Le fisc t’impose la double authentification. Pour ses agents, il n’y en a toujours pas

Sommaire

• Février, la saison des grands serments
  • Juin, le service minimum
  • Août, quand c’est le voleur qui fait le service après-vente
  • Pour ne pas te perdre dans cette histoire rocambolesque
  • Le vrai scandale tient en trois lettres : A2F
  • Deux poids, deux mots de passe
  • Et si l’État demandait à Google ?
• Note de bas de page
• On en a déjà parlé :
  • Soutenez un média libre
  • Partager :

Je ne compte plus. Oui, j’ai arrêté. Le nombre d’articles que j’ai écrits et publiés sur la sécurité des données. Oui, j’ai arrêté de compter. Le nombre de fois où je t’ai rappelé qu’une donnée volée ne vaut plus rien pour toi. Plus rien. Puisqu’elle finit en vente, sur un étal, entre les mains de malfaisants. Le nombre de fois où je t’ai expliqué les procédures, les protocoles, les bons gestes à mettre en place. J’ai perdu le compte. Dix. Vingt…

Certains me l’ont fait remarquer, d’ailleurs. Cette répétition, ce rappel sans fin, ça devenait lassant. Soit. Mais il faut croire que je ne m’étais pas adressé au bon interlocuteur. Parce que ce n’était pas à toi que j’aurais dû le marteler. C’était à l’État. Pas à l’entité, ce mot creux. Mais à ceux qui la font fonctionner. À nos gouvernants. Ceux d’il y a cinquante ans comme à ceux d’aujourd’hui. À eux tous. Leur rappeler quoi ? Que l’informatique, ce n’est pas juste un bouton sur lequel on appuie pour lancer une opération. C’est un outil. Et un outil, ça peut devenir dangereux. Dangereux pour les données qu’il stocke, si personne ne prend la peine de les protéger. Et c’est le cas aujourd’hui. Malheureusement. Avec toutes les réactions que cela va entraîner. Pour longtemps. Petit rappel pour la forme. Afin de rappeler que l’informatique au sein de l’Etat ne date pas d’hier.

Un pas en arrière. 1978. Création de la CNIL, dans la foulée de l’affaire SAFARI.¹ Depuis cette date, l’État français sait, noir sur blanc, qu’un fichier informatisé contient des données qu’il faut protéger. Un pas en avant. 2026. Le Premier ministre, Sébastien Lecornu, a reconnu qu’en termes de cybersécurité « peu de ministères sont au niveau requis » en France. Bref, que ce sont de vraies passoires. Des ministères où l’authentification à deux facteurs, l’A2F, n’existe même pas. Oui : des agents de l’État accèdent à des données importantes. Sans aucune validation de leurs accès. Identifiants volés, et hop, c’est open bar pour le voleur le moins qualifié. Et je n’exagère pas. Je rembobine et on revient au début de l’année. Fin janvier, plus précisément.

Février, la saison des grands serments

Fin janvier 2026. FICOBA, le fichier des comptes bancaires géré par la DGFiP, se fait siphonner. 1,2 million de titulaires dans la nature. 18 février 2026. Constat du vol. Panique ? Non. Communiqué. Un beau. Les équipes sont « pleinement mobilisées », on renforce, on blinde, des travaux sont « en cours » en lien avec l’ANSSI. Pas moi qui le dis, mais les communiqués. Je me serais pas permis. Bref, tout le vocabulaire rassurant du service com’. On te promet, la main sur le cœur, que la leçon est retenue. On sort la fanfare. La trompette à pistons nous fait le coup de la sonnerie aux morts. Presque. Et pour prouver leur sérieux, ils rappellent fièrement avoir déployé une double authentification. Sauf que celle-là, ils l’avaient posée sur la mauvaise porte. Pas sur celle de l’agent qui gère tes données. Lui, il n’est pas protégé. Non, sur la tienne. À toi. À moi. Nous, Français. Simples quidams. Trop bêtes pour nous protéger tout seuls, tu comprends. Besoin de l’État. Pour apprendre. Comprendre. Il nous protège. Qu’il nous dit.

