Le piratage du site des impôts relance une question simple : comment une plateforme publique peut-elle encore exposer autant de données sensibles ? Dans les faits, la réponse tient rarement à une seule faille. Elle combine des choix techniques, des délais de déploiement, des arbitrages budgétaires et, souvent, une sécurité pensée trop tard. Sur le terrain, la cybersécurité n’est pas un bouton à activer : c’est une chaîne de protections à maintenir dans le temps.
La nuance d’Alice — je vois souvent le même raccourci : « il suffit d’ajouter du MFA ». En réalité, le déploiement de l’authentification multifacteur dépend des usages, des terminaux et de l’organisation, et il peut prendre de longs mois.
Ce que montre une faille publique comme celle-ci
Une intrusion sur un portail fiscal n’est pas seulement un incident informatique. C’est un signal sur la maturité de toute la chaîne de protection : gestion des identités, surveillance des accès, séparation des privilèges, journalisation et réponse à incident. Une plateforme qui concentre des données d’identité, de revenus ou de patrimoine attire mécaniquement les attaques, d’où l’intérêt d’une défense en profondeur plutôt que d’un unique rempart.
L’authentification multifacteur n’est pas magique
L’authentification multifacteur, ou MFA, ajoute un second contrôle après le mot de passe : code, application, clé physique ou validation biométrique selon les cas. C’est utile, mais pas instantané à mettre en place. Dans les organisations complexes, la migration vers une solution MFA peut prendre de 1 à 2 ans selon les contraintes de parc, d’applications et de support utilisateur, comme le rappellent régulièrement les retours d’expérience en sécurité. Le point clé n’est donc pas « MFA ou rien », mais « MFA bien intégré, avec des exceptions maîtrisées ».
Le risque se déplace, il ne disparaît pas
Quand un service public renforce un point de contrôle, les attaquants cherchent souvent ailleurs : hameçonnage, vol de session, ingénierie sociale, récupération de compte ou exploitation d’un fournisseur tiers. Selon l’ANSSI, les compromissions de comptes et les attaques par phishing restent des vecteurs fréquents dans les incidents signalés. Autrement dit, une mesure solide peut réduire une partie du risque, sans annuler le besoin de supervision, de mises à jour et d’audits réguliers.
Sanctions, RGPD et chiffres à ne pas confondre
Dans les discussions sur la sécurité, les montants de sanction sont souvent mal cités. Pour le RGPD (Règlement général sur la protection des données), la CNIL peut prononcer des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu selon le cas. Le plafond de 10 millions d’euros et 2 % concerne d’autres cadres, notamment certains volets de NIS2 selon la taille et le type d’entité. Mélanger ces régimes brouille le débat au lieu de l’éclairer.
| Cadre | Plafond maximal souvent cité | À retenir |
|---|---|---|
| RGPD | 20 M€ ou 4 % du CA mondial | Référence CNIL pour les violations de données personnelles |
| NIS2 | 10 M€ ou 2 % du CA mondial | Concerne la cybersécurité des entités essentielles et importantes |
| MFA | Pas un plafond, mais une mesure de protection | Son déploiement dépend des usages et des terminaux |
Le chiffre à retenir : 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour le RGPD, selon la CNIL. Cela ne signifie pas que toutes les sanctions atteignent ce niveau ; en pratique, l’autorité ajuste ses décisions à la gravité, au contexte et aux manquements constatés. Pour les textes de référence, la page officielle de la CNIL reste la source à privilégier : la définition des sanctions.
Pourquoi les délais de sécurité sont si longs
Un incident public donne souvent l’impression qu’une mesure aurait pu être ajoutée « rapidement ». En réalité, la sécurité d’un grand service numérique se heurte à trois contraintes : le parc existant, la compatibilité applicative et la conduite du changement. Un MFA imposé à des millions d’usagers suppose de prévoir des alternatives pour ceux qui n’ont pas de téléphone personnel compatible, ou d’autres facteurs d’authentification. Ce sont des sujets d’architecture, pas seulement de paramétrage.
