Une cellule interministérielle de crise s'est réunie lundi à Matignon sous la présidence du Premier ministre Sébastien Lecornu, alors que les services fiscaux ont commencé à informer individuellement les personnes concernées.

Une conférence de presse est prévue à 16 heures au ministère de l'Économie et des Finances. 

Le ministre de l'Action et des Comptes publics, David Amiel, doit notamment présenter les mesures prises à la suite de l'attaque, aux côtés de responsables de la DGFiP et de l'Agence nationale de la sécurité des systèmes d'information (ANSSI). 

Un audit sur la sécurisation des systèmes informatiques de la DGFiP doit également être engagé.

La cyberattaque a été revendiquée les 12 et 13 août par un acteur utilisant le pseudonyme ZeroBytes. 

Le ministère de l'Économie a confirmé le lendemain que des accès illégitimes avaient eu lieu en juin et en juillet. Selon Bercy, les intrusions reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité à accéder à ses systèmes.

Les services fiscaux ont rapidement interrompu les accès utilisés lors des incidents. Les contrôles effectués à cette occasion n'avaient toutefois pas permis de détecter immédiatement que les intrusions avaient également servi à extraire des données. 

678 000 concernés

Les investigations menées ont établi que des informations concernant environ 678 000 particuliers et professionnels avaient été consultées et extraites.

Pour les particuliers, les données susceptibles d'avoir été exposées comprennent notamment l'état civil, les coordonnées, le numéro fiscal, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. 

Pour les entreprises, certaines informations comme la raison sociale et le numéro SIREN sont concernées. Des données cadastrales relatives notamment aux adresses et aux surfaces de biens immobiliers ont également été consultées.

La DGFiP précise toutefois que les espaces personnels des contribuables sur le site des impôts n'ont pas été compromis et que les mots de passe des usagers n'ont pas été exposés.

Depuis lundi, l'administration contacte les particuliers concernés afin de leur préciser les informations susceptibles d'avoir été consultées ou extraites et de les sensibiliser aux risques liés notamment au hameçonnage et à l'usurpation d'identité. Plus de 350 000 particuliers figurent parmi les personnes concernées.

Le groupe ZeroBytes a, de son côté, affirmé à l'AFP avoir déjà vendu les données dérobées à deux personnes pour plusieurs milliers d'euros, tout en indiquant que les informations restaient disponibles à la vente. 

Cette affirmation relève des déclarations du groupe de pirates et n'a pas été présentée par les autorités comme une confirmation indépendante.

Enquête judiciaire

La DGFiP a annoncé avoir saisi la Commission nationale de l'informatique et des libertés (CNIL) et prévoit de déposer plainte. 

Les investigations se poursuivent avec la participation des équipes informatiques de la DGFiP, du haut fonctionnaire de défense et de sécurité des ministères économiques et financiers et de l'ANSSI.

L'affaire soulève également des interrogations sur les mécanismes de détection des intrusions. 

Le fait que les accès aient pu être interrompus sans que l'extraction des données soit immédiatement identifiée fait notamment l'objet de questions sur le fonctionnement des dispositifs de contrôle de l'administration.

Le dossier intervient par ailleurs après plusieurs incidents informatiques ayant touché des organismes publics. 

En février, Bercy avait notamment révélé qu'un accès frauduleux avait permis de consulter des données relatives à environ 1,2 million de comptes dans le Fichier national des comptes bancaires (Ficoba). 

Ces différents incidents alimentent les interrogations sur la protection des données détenues par l'État.

Au Sénat, les socialistes ont demandé la création d'une commission d'enquête parlementaire sur la sécurité des systèmes informatiques de l'État.