Le vol des données des données publics continue

Sommaire

• En quoi ça te concerne
  • Le compteur de l’été, en un coup d’oeil
  • On avait prévenu, comme une asso
  • Jour J : une plateforme percée le 1er septembre
  • Et maintenant, l’État débranche une plateforme
  • La France a mal à son web : quand la contrainte numérique devance la sécurité
  • Le vrai scandale, c’est la légèreté
  • Souviens-toi du logiciel Scribe
  • Et demain, ça recommencera
  • Alors, on fait quoi ?
• Notes de bas de page :
  • Partager :

Et oui, revoici pour ton plus grand plaisir, le feuilleton de l’été. Non, pas de l’été. Plutôt de l’année. Intitulé, et je te demanderais de te décoiffer avant de le lire : la France a mal à son web. À inscrire en lettres de feu sur les frontons des bâtiments de la République. Et je n’exagère pas. Crois-moi. Oui, le prix de l’essence a augmenté. Comme le coût de la vie. C’est important. Comme la fuite de nos données. Dernier épisode en date, justement, la facturation électronique. Elle est obligatoire depuis le 1er septembre, pour toutes les entreprises. Et dans le mois qui suit, deux plateformes du secteur fuitent. Mais arrête-toi là. Le vol n’est pas le sujet.

Voici le sujet. On a branché les données de toutes les entreprises de France sur un système neuf. Sans vérifier qu’il tenait l’eau. En pleine année record de vols. Ceux qui ont déployé ce système avaient sous les yeux toutes les raisons de le tester avant. Ils ont regardé après. Ce papier dit deux choses. D’abord, on avait prévenu, en relayant une asso que personne n’écoutait. Ensuite, et c’est le plus grave, ceux qui ont installé ce système l’ont fait avec une légèreté coupable. Le vol n’est qu’un symptôme. La vraie maladie, c’est de ne rien vérifier, parce qu’on ne sera jamais puni pour ça.

En quoi ça te concerne

Tu diriges une entreprise. Une toute petite ? D’une personne. Ou une très grosse ? Plus de dix mille employés. Résultat, tu es embarqué de force dans un système que personne n’a éprouvé avant de te brancher dessus. Depuis le 1er septembre, en effet, tu dois recevoir tes factures par une plateforme agréée¹. Pas le choix. C’est ainsi. Cela t’est imposé. Et si tu ne veux pas passer sous ses fourches caudines ? Pas la prison. Enfin, faut l’espérer. Mais des amendes. Des panpan-cucul. Même si tu factures trois clients par mois. Ou quinze mille. Pareil. Désormais, tes données commerciales passent par des tuyaux que tu n’as pas choisis. Et surtout que tu ne contrôles pas. Mais tu fais confiance. Normal. C’est l’État qui gère cela. Qui t’assure que tout est sous contrôle. Alors si l’État le dit, on ne va pas remettre sa parole en question.

Or deux de ces acteurs viennent de fuiter en un mois. Du coup, tes coordonnées, celles de tes clients, celles de tes fournisseurs peuvent déjà se balader. Pas tes factures elles-mêmes, pas encore. Mais le carnet d’adresses, oui. Et avec un carnet d’adresses pro, on fabrique, concrètement, des courriels piégés d’un réalisme redoutable. Tu sais ce qui te reste à faire ? Mettre un cierge au saint patron des voleurs. En espérant qu’il ne te gâche pas la vie. Retiens surtout ceci. En effet, ce ne sont pas tes choix qui ont ouvert la porte. Ce sont ceux qui t’imposent le système. Et surtout qui ne l’ont pas vérifié avant de te le rendre obligatoire. Je n’invente rien. Je te présente les déclarations. Tu vas apprécier.

Tu es un simple particulier ? En quoi cela te concerne ? Tout autant. Pour une raison simple : la confiance. Celle que tu portes à l’État dans lequel tu vis. Éroder cette confiance, c’est briser le lien avec ses représentants. C’est ne plus croire au facteur, au policier ou à l’agent des impôts. C’est douter de cet État protecteur, garant de tes droits et de tes libertés. Voilà en quoi cela te touche directement.

