Cyberattaque de la DGFiP : renforcer la cybersécurité « n’est pas une question de budget mais de priorisation »

JSS : Pour quelles raisons les services publics en France sont particulièrement exposés à des cyberattaques ces dernières années ?

Xavier Daspre : C’est avant tout une histoire de visibilité. Le secteur privé est tout autant attaqué, mais les incidents font moins de bruit. Dès qu’une attaque touche l’État français et les données des citoyens, la médiatisation est immédiate.

Dans mon entreprise, nous avons réalisé cette année une étude sur le déploiement de DMARC, un protocole de protection contre l’usurpation de nom de domaine. C’est un outil simple à mettre en place : il suffit d’une modification dans les enregistrements DNS. Sur 297 entités publiques françaises analysées, seulement 12 % avaient déployé le niveau de protection maximal contre l’usurpation d’identité. Cela donne un bon indicateur du chemin qu’il reste à parcourir pour renforcer la cybersécurité des services publics.

JSS : Justement, à votre avis, quel est le niveau de cybersécurité des services publics aujourd’hui ?

X.D. : Sur ce domaine précis, c’est avant tout une question de priorisation. L’État ne peut pas se battre sur tous les fronts simultanément. Mais il existe des solutions à forte valeur protectrice qui ne nécessitent pas d’investissement financier important. Le protocole DMARC en est un exemple parfait : c’est gratuit et accessible à toute organisation.

Pourtant, 10 % des 297 collectivités analysées n’ont même pas d’enregistrement DMARC. C’est un simple enregistrement DNS qui permet déjà de commencer à surveiller ce qui se passe au niveau du domaine.

Concrètement, ce protocole fonctionne en trois niveaux. Le premier, la surveillance, permet d’observer qui émet des e-mails en utilisant votre domaine. Le deuxième, la quarantaine, met en suspens les messages suspects. Le troisième, le rejet, est le niveau le plus protecteur : il autorise le destinataire à rejeter automatiquement tout e-mail qui ne remplit pas deux conditions essentielles : la validation des expéditeurs autorisés par le domaine et la vérification d’une clé de chiffrement garantissant l’authenticité.

Une fois ce niveau rejet déployé, personne ne peut envoyer de mails frauduleux au nom de votre organisation. C’est particulièrement crucial pour l’État français : cela empêche les cybercriminels d’usurper l’identité d’administrations pour réclamer aux citoyens de faux paiements d’impôts, d’amendes ou tout autre service public.

JSS : Le secteur privé prend-il davantage les devants ?

X.D. : Il faut regarder cela sous plusieurs angles. Si l’on se base sur le même référentiel DMARC, nous avions mené en 2025 une étude sur les sites marchands. Résultat : 100 % des 50 premiers sites e-commerce français avaient adopté DMARC, et 58 % étaient au niveau rejet en novembre 2025.

Certes, il est difficile de comparer directement le secteur du retail aux 297 organisations publiques de notre étude. Mais ce qui est intéressant, c’est la maturité. Le retail, très exposé aux arnaques et transactions frauduleuses, a rapidement pris conscience de l’intérêt de déployer cette protection. Ce n’est pas une question de budget mais bien de priorisation et de maturité dans l’approche cyber.

JSS : Selon vous, quelles solutions permettraient de renforcer efficacement la protection des données des services et administrations publics en France ?

X.D. : Il s’agit d’identifier les investissements minimaux qui offrent le meilleur ratio coût/bénéfice en termes d’élévation du niveau de sécurité.

La première étape consiste à identifier, dans le cadre du budget disponible, les mesures simples, rapides et peu coûteuses qui permettent d’augmenter significativement le niveau de sécurité. DMARC en est l’exemple type : c’est d’ailleurs une des mesures recommandées par l’ANSSI dans son guide d’hygiène informatique publié il y a un peu moins de deux ans.

JSS : Comment renforcer la cybersécurité du secteur public, malgré les contraintes budgétaires actuelles ?

X.D. : Effectivement, les entités publiques sont sous forte pression budgétaire. C’est précisément pour cette raison que nous étudions ensemble des solutions qui leur permettent d’étendre leur niveau de sécurité avec des budgets restreints. La protection des accès distants et la protection de la messagerie sont deux domaines sur lesquels on peut avoir rapidement un impact significatif.

Tous les éditeurs ont aujourd’hui conscience que les entités publiques ne disposent pas de budgets démesurés, bien au contraire. Ils font des efforts pour contribuer à la protection de ces services lorsqu’ils sont sollicités.