DGFiP : 678 000 victimes plus tard, nos entreprises attendent encore une réponse européenne

# DGFiP : 678 000 victimes plus tard, nos entreprises attendent encore une réponse européenne

Le chiffre est brutal. 678 000 personnes dont les données fiscales ont été compromises suite à une attaque contre la Direction Générale des Finances Publiques (DGFiP). Nom, adresse, revenus déclarés, situation familiale. Des données qui ne s'oublient pas, et qui ne se « réinitialisent » pas comme un mot de passe.

Je n'écris pas cet article pour commenter l'incident en lui-même. Les analyses techniques sur le vecteur d'attaque viendront. Ce qui m'intéresse — ce qui devrait vous intéresser en tant que DSI, CTO ou RSSI d'une PME ou d'une ETI européenne — c'est ce que cet épisode révèle sur notre manière collective d'aborder la cyber-résilience. Et sur les angles morts organisationnels que nous continuons d'ignorer.

Ce n'est pas un accident. C'est un signal.

Depuis 2020, les attaques contre des entités publiques et para-publiques européennes se multiplient. Hôpitaux, collectivités, administrations fiscales. Ces incidents ont un point commun : ils exposent des données qui alimentent ensuite des campagnes de phishing (hameçonnage par courriel), d'usurpation d'identité, ou d'ingénierie sociale ciblée.

Pour votre entreprise, concrètement, ça signifie quoi ? Que vos collaborateurs dont les données fiscales ont été compromises sont désormais des cibles potentielles. Un attaquant qui connaît le revenu d'un de vos cadres dirigeants, son adresse et sa situation familiale peut construire un message extrêmement crédible. Ce qu'on appelle dans le métier une attaque par « spear phishing » — du hameçonnage ciblé, personnalisé, infiniment plus dangereux que les tentatives génériques.

Votre SI (système d'information) ne sera peut-être pas la cible directe. Mais vos humains, eux, le seront.

Le vrai problème, c'est qu'on a externalisé la résilience

Depuis quinze ans, la tendance de fond dans nos entreprises européennes est claire : on a rationalisé, mutualisé, sous-traité. La cybersécurité est devenue un service managé, acheté à un prestataire, souvent américain. Les SOC (Security Operations Centers — centres de surveillance et de réponse aux incidents) sont hébergés sur des plateformes dont les données remontent vers des datacenters hors d'Europe. Les outils de détection des menaces sont calibrés par des éditeurs dont la gouvernance, la roadmap et les accès aux données échappent totalement à notre droit.

Je ne dis pas que ces outils sont inefficaces. Je dis que cette dépendance est un risque organisationnel que très peu d'entreprises ont intégré dans leur analyse. Quand votre prestataire principal de sécurité est soumis au Cloud Act américain — une loi qui permet aux autorités américaines d'accéder à des données hébergées par des entreprises américaines, quel que soit le pays où ces données se trouvent — votre modèle de sécurité a une fissure structurelle. Elle ne date pas d'hier. Mais on a choisi de ne pas la regarder en face.

Le piratage DGFiP nous oblige à la regarder.

La compétence interne, seul vrai rempart

Voici ce que j'observe sur le terrain depuis plusieurs années, et que cet incident confirme : les entreprises les plus résilientes ne sont pas nécessairement celles qui ont le plus gros budget cybersécurité. Ce sont celles qui ont conservé — ou reconstruit — une capacité d'analyse et de décision en interne.

Concrètement, ça veut dire quoi sur le plan organisationnel ?

Premièrement, former des référents métier à la culture de la menace. Pas besoin d'un expert en cryptographie à chaque étage. Mais chaque direction — RH, Finance, Achats — doit avoir une personne capable de reconnaître un signal d'alerte, de savoir à qui le remonter, et de comprendre pourquoi certaines données sont sensibles. Ce profil n'est pas un technicien. C'est un traducteur entre le terrain et la DSI.

Deuxièmement, reprendre la main sur la cartographie de vos données. Vous ne pouvez pas protéger ce que vous ne connaissez pas. Beaucoup de PME ignorent où résident leurs données RH, leurs données clients, leurs données contractuelles. Elles sont dispersées entre un outil SaaS américain, une boîte mail hébergée par un acteur américain, et un ERP dont les sauvegardes partent on ne sait où. Cette cartographie n'est pas un projet IT. C'est un projet de gouvernance. Elle doit être portée par le COMEX, pas seulement par la DSI.

Troisièmement, construire un plan de réponse aux incidents qui ne dépende pas d'un seul prestataire externe. Un PRI (Plan de Réponse aux Incidents) efficace suppose que vos équipes savent quoi faire dans les premières heures d'une crise, avant même que le prestataire ne décroche son téléphone. Ça implique des exercices réguliers, des procédures écrites, des chaînes de décision claires. C'est de l'organisation pure. Zéro technologie requise pour commencer.

Choisir ses prestataires avec d'autres critères

Je ne vais pas vous lister une stack technique. Ce n'est pas le sujet. Mais je veux dire un mot sur la manière de qualifier vos prestataires de sécurité.

Dans la sélection d'un SOC ou d'un éditeur d'outils de détection, intégrez systématiquement ces questions : Où sont hébergées les données analysées ? Quel droit s'applique à cet hébergement ? L'éditeur est-il soumis à une législation extraterritoriale — Cloud Act, FISA américain — qui pourrait permettre un accès tiers à vos données sans votre consentement ? L'entreprise a-t-elle son siège social en Europe, avec une gouvernance réellement européenne ?

Des acteurs comme Sekoia, entreprise française spécialisée dans la détection des menaces et dont la plateforme est hébergée en Europe, montrent qu'il existe des alternatives crédibles. Elles ne font pas encore la même couverture marketing que leurs homologues américains. Elles méritent qu'on leur pose les bonnes questions plutôt que de les éliminer d'emblée du processus d'appel d'offres.

Le critère de souveraineté n'est pas idéologique. Il est contractuel et juridique. Dans un contexte où les tensions géopolitiques rendent l'accès aux données de plus en plus disputé, choisir un prestataire européen, c'est réduire une surface de risque réelle.

Ce que la DGFiP nous enseigne sur nous-mêmes

Cet incident n'est pas une défaillance isolée d'une administration publique. C'est le révélateur d'un état général. Nous avons collectivement construit des systèmes d'information massifs, interconnectés, bourrés de données personnelles et sensibles — et nous avons sous-investi dans les compétences humaines capables de les comprendre, de les surveiller, et de les défendre.

La réponse n'est pas de paniquer, ni d'acheter en urgence une nouvelle couche technologique à un acteur américain qui nous promettra de tout régler. La réponse, c'est de reprendre la main. Sur les compétences. Sur la gouvernance. Sur le choix des partenaires.

En 2026, la cyber-résilience n'est plus une option pour une PME ou une ETI européenne. C'est une condition de survie opérationnelle. Et elle commence par une décision de direction générale, pas par un bon de commande.

La DGFiP vous a donné, malgré elle, une excellente raison de mettre ce sujet à l'ordre du jour de votre prochain COMEX. Ne la gâchez pas.