposant les données de 12 millions de comptes. La multiplication de ces incidents interroge sur la robustesse des systèmes d'information publics face à des attaquants de plus en plus déterminés — un constat que confirme, dans un tout autre secteur, la campagne de trois ans qui a visé les études notariales françaises (notre article).

À ce stade, ni le vecteur d'intrusion initial ni l'ampleur exacte des données réellement exploitées par les attaquants n'ont été détaillés publiquement par la DGFiP. La prudence reste donc de mise sur l'étendue précise du préjudice, au-delà du chiffre de 670 000 personnes concernées.

Source

Clubic.