Le problème des terminaux personnels
Dans beaucoup d’organisations, le MFA basé sur une application mobile pose une question concrète : comment faire quand l’utilisateur n’a pas de téléphone personnel, ne veut pas l’utiliser pour un service public, ou ne peut pas installer l’application requise ? Il faut alors prévoir des clés physiques, des codes de secours, des canaux alternatifs ou du matériel fourni. Cette complexité explique pourquoi les déploiements sérieux se comptent souvent en trimestres, parfois en années.
La sécurité utile est celle qui tient dans la durée
Un système robuste n’est pas seulement un système « verrouillé ». C’est un système maintenable, surveillé et testable. Les équipes doivent pouvoir révoquer des accès, tracer les connexions anormales, isoler un sous-système sans casser tout le reste, et restaurer rapidement après incident. Sans cette discipline, même une bonne mesure finit par se dégrader. C’est là que les vrais leviers se jouent : gouvernance, moyens humains, tests d’intrusion et revue régulière des privilèges.
Ce que l’on peut retenir pour d’autres services numériques
Le cas d’un portail fiscal renvoie à des enjeux plus larges du numérique public et privé : hébergement, segmentation des accès, sobriété des services et résilience. Un service trop lourd, trop dépendant d’un seul mécanisme d’authentification ou trop centralisé devient plus difficile à protéger. À l’inverse, une architecture plus simple, mieux découpée et mieux documentée réduit la surface d’attaque. C’est aussi une question d’écoconception web : moins de complexité, moins de dépendances, souvent moins de points faibles.
Sur ce sujet, plusieurs articles du site permettent d’aller plus loin : les revers des data centers, le choix d’un hébergement web écologique, l’empreinte numérique, la sobriété numérique et la pollution numérique. Le lien n’est pas seulement environnemental : un système plus sobre est souvent plus lisible, donc plus facile à sécuriser.
Trois gestes concrets pour mieux sécuriser un service numérique
Les gestes individuels ne remplacent ni l’architecture ni les obligations réglementaires, mais ils peuvent réduire des risques très concrets. Ici, l’échelle d’impact est modeste à l’échelle d’un État, mais utile à l’échelle d’un compte, d’une association ou d’une petite structure. L’idée n’est pas de dramatiser, plutôt de sécuriser ce qui dépend déjà d’une bonne hygiène numérique.
- Activer le MFA sur les comptes sensibles — Microsoft a montré qu’une authentification multifacteur bloque l’immense majorité des attaques automatisées de type compromission de compte ; selon l’entreprise, le risque de piratage peut être réduit de plus de 99 % sur les comptes protégés.
- Réduire le nombre d’accès administrateurs — l’ANSSI recommande le principe du moindre privilège : moins il y a de comptes à privilèges, moins la surface d’attaque est large.
- Mettre à jour rapidement les logiciels exposés — d’après l’ANSSI, une part importante des incidents exploite des vulnérabilités connues et non corrigées ; la mise à jour reste l’un des leviers les plus rentables.
Ces mesures ont un point commun : elles sont simples à comprendre, mais demandent de la rigueur dans le temps. Pour une base de bonnes pratiques, le guide officiel de Cybermalveillance et de l’ANSSI reste une référence utile. Sur les sanctions et obligations de protection des données, la page de la CNIL sur les sanctions RGPD permet aussi de remettre les chiffres au bon niveau : sanctions et amendes.
💡 Un dernier repère simple : une sécurité crédible ne repose pas sur une annonce, mais sur des couches qui se complètent. Mot de passe solide, MFA, mises à jour, supervision et réponse à incident forment un ensemble. Si une seule brique manque, le système reste exposé.
Le cas du piratage d’un site public rappelle surtout une chose : la sécurité numérique est une affaire de continuité. Les vrais progrès se jouent dans la durée, au croisement des moyens techniques, des usages réels et des obligations de conformité. Les gestes personnels peuvent aider, mais la robustesse d’un service dépend d’abord de son organisation, de ses arbitrages et de sa capacité à corriger vite ce qui a été mal conçu.