Petit rappel du contexte, au passage. On ne parle pas d’un coup de tonnerre dans un ciel serein. Car le ciel est bien chargé. Lourdement, même. France Travail, l’ANTS, l’Éducation nationale, et j’en passe. Les services de l’État se font vider en série depuis deux ans. Donc pas nouveau. La directrice de la DGFiP elle-même, Amélie Verdier, l’a lâché en conférence de presse : sa maison a détecté près de sept mille attaques sur la seule année 2025. Mais on ne s’intéresse pas plus à la sécurité. Tu connais la chanson : « Tout va bien, madame la marquise. Sauf qu’il y a un petit mais… ». Autrement dit, ils savaient. Ils étaient bombardés. Et ils le savaient. Mais ils ne se sont pas posé de questions. Du genre « Ils sont bien sécurisés, les fichiers ? ». Même pas. Car arrive juin 2026. Joli mois de juin. Surtout pour les voleurs.

Juin, le service minimum

Donc le mois de juin arrive. Et là, on entre dans le grand n’importe quoi. Un intrus se glisse dans le système avec l’identité d’un agent. Un identifiant, un mot de passe, et le voilà dedans. La maison le repère. Elle coupe l’accès. Bravo, le réflexe est bon. Et puis ? Et puis rien. Oh, c’est bientôt juillet. Les vacances. La mer. Le soleil chaud. Fissa. On ferme le robinet, on range ses affaires, et basta. On verra au retour. Après les vacances ? Peut-être ! Personne ne se demande ce qui est déjà sorti par le tuyau. Détecter, oui. Vérifier le vol, non. Trop de boulot, sans doute. Ou pas assez d’envie. On a réservé la location. Payé. Pas question d’être retardé. Pourtant, en février, on disait « pleinement mobilisées, on renforce, on blinde, des travaux en cours ». Ben là ? Même pas. Je me serais posé des questions. Pas là. Tout va bien, madame la marquise…

Le plus beau, c’est qu’on avait prévenu la direction. En interne, le syndicat a alerté sur le risque d’usurpation d’identité. La réponse ? « Tout est sous contrôle. » De quoi ? On ne sait pas. Mais c’est sous contrôle. On connaît la musique. C’est la même partition qu’en février. Les mêmes mots. Le même haussement d’épaules. Le même regard qui dit : « Je suis plus calé que vous ! Moi, j’ai fait des études. Donc je sais. » Le même classement vertical du dossier. Le même « c’est trop compliqué à expliquer ».

🔴 DIRECT | Conférence de presse en réponse à la cyberattaque visant la DGFiP https://t.co/5sfn24rzYp

— Ministère de l'Économie et des Finances (@Economie_Gouv) August 18, 2026

Août, quand c’est le voleur qui fait le service après-vente

Puis vient août. Et le clou du spectacle. Comment l’État découvre-t-il qu’on lui a vidé les poches ? Par un audit interne ? Par une alerte de ses fameux capteurs ? Tu rêves, là. C’est les vacances. On transpire. On a chaud. Tout va bien… Non. Il l’apprend par qui ? Par le voleur. Qui se vante sur un forum. Sans sa vantardise, on peut légitimement se demander si Bercy aurait un jour remarqué quoi que ce soit. Et une fois le pot aux roses étalé au grand jour, les fuites tombent comme les dominos. Une fiscale : 350 000 particuliers. Une cadastrale : jusqu’à 433 485 particuliers et 1 082 professionnels. Puis une troisième, sur les successions, sortie du chapeau en pleine conférence de presse, toujours en analyse. On les découvre au compte-gouttes, au rythme où le pirate cause. C’est l’État qui apprend son propre cambriolage dans le journal. Ils ont bien regardé, au moins ? Pas une fuite qui traîne encore ? Rappelle-toi « pleinement mobilisées, on renforce, on blinde, des travaux en cours » qu’ils disaient.

