Fuite de données à la DGFiP : « On sous-estime largement le lien entre cybercriminalité et criminalité organisée »

Actu-Juridique : Vous êtes avocat pénaliste spécialisé dans les dossiers de cybercriminalité. Pourquoi ce choix ?

Djamel Belhaouci : Après des études de droit orientées vers la matière pénale, j’ai travaillé en start-up dans le secteur de l’intelligence artificielle avant de passer le concours d’avocat. J’ai ensuite suivi un diplôme universitaire à l’Université de Bretagne Sud, consacré à la cybersécurité des TPE-PME et des entités publiques. Cette matière hybride entre cybersécurité et droit pénal m’a permis d’avoir une compétence transversale. Étant technophile, ce sujet m’a accroché. Il y avait également dans ce choix une dimension stratégique : en tant que jeune cabinet, il faut trouver une matière d’avenir, et la cybercriminalité en est clairement une. J’ai ensuite intégré un cabinet pénaliste où j’ai été formé au Code de procédure pénale, avant de m’installer avec cette expertise spécifique. Aujourd’hui, je suis installé à Marseille. Avec mon collaborateur Maître Clément, nous traitons quasi exclusivement des dossiers liés à des infractions commises en ligne, notamment des cyberattaques. Nous intervenons à la fois côté victimes, entreprises ou particuliers, et côté auteurs, qui sont donc les hackers. Nous traitons également beaucoup de cyberharcèlement, un sujet moins médiatisé aujourd’hui au regard des cyberattaques, mais qui reste massif, en particulier chez les jeunes. Il y a aussi un fléau dont on parle assez peu : les cyberescroqueries, qui touchent énormément le secteur bancaire, mais surtout, de plus en plus, les cryptomonnaies. Ces dossiers se caractérisent souvent par des pertes d’argent considérables, une lenteur du traitement par les parquets et de réelles difficultés à recouvrer les fonds ou identifier les auteurs. Il y a enfin un volet plus sombre mais bien réel : les infractions liées aux mineurs, qu’il s’agisse de corruption de mineurs ou de pédopornographie. Ces crimes et délits occupent malheureusement une part importante de l’espace numérique.

AJ : Est-ce que la cybercriminalité augmente ?

Djamel Belhaouci : C’est difficile à dire. En matière de délinquance en général, il faut toujours tenir compte du « chiffre noir » : des infractions sont commises sans être détectées, ou sans remonter dans la chaîne pénale. Les États-Unis restent le grand « gendarme » d’Internet, notamment sur les infractions liées aux mineurs. Et l’intelligence artificielle permet aujourd’hui de scanner Internet plus rapidement, de qualifier plus vite les infractions et de récolter des preuves de manière automatisée. Résultat : davantage d’infractions identifiées remontent dans la chaîne pénale.

AJ : Le piratage de données revient sans cesse dans l’actualité ces derniers mois : La Poste, l’Éducation nationale, l’URSSAF, et désormais la DGFiP. Comment expliquer cette récurrence ? Sommes-nous si mal protégés ?

Djamel Belhaouci : La première chose à dire, c’est que l’affaire DGFiP fait beaucoup de bruit parce qu’elle touche le ministère de l’Économie et des Finances, c’est-à-dire l’État. Tout le monde, ou presque, est concerné. Des informations connexes ont également fuité, ce qui accentue la sensibilité du dossier. Mais si l’on prend du recul, les cyberattaques ont toujours existé. Ce n’est pas un phénomène nouveau. Une cyberattaque entraîne presque systématiquement une fuite de données. Ces bases sont ensuite mises en ligne sur le Dark Web ou ailleurs, et deviennent accessibles à quasiment tout le monde — parfois même gratuitement. La quantité de cyberattaque augmente et cela va continuer, pour une raison simple : il y a dix ans, mener une cyberattaque nécessitait des compétences informatiques pointues : il fallait savoir coder, manipuler des bases SQL, déployer des machines virtuelles. Aujourd’hui, notamment grâce à l’intelligence artificielle, ce n’est plus la peine d’être un expert. Un novice peut, en une heure de recherche, tomber sur un forum qui fonctionne comme une véritable marketplace de données volées. Il peut y acheter, avec un peu de cryptomonnaie, des bases issues de la DGFiP, de France Travail, de Free, de SFR ou d’autres organismes. Auparavant, ces bases, souvent des millions de lignes en format CSV, étaient illisibles pour un non-initié. L’arrivée de l’intelligence artificielle change tout : elle permet de croiser facilement plusieurs bases de données. Or c’est ce croisement qui est déterminant. Une même personne peut apparaître dans plusieurs fuites — impôts, chômage, opérateur téléphonique. À cela s’ajoutent des outils d’OSINT (renseignement en sources ouvertes), qui exploitent tout ce qu’une personne laisse comme traces publiques — réseaux sociaux, publications diverses. Combinés aux données volées, ces outils permettent de dresser très rapidement un profil détaillé d’un individu, comprenant sa situation professionnelle, ses mots de passe potentiellement réutilisés d’un service à l’autre, son adresse. Et même sans accès direct à ses comptes, ces informations peuvent être utilisées à des fins malveillantes, y compris physiques. En ce qui concerne le vol des données de la DGFiP, environ 678 000 personnes sont concernées. Cela représente 1 à 2 % des contribuables. On ignore s’ils ont été ciblés parce qu’ils correspondraient aux revenus les plus élevés. C’est assez vertigineux !

