Ce qu’en dit Rayna Stamboliyska…

« Les violations de données connaissent une hausse réelle et préoccupante, c’est un fait, mais cela ne démontre en aucun cas que l’administration française est “une passoire”, ni que le problème se résumerait à une incapacité technique française.

Dans l’émission, et souvent ailleurs, la France est présentée comme “championne des fuites”. Cette affirmation manque cruellement de nuance : un palmarès fréquent est qu’elle devenue en 2025 le 1^er pays en Europe — et le 2^e au monde — en “nombre de comptes” compromis. Mais cette métrique mesure des postes individuels infectés par infostealers, et non la porosité de l’État.

Un classement élevé tient aussi à la taille, au niveau de numérisation et à la diligence de notification. Or sur l’administration, l’effet est justement plutôt stable : 937 administrations concernées en 2024 et 976 en 2025.

Surtout, il faut tenir compte de la nature des chiffres avant de les comparer et d’en tirer un classement. Au-delà des chiffres fournis par des éditeurs de logiciels spécialisés (donc, disposant de métriques étroites), on peut s’interroger sur la façon dont les États comptent ces évènements. La France publie des notifications de violation de données (les statistiques de la CNIL par exemple), mais le Royaume-Uni, lui, publie une enquête déclarative auprès d’entreprises. Pour le Japon, c’est un décompte policier. Enfin, l’ENISA (Agence européenne de cybersécurité) publie un corpus d’incidents observés. Ainsi, un total bas traduit parfois un faible taux de signalement, et non un faible nombre d’attaques…

Ces chiffres, liés à des décomptes différents, ne font pas non plus la distinction entre incidents majeurs ou non, et ne précisent pas non plus les différents types de compromissions (phishing, rançongiciel, etc.). Selon leur nature, celles-ci ont pourtant des causes et des impacts profondément différents.

On entend aussi souvent que cibler les données des administrations publiques — et les données fiscales — est une “spécialité française”, mais c’est faux. Il suffit de se placer à l’échelle européenne : selon l’ENISA, l’administration publique est le secteur le plus visé (38,2 % des incidents). En fait, le secteur public concentre des données faisant autorité (souvent du régalien), il attire donc les attaques, et ce dans tous les pays.

 

On dit aussi que “nos données valent une fortune et se revendent cher.” En fait, la donnée est bon marché et surabondante, ce qui alimente la fraude de masse ciblée. En ce qui concerne la DGFiP, la valeur des données piratées réside dans la crédibilité qu’apporte un revenu fiscal de référence, ou un quotient familial, que pourrait utiliser un faux conseiller des impôts pour mettre au point des arnaques ciblées.

Et non, ce n’est pas “la faute des fonctionnaires”, fréquemment raillés comme “incapables”… Un identifiant usurpé peut résulter de phishing, d’un ré-emploi, de compromission d’un poste ou d’une chaîne de confiance mal sécurisée. La responsabilité se joue ainsi au niveau organisationnel (habilitations, authentification, contrôle de tiers, alerte, détection, arbitrages budgétaires).

Individualiser le problème, l’imputer à un individu seul, empêche de regarder l’ensemble du système et d’en identifier les failles et les responsabilités ». ♦

R.S.

 

---

À lire aussi sur notre blog

 

♦ Souriez, vous êtes filmés : ce que voit l’ «emotion AI» quand elle analyse nos visages (ANALYSE, Charlotte De Sainte Maresville, Christine Petr)

 

♦ Comment détecter les contenus pédocriminels sans tomber dans la surveillance de masse ? (ANALYSE, Aurélien Francillon, Diane Leblanc-Albarel, Francesca Musiani et Pierrick Philippe)

 

---

Pour aller plus loin

 

♦ La face cachée d’internet : hackers, darkweb, Tor…, Rayna Stamboliyska, Larousse, juin 2017, 352 pages, 18,50 €