Pour ne pas te perdre dans cette histoire rocambolesque

Tu trouvera ci-dessous, un graphique complet inter-actif, te permettant de naviguer dans cette saga du voleur et du volé.

Le vrai scandale tient en trois lettres : A2F

Et maintenant, le cœur du réacteur. Accroche-toi. Le mode d’entrée, en février comme en juin, c’est le compte d’un agent. Un login, un mot de passe volés, et la porte s’ouvre. Or il existe une parade, une seule, connue de tout gamin qui a déjà sécurisé sa boîte mail : la double authentification. Celle dont je t’ai expliqué l’utilité. Trop de fois ici même. Même que certains râlaient. Ils en avaient soupé de l’A2F. Avec son fonctionnement. Simple. Ce que j’ai. Ce que je connais. Le deuxième code qui bloque l’intrus même s’il a ton mot de passe. Cette parade, sur les comptes des agents de la DGFiP, elle n’était pas là. Pas en février. Ni en juin. Pas « même avant », alors que l’État brûlait de partout depuis deux ans. Ou plus. Et cela fait près de cinquante ans qu’il a mis en place l’informatisation des données.

Et quand comptent-ils enfin l’installer pour tous leurs agents de Bercy ? Le ministre l’a annoncé en grande pompe. On a sorti la fanfare. Les petits fours. Et tout le tralala pour l’annoncer. D’ici la fin 2026. Pas avant. Tu as bien lu. Il va falloir attendre encore quatre mois, après deux casses et une avalanche de fuites dans tout l’État, pour équiper leurs propres troupes d’une protection de base. Et ainsi assurer la sécurité de nos données. Pourtant, en février, on nous disait que les équipes étaient « pleinement mobilisées, on renforce, on blinde, des travaux en cours ». Ce n’est pas de la malchance. Ce n’est pas une attaque « sophistiquée », comme ils osent la qualifier. C’est du travail bâclé. Du dossier pris par-dessus la jambe. Une administration qui a regardé le danger en face pendant près de cinquante ans, et qui a choisi de remettre à plus tard. C’est vrai qu' »agacer » le contribuable est plus rentable que de sécuriser ses données.

Deux poids, deux mots de passe

Et voilà où ça devient franchement gonflé. Pendant que Bercy laissait les comptes de ses agents ouverts aux quatre vents, que faisait-il de toi ? Il t’imposait exactement l’inverse. Ton espace impôts ? Double authentification. Ta banque ? Double authentification, loi européenne à l’appui. FranceConnect, l’assurance maladie, le compte formation ? Code, appli, vérif à chaque coin de rue numérique. L’État nous a « gonflés » depuis quelques années avec cette A2F qu’il n’a pas mise en place pour protéger nos données. Oublie ton téléphone, et tu es dehors. Pas de deuxième facteur, pas d’accès à tes propres papiers.

Donc résumons. À toi, simple contribuable, l’État impose la ceinture, les bretelles et le triple nœud. Sois irréprochable, sinon tu n’accèdes à rien. Mais lui, gardien de la plus belle collection de données du pays, s’est dispensé de la mesure la plus élémentaire sur les comptes de ses propres agents. Ceux-là mêmes qui tiennent les clés du coffre. Fais ce que je dis, pas ce que je fais. Toute l’affaire tient dans cette phrase. Et pendant qu’on te fait la leçon sur ta sécurité, ce sont tes données à toi, encore, qui finissent en vente sur un forum. Et que fait l’État si demain, toi, moi ou n’importe qui se fait escroquer parce que des malfaisants auront utilisé ces données ? L’État ira-t-il en prison ? Se paiera-t-il une amende ? Une amende qui sort d’une poche pour rentrer dans l’autre. On s’assoit. On pleure. En se disant « Mais j’ai fait quoi pour vivre dans un tel pays ?« 

Et si l’État demandait à Google ?