Le compteur de l’été, en un coup d’oeil

Maintenant, arrêtons-nous quelques instants sur la suite de notre feuilleton de l’été. Rappelle toi, il avait été demandé à l’ANSSI d’enquêter sur les causes des fuites à la DGFiP. Le 23 septembre elle a rendu son rapport sur le vol de données au fisc. Juste un petit rappel. La DGFiP se fait voler au mois de juin des données. Les tiennes. Ou celles de ton voisin. Le souci, c’est que nos spécialistes en cybersécurité de Bercy n’ont rien vu. Et c’est le voleur à la mi-août qui annonce le vol. Gêne du côté du ministère avec des annonces qui sont assez ubuesques. Le ministère avait annoncé, le 14 août, un total de 678 000 personnes. L’agence, de son côté, en compte environ 605 000. Personne n’explique l’écart. Et le chiffre officiel de 678 000 ? Il reprend, arrondi, la revendication publiée deux jours plus tôt par le voleur lui-même. Si j’ai bien compris, l’État fait maintenant confiance aux voleurs. Puisqu’il a repris ses chiffres. Tu trouveras dans les sources tous les articles qui ont été publiés ici même et traitant de ces vols de données.

Ci-dessous le déroulé des vols au fisc et au cadastre ainsi que des opérations effectuées par la suite. Et je rappelle que tout cela été documenté ici même dans de précédents articles, que tu peux retrouver dans les sources situées en bas.

Au-delà du fisc, le même document recense 99 violations de données depuis le 1er août. Pas une. Quatre-vingt-dix-neuf. Parmi les dix-sept entités victimes, figure même le laboratoire d’innovation de l’agence. Celui qui tient le compteur est dessus. Je veux bien sûr parler de l’ANSSI. Voilà le décor. Un été où tout le monde se fait voler. L’État comme les autres. Tu penses que tout le monde est sur le pont. Surtout nos super-agents de la cyber équipe que le gouvernement a demandé de créer. Le couteau entre les dents. À trucider le premier voleur qui pose ne serait-ce qu’un ongle sur les portes fermées ouvertes des serveurs de l’État. Dans tes rêves. Et c’est précisément dans ce décor qu’on décide de brancher les factures de tout le pays. Sans broncher.

On avait prévenu, comme une asso

Rembobinons jusqu’au 29 août. Trois jours avant le 1er septembre. Ou il fait obligation à partir de cette date aux entreprises de recevoir les factures au format électronique. Via un processus sécurisé. À l’époque, on racontait ici qu’une association anti-corruption avait déposé plainte, dans la foulée du vol au fisc. Elle demandait deux choses. D’abord, faire la lumière sur les intrusions. Ensuite, reporter la réforme tant que la sécurité n’était pas prouvée. C’était d’ailleurs écrit noir sur blanc dans son communiqué. Elle doutait. À raison. Son raisonnement était simple. Au moment précis où les tuyaux de l’État prennent l’eau, on s’apprête à y déverser les données de millions d’entreprises. Le calendrier, au fond, avait le sens de l’ironie.

Face à ça, Bercy n’avait pas cillé. Bien au contraire. David Amiel, ministre des Comptes publics, bombait le torse sur RTL le 24 août. Verbatim : « Les exigences de sécurité qu’on a demandées aux plateformes agréées sont supérieures à ce qui existe en Italie et en Espagne. » Les plus élevées d’Europe, rien que ça. Encore jeune, le monsieur. Doit croire au Père Noël ? Même pas. Je dirais plus simplement qu’il a cru ce que lui disais le technicien. A tord. Et tu vas voir pourquoi je dis cela. En tout cas, le ministre en est à jurer qu’il n’aurait pas la main qui tremble pour couper une plateforme fautive. Le shérif, quoi. Grosse étoile. Gros couteau. Ouh, qu’il fait peur, le monsieur.

