C'est l'affaire qui fait la Une des médias français depuis quelques jours : le pillage massif de données privées de l'administration fiscale française mais aussi désormais de celles de milliers d'élèves et de professeurs de l'Éducation Nationale. Un hacking, revendiqué par le groupe ZeroBytes, qui pose la question de la protection de notre vie privée.

De tels piratages pourraient-ils avoir lieu également en Belgique ? "Ce qui est arrivé en France pourrait arriver n'importe où ailleurs, en réalité dans n'importe quelle administration ou organisation numérisée et interconnectée, c'est-à-dire où il y a une possibilité de rentrer de l'extérieur dans des systèmes informatiques et des bases de données", explique Nicolas Arpagian, directeur de la stratégie de l'entreprise de cybersécurité Jizô AI. Et d'ajouter : "Mais c'est vrai que la Belgique a la particularité d'être un État fédéral ; elle est dès lors moins encline que la France à centraliser des données dans une seule et même administration. En Belgique, les Régions ont un rôle à jouer".

Le fisc français piraté : ce que l'on sait des données dérobées

Du côté de la plateforme Safeonweb, on nous précisait mercredi en fin de journée "ne pas encore avoir été confrontés en Belgique à une fuite de données de cette ampleur sur des données financières aussi sensibles". Personne n'était, par ailleurs, disponible du côté du SPF Finances.

"Centralisme technologique"

Pour Nicolas Arpagian, ce "centralisme technologique" porte, en lui, intrinsèquement les germes de potentielles failles de sécurité, surtout dans des organisations en partie "déconcentrées", où des sous-traitants ou des salariés, par exemple en télétravail, peuvent avoir accès à distance à d'importantes bases de données. Pour qualifier ce risque, les spécialistes informatiques parlent d'ailleurs de "SPOF" pour "Single Point of Failure".

"Dans cette logique de centralisme technologique, il est illusoire de croire que l'on va pouvoir empêcher toutes les formes d'intrusions. Elles peuvent survenir à la suite d'accidents, de négligences humaines – par exemple des mots de passe trop faibles, des identifiants communiqués à des tiers, etc. – ou dans des cas de piratage. Mais par contre, une organisation doit pouvoir faire en sorte de garantir "l'étanchéité" du système informatique avec une capacité de détection d'une intrusion – afin de savoir qui est rentré – et ensuite d'isolement afin que l'intrus numérique ne puisse pas se déplacer dans les systèmes de bases de données pour les exfiltrer par la suite", note encore Nicolas Arpagian. Pour ce dernier, il y a lieu de s'interroger sur les raisons de cette incapacité des organisations piratées – l'administration fiscale française et l'Éducation nationale – à maîtriser ce double enjeu de détection et d'isolement de la menace.

"Le piratage en France est parti d'une technique assez simple qui a consisté à compromettre un compte utilisateur."

"Le piratage en France est parti d'une technique assez simple qui a consisté à compromettre un compte utilisateur pour avoir accès à une base de données afin de récupérer des données sensibles. Cela pose la question de savoir qui doit et peut avoir l'autorisation à de tel accès. La compromission d'identité reste une porte d'entrée importante dans le hacking des entreprises et administrations", note, de son côté, Laurenzo Bernardi, Chief Security Officer chez Keyes, filiale informatique d'Ethias notamment spécialisée dans la gestion des données et la défense des infrastructures critiques. Et d'enchaîner : "Décentraliser les données n'est pas toujours une chose aisée car il y a partout une logique de centralisation. Mais à défaut de décentralisation, il faut restreindre au maximum les accès, revoir par exemple les seuils de détection de comportements anormaux et mettre davantage de garde-fous".

Nicolas Arpagian
Nicolas Arpagian estime que la fuite de données en France, frappant notamment l'administration fiscale, doit mener à une réelle introspection. ©D.R.

Nicolas Arpagian rappelle une évidence : c'est l'exfiltration de données qui est à la base d'une exploitation criminelle possible et qui procure une "valeur" aux informations volées. "C'est comme dans le passé quand quelqu'un volait des chandeliers dans un château : ce n'est que s'il parvenait à sortir des murs du château qu'il avait la possibilité de les vendre et d'en tirer de l'argent. C'est la même chose avec les données", ajoute-t-il.

"On est loin d'un génie machiavélique"

Le profil d'un des hackers – un jeune garçon de 15 ans qui a été interpellé en avril 2026 en Corse – dans le cadre du piratage de l'Agence nationale des titres sécurisés (ANTS) pose aussi question. "On est loin ici du génie machiavélique qui parviendrait à déjouer les services de sécurité d'un pays membre du G7", note Nicolas Arpagian. Et d'ajouter : "On peut faire le parallèle avec une guerre. On dit souvent qu'à la guerre, la première victime, c'est le plan. Cette affaire pose de manière frontale les questions suivantes : dans les politiques élaborées pour protéger les données sensibles en France, qu'est-ce qui a été réellement mis en œuvre ? Quid de l'évaluation et de l'audit des mesures annoncées ? Quid de l'efficacité de la gestion des identités qui ont accès à ces données et des outils de supervision" ?

"La France et l'Allemagne étaient les deux pays les plus avancés pour doter l'Union européenne d'un législation ambitieuse visant à protéger les données sensibles. On ne peut donc pas plaider l'ignorance des dangers liés à la protection de ces données."

Pour Nicolas Arpagian, "une vraie introspection et remise à plat s'impose" au vu de cette affaire de hacking. "Sa nécessité est surprenante. Car la France et l'Allemagne étaient les deux pays les plus avancés pour doter l'Union européenne d'une législation ambitieuse visant à protéger les données sensibles. On ne peut donc pas plaider l'ignorance des dangers liés à la protection de ces données". La France qui, contrairement à la Belgique, n'a d'ailleurs pas encore transposé en droit national la directive européenne NIS2 qui vise précisément à renforcer la protection des réseaux et des infrastructures critiques.

Les pirates du fisc affirment avoir vendu les données dérobées: "Les données sont toujours en vente"

L'impact de l'IA

Et en Belgique, où en sommes-nous ? "Ces dernières années et suite à un certain nombre d'incidents, il y a eu une réelle prise de conscience des enjeux liés à la protection des données. On a ouvert les yeux et réalisé des investissements utiles. Cela va dans la bonne direction. Mais la protection à 100 % n'existe pas. Cela reste très difficile de bloquer des cyberattaques venant d'États étrangers, cela l'est déjà nettement moins si elles viennent d'individus opportunistes", explique encore Laurenzo Bernardi. Ce dernier pointe, pour conclure, les risques à venir liés à l'émergence de modèles toujours puissants liés à l'intelligence artificielle : "Cela permettra à des hackers doués de faire des attaques informatiques toujours plus sophistiquées et massives et à des hackers moyens d'être plus efficaces. Il faudra donc que les autorités, administrations et entreprises soient en capacité de réagir". La bataille ne donc que commencer…

Pour accéder à cet article, veuillez vous connecter au réseau internet.