AJ : Vous alertez d’ailleurs sur le risque de passage à l’attaque physique…

Djamel Belhaouci : L’exemple le plus parlant est celui de la plateforme Waltio qui aidait les détenteurs de crypto-actifs à faire leur déclaration au fisc. Beaucoup de ses utilisateurs étaient des personnes ayant investi fortement dans les cryptomonnaies, parfois par méfiance envers le système bancaire traditionnel, et disposant donc de patrimoines conséquents en actifs numériques. Les bases de données, une fois en ligne, sont accessibles à n’importe qui, sans lien direct entre le hacker initial. Quand la base de données de Waltio a fuité, des groupes de criminalité organisée auteurs de trafic de stupéfiants ou de trafic d’armes s’en sont emparés. Ils ont pu identifier des adresses précises de détenteurs de crypto-actifs importants. Des commandos armés et cagoulés se sont rendus chez ces personnes pour les forcer, sous la contrainte, à transférer leurs actifs s’élevant parfois à plusieurs millions d’euros dans certains cas, sans plafond de virement possible. Ce braquage nouvelle génération remplace le braquage de banque classique, devenu beaucoup plus difficile à réaliser physiquement.

AJ : Quel est l’intérêt, pour la personne qui vole ces données, de les diffuser sur le Dark Web ?

Djamel Belhaouci : Il y a d’abord un intérêt financier évident : une base de données peut se vendre, parfois une centaine d’euros pièce, à plusieurs centaines d’acheteurs. Cela représente rapidement une somme importante. Il y a aussi une logique de revendication et de rapport de force. Lorsqu’une entité est attaquée et que l’incident sort dans la presse, cette dernière a tendance à en minimiser l’ampleur. Les auteurs de l’attaque, eux, savent que le périmètre réel est bien plus large — parce qu’ils négocient une rançon en échange du déchiffrement de données bloquées. Pour le prouver, ils diffusent une partie des données dissimulées par l’entreprise, histoire de démontrer l’ampleur réelle de l’attaque. Il y a enfin une dimension presque symbolique : le hacker cherche à démontrer, de façon incontestable, qu’il a bien piraté le système visé. C’est une sorte de trophée, la preuve formelle de sa « performance ».

AJ : Ce profil de hacker qui divulgue les données pour se faire un nom paraît finalement assez éloigné du grand banditisme dont vous parliez pour l’affaire Waltio…

Djamel Belhaouci : Tout à fait, et cela pose une vraie question juridique. Face à ces dossiers, la justice a tendance à retenir la qualification de bande organisée, en établissant un lien entre le hacker initial et les auteurs de l’attaque physique, même lorsque ce lien n’existe pas véritablement dans les faits. La défense argue alors, légitimement, qu’il n’y avait pas d’intention de nuire directement. L’accusation répond que l’auteur ne pouvait ignorer le risque encouru en diffusant ce type de données. Pour être honnête, ces hackers, souvent très jeunes d’ailleurs, n’ont pas toujours conscience des conséquences réelles de leurs actes. Beaucoup veulent simplement exhiber la preuve de leur exploit technique, sans nécessairement anticiper qu’un groupe criminel organisé s’en emparera ensuite pour cibler physiquement des victimes.

AJ : Quels recours existent pour les personnes victimes de ces fuites ?

Djamel Belhaouci : La jurisprudence reste encore peu fournie sur ce terrain. Deux voies sont ouvertes : la voie pénale et la voie civile ou administrative, lorsqu’il s’agit d’un organisme public comme la DGFiP. Sur le plan pénal, l’auteur de l’attaque peut être poursuivi pour vol de données. Une décision de la Cour de justice de l’Union européenne a consacré le droit à réparation sur la seule base d’un préjudice moral, une forme de préjudice d’angoisse, sans qu’il soit nécessaire de prouver une utilisation malveillante effective des données, comme du phishing par exemple. Si une telle utilisation est démontrée, une réparation complémentaire peut être demandée.

Le problème, en pratique, c’est la solvabilité de l’auteur. Si 678 000 personnes réclament chacune 1 000 euros à un jeune hacker de 17 ou 18 ans sans ressources, la réparation restera largement théorique. Il existe toutefois un mécanisme permettant de se tourner vers l’État via un fonds de garantie pour obtenir une prise en charge partielle de ces dommages et intérêts, dans une certaine limite.

AJ : Et la voie civile, ou administrative, quand l’État est en cause ?

Djamel Belhaouci : La DGFiP peut être attaquée devant le tribunal administratif, sur le fondement d’une faute administrative. Il faut alors démontrer une faute, un préjudice et un lien de causalité entre les deux. Le préjudice moral est déjà reconnu par la jurisprudence européenne et le lien de causalité ne pose pas de difficulté particulière, puisqu’il découle directement de la faute alléguée. La vraie difficulté, c’est la preuve de la faute elle-même. Il est quasiment impossible, pour un particulier seul, de la démontrer sans mener de véritables investigations, comprenant demandes d’informations et expertises que peu de victimes engageront pour une indemnisation limitée. La CNIL a été saisie et doit rendre son rapport vraisemblablement début 2027. Il sera déterminant : s’il établit un manquement, il constituera une base solide et publique permettant à chacun de saisir une juridiction civile ou administrative en s’appuyant sur ce constat officiel. Dans les dossiers France Travail et Free, des manquements très graves avait été révélés par la CNIL. Si des manquements similaires étaient établis concernant la DGFiP, ce serait particulièrement problématique. Il y a une différence essentielle avec par exemple Free, une entité privée : on choisit son opérateur téléphonique, mais on n’a pas le choix de transmettre ses données à l’administration fiscale. C’est une obligation. Il faut également noter que la responsabilité pénale de l’État, et donc de la DGFiP est tout simplement écartée.

AJ : Vous évoquiez aussi une erreur de communication de la part de la DGFiP au moment de l’annonce de la fuite…

Djamel Belhaouci : Oui, et je trouve cela particulièrement regrettable. Rappelons le