Huit jours plus tard, pourtant, le même homme a changé de disque. N’est plus le shérif. Poigne de fer et coup de menton ? Fini. Au placard. Fini, le plus sûr d’Europe. Fini, le torse bombé. Désormais, les plateformes « devront faire la preuve en continu » de leur sécurité. Et « si la preuve du plus haut niveau de sécurité n’est pas assurée, les opérations d’une plateforme seront suspendues ». Traduis : je ne garantis plus rien. Je regarde, et si ça pète, je coupe. Du champion d’Europe on passe au vigile de nuit, en une semaine. Performance absolue. Pas mieux.

La grande patronne du fisc en remettait une couche. Amélie Verdier, directrice générale des Finances publiques, quelques jours avant le lancement : « On est techniquement prêts pour cette réforme. » Prêts. Le vol au fisc, alors ? « Aucun lien, aucun. » Deux fois le mot, soit, pour être bien sûre. Circulez, tout va bien, on te dit. Moi, je sais. « Et puis trop compliqué à t’expliquer. » Combien de fois j’ai entendu cette phrase, quand dans ma vie professionnelle, je faisais remarquer une éventuelle fuite de données ? À un cadre supérieur. Lui aussi tenait ce langage. Et lui aussi donnait un coup menton. Triste sir !

J’avais donc relayé cette demande de report. Pas par militantisme. Simplement parce qu’elle tenait debout. Un mois plus tard, les faits ont tranché, et pas dans le sens du ministre. Dans le sens où il aurait mieux fait de se taire. C’est drôle, on ne l’entend plus.

Jour J : une plateforme percée le 1er septembre

Au 1er septembre, la réforme entre en vigueur. Et une plateforme comptable nommée Welyb découvre une intrusion. Le jour même. On ne pouvait rêver pire symbole. Welyb centralise les échanges entre cabinets comptables, entreprises et fournisseurs. Attention, ce n’est pas une plateforme agréée au sens de la réforme, mais un portail qui agrège. La nuance compte, je te la donne quand même. Elle ne change rien à ce qui a fuité.

Par ailleurs, ce qui a fuité fait mal : noms, adresses, numéros de téléphone, courriels, mots de passe hachés. Côté entreprises, les raisons sociales et les numéros d’identification. Les factures et les coordonnées bancaires, en revanche, ne semblent pas touchées à ce stade. Le volume ? Non communiqué. Vaut mieux pas. Sinon va falloir faire une distribution gratuite et importante de mouchoirs. Quant au symbole, il est limpide. Le jour où l’on rend le système obligatoire, un acteur de l’écosystème est déjà à terre. Personne n’avait vu venir. Ou plutôt, personne n’avait regardé. Mieux, simplement testé. La preuve.

Et maintenant, l’État débranche une plateforme

Fin septembre, deuxième tuile, et elle vise cette fois le cœur de la réforme. VosFactures, en effet, est candidate au statut de plateforme agréée, celui que l’État délivre. Mais regarde par où c’est entré. Pas par la plateforme elle-même. Par un prestataire technique externe, à l’étranger. Tout est parti d’un générateur de PDF, le composant qui fabrique les factures à partir de modèles. L’attaquant aurait notamment exploité une faille de ce composant. Il aurait ensuite atteint des fichiers de configuration bourrés de clés techniques. De là, un accès en lecture à une copie de la base de production. Encore une fois, c’est par la périphérie que l’attaque arrive.

Vois-tu le motif ? La vitrine, elle, est certifiée. L’éditeur assure toutefois que son environnement sécurisé n’a pas été touché. Le trou n’était pas dans la vitrine. Il était en amont, dans un maillon sous-traité que personne ne regardait d’aussi près. Voilà où ça devient gênant. L’agence qui pilote les échanges de l’État a, cependant, coupé la plateforme par précaution, le temps des vérifications. Lis bien : le temps des vérifications. On vérifie donc après la fuite. Pas avant de brancher. On ne teste pas avant. On teste pendant. Un peu comme les versions de Windows. L’utilisateur payeur est le testeur. Et là, pas grave si l’écran bleu de la mort s’affiche. On continue.

Le plus cinglant tient d’ailleurs en une phrase. Aucune donnée de facturation n’avait encore été transmise à l’État par ce canal. La réforme n’avait pas acheminé une seule facture, qu’un de ses maillons prenait déjà l’eau. Tu peux pleurer. Et le meilleur est à venir. 

Le vrai scandale, c’est la légèreté

Prends de la hauteur, un instant.. Le scandale n’est pas qu’une plateforme se fasse pirater. Ça arrive, ça arrivera encore. Le scandale, c’est d’avoir rendu un système obligatoire sans s’assurer qu’il ne fuyait pas. Reprenons dans l’ordre. On fixe une date, le 1er septembre. On y raccorde les données de millions d’entreprises. Et on ne cartographie qu’après coup qui ramasse quoi. Par quels sous-traitants, avec quelles failles. Concrètement, la chaîne compte des dizaines de maillons. Or il suffit d’un seul troué.

Surtout, personne ne pourra dire qu’on ne savait pas. L’été venait d’aligner le fisc, le cadastre, et l’agence elle-même. Et je ne te parles même pas des vols ayant eu lieu cet hiver et au printemps. Et de tous ceux qui chaque jour ont lieu. Dans des services de l’Etat. Comme dans des entreprises. Associations. Fédérations. Etc…. Bref, à l’époque les signaux clignotant étaient partout. Les responsables de la réforme avaient donc toutes les raisons de tester, d’auditer, de durcir avant d’ouvrir les vannes. Ils ont préféré tenir le calendrier.

Pire, l’aveu est écrit noir sur blanc. Le communiqué du jour J promet de « généraliser les tests d’intrusion dès cet automne ». Relis bien. Dès cet automne. Or l’automne ne commence pas le 1er septembre, que je sache. Il débarque trois semaines plus tard, vers le 22. Pendant ces trois semaines, donc, le pays entier facture par des tuyaux que personne n’éprouve. On branche, puis on teste. Dans la foulée, les plateformes doivent même « remettre à l’administration avant fin septembre un point de suivi sur leur cybersécurité ». Soit un bilan de sécurité à rendre après avoir ouvert les vannes. Bref, imagine le pompier qui contrôle les extincteurs pendant l’incendie. Voilà, en clair, la méthode. On ouvre, on teste, on prie. On se fait voler. Et après on se regarde en disant “Oh, zut. Mais pourquoi ? Je ne comprends pas.”

Quant aux volumes volés, prudence. L’attaquant de VosFactures revendique six téraoctets. Chiffre repris partout, vérifié nulle part. On ne bâtit rien dessus, évidemment. Au fond, le sujet n’est pas combien on a volé. En clair, le sujet est qu’on n’a rien vérifié. Car qu’il s’agisse d’un vol d’un octets ou de plusieurs tétraoctets, le fait principal est le vol. Et comment cela a-t-il été effectué ?

Souviens-toi du logiciel Scribe

Besoin d’un exemple d’une inaction patente ? En voici un, et il est énorme. Scribe devait être le logiciel de rédaction des procédures de la police.² Son élaboration  a été lancée en grande pompe fin 2015. Au fond, l’objectif, c’était la procédure pénale enfin dématérialisée. Résultat, onze ans plus tard, un outil toujours pas opérationnel. Puis le projet a été enterré. Mais ce n’est pas le plus grave. 

Veux-tu une image de la légèreté lors de l’élaboration de cette application ? La voici. Le comité censé piloter le chantier devait se réunir une ou deux fois par an. De fait, il s’est réuni pour la première fois trois ans après le lancement. Et quatre fois en tout. Voilà le soin qu’on a mis à surveiller des millions d’argent public. Et après, on te crame ton compte en banque, si tu as oublié de déclarer quelques dizaines d’euros. 

Une autre image de ce qui a mis à mal ce chantier ? Aucun cahier des charges réellement élaboré. En effet, personne parmi les décideurs ne savaient s’il fallait construire un outil statistique. Ou élaborer un vrai outil performant pour un traitement rapide, efficace des dossiers de Police. Combien, justement cela t’aura coûté ? Comme à moi. A ton voisin aussi. Et à tous les français. ? La Cour des comptes retient un préjudice de 31,2 millions d’euros pour l’État. Et encore. Le dossier d’instruction, lui, chiffrait jusqu’à 257,4 millions, en comptant le temps perdu par chaque enquêteur. Absence de cadrage, pilotage éclaté, prestataire mal surveillé. Bref, la négligence en version grand format. 