Allez, sèche tes larmes, j’ai une solution. Plus loin. Simple. Mais d’abord, reprenons le contrat qu’on te fait signer, à toi, citoyen. Double authentification obligatoire, vigilance de tous les instants. Si tu te fais berner, c’est ta faute. Tu aurais dû faire attention. On te tient responsable du moindre faux pas. À te faire croire qu’un mot de passe trop faible te vaudrait presque la correctionnelle. J’exagère, bien sûr. À peine.

Maintenant, écoute ce que le sommet de l’État avoue pendant qu’on te sermonne. Le 19 août, le Premier ministre en personne reconnaît que « peu de ministères sont au niveau requis ». Et que « ce n’est pas acceptable ». Traduction du langage Matignon : nos ministères sont des passoires. Je sais, je l’ai dit plus haut. Mais que veux-tu, c’est beau comme une pièce de Feydeau. Sauf qu’ici, les portes claquent sur nos données. Ce n’est plus Mister Robot qui charge, râleur de comptoir, c’est le chef du gouvernement qui constate. Et sa grande riposte ? Une nouvelle cellule de crise, montée en trois jours chrono. Ils vont prendre des cadors, qu’ils ont dit. Ils auront des véhicules avec gyrophares et gros pin-pon. Peut-être même des armes. Genre GIGN ? Ou ils vont reprendre les mêmes ? Ceux de février. Ceux qui étaient « pleinement mobilisées ». On renforce, on blinde, des travaux « en cours ». Ils sont venues. Ils ont vu. N’ont rien…

Trois jours pour réunir un équipe. De cadors de cybersécurité. Voila une annonce qui rassure. Là, certains doivent transpirer. Mais pas à cause de la chaleur. Une équipe qui va faire quoi, au fait ? Que tu es bête ! Mettre en place la double authentification des agents de Bercy. Celle qu’on t’impose à toi depuis juin 2025. Pour les agents, elle n’arrivera que fin 2026. Jusque-là, c’est open bar pour les voleurs. La parade existe depuis des lustres. Et la loi qui oblige l’État à protéger nos données a cinquante ans. Cinquante ans pour ne toujours pas poser un deuxième mot de passe. Vif pour la com’. Escargot pour la serrure. On a le droit de gifler ?

Alors permets-moi une suggestion de bon voisin. Puisque toi, oui toi, l’État, tu reconnais ne pas savoir protéger mes données, voici un conseil. Simple. Facile à mettre en place. Et oublie une énième unité d’intervention. Demande à Google. Oui, Google. Lui sait très bien comment ça fonctionne. Et bien, en plus. La double authentification que tu n’arrives pas à déployer. Celle que n’importe quel ado active sur sa boîte mail en deux minutes. Il y a même une page d’aide. Gratuite. En français, si tu ne lis pas l’english. Rubrique « validation en deux étapes ». On te tient la porte, chère administration. Et cette fois, ferme-la. Pas de quoi !

Note de bas de page

1. SAFARI, pour « Système automatisé pour les fichiers administratifs et le répertoire des individus », était un projet lancé en 1973 par le ministère de l’Intérieur pour interconnecter les fichiers de l’administration grâce à un identifiant unique, le numéro INSEE. Révélé le 21 mars 1974 par le journaliste Philippe Boucher dans Le Monde, sous le titre resté célèbre « SAFARI ou la chasse aux Français », il souleva un tel tollé que le gouvernement le suspendit en quelques jours. De ce scandale naquirent, quatre ans plus tard, la loi Informatique et Libertés du 6 janvier 1978 et la CNIL, chargée de veiller à la protection de nos données. Cinquante ans plus tard, on en mesure toute l’ironie. ↩︎

On en a déjà parlé :