La sanction, alors ? Elle est tombée fin août 2026. Six responsables condamnés, notamment deux anciens patrons de la police. Montant total des amendes : 18 002 euros. Pour trente et un millions de préjudices.  Retiens bien ce rapport. Trente et un millions d’un côté. Dix-huit mille euros et deux euros de l’autre. Voilà le prix de l’incompétence, les rares fois où l’on daigne la chiffrer.

Et demain, ça recommencera

Je vais te faire une prédiction. Elle ne me coûte rien, tant elle est sûre. Demain, un autre fichier de l’État fuitera. Bercy. Ou un ministère voisin, se fera encore voler des données. Pas peut-être. Sûrement. Pourquoi une telle assurance ? Parce que rien ne pousse vraiment à changer. Scribe vient de le montrer : trente et un millions envolés, dix-huit mille euros et deux euros d’amende. De fait, celui qui décide ne risque presque rien. Il lance un système bancal, il se fait piller, et sa carrière continue, évidemment.

Compare, d’ailleurs, avec le privé, c’est édifiant. Un opérateur télécom a été condamné à 42 millions d’euros ³par le gendarme des données, début 2026. Le motif ? Avoir mal informé ses clients d’une fuite. Un courriel incomplet, 42 millions. L’État, en revanche, ne peut pas être frappé de cette amende. La loi l’en protège.

Résultat, l’asymétrie est totale. D’un côté, le privé tremble, teste, provisionne. De l’autre, l’État impose, branche, et ne risque qu’une amende dérisoire, des années plus tard. Ainsi, tant qu’une erreur ne coûtera rien à celui qui la commet, on rejouera la même scène. Encore. Toujours.

Alors, on fait quoi ?

Tu es patron. Rien de ce qui précède ne te dispense de te mettre en règle. L’obligation tient. La plainte suivra son cours. Très lentement, et le bâton fiscal, lui, tombera vite. Pour toi, pas pour eux. Ce que tu peux exiger, en revanche, c’est du sérieux. D’abord, choisis une plateforme réellement agréée. Pas seulement candidate, et vérifie-le sur la liste officielle. Demande par ailleurs où sont hébergées tes données. Qui sont les sous-traitants. Car la fuite VosFactures est passée par l’un d’eux. Enfin, surveille le prochain point de situation de l’agence. S’il cesse de paraître, ou s’il paraît sans chiffres, tu sauras quoi en penser.

Pour le reste, garde une chose en tête : le voleur, lui, n’a fait que son travail de voleur. On pourrait presque le remercier d’avoir révélé ce que des agents de l’État voulaient cacher. La vraie faute est ailleurs. Elle incombe à ceux qui ont laissé la porte grande ouverte sans vérifier la serrure, alors même que les cambriolages se multipliaient. À ceux qui dorment tranquilles, persuadés de leur impunité. Leur négligence ne brise pas seulement un système : elle dissout le pacte social entre l’État et les citoyens. Et sans confiance, il n’y a plus de vie démocratique ni de pacte républicain qui tienne.

Notes de bas de page :

1. Plateforme agréée : intermédiaire immatriculé par l’administration, par lequel transitent les factures électroniques et certaines données transmises au fisc. La liste officielle est publiée par impots.gouv.fr. Être candidat à l’immatriculation n’est pas être immatriculé. ↩︎
2. Le logiciel Scribe : outil de rédaction des procédures de la police nationale, lancé fin 2015 et jamais rendu pleinement opérationnel. Le 28 août 2026, la chambre du contentieux de la Cour des comptes a condamné six responsables du ministère de l’Intérieur, pour un préjudice retenu de 31,2 millions d’euros et 18 002 euros d’amendes au total. ↩︎
3. La sanction de 42 millions : début 2026, la CNIL a condamné un opérateur de télécommunications et sa filiale mobile à 42 millions d’euros, notamment pour une information des clients jugée incomplète après une fuite. En France, la CNIL ne peut pas infliger une telle amende à l’État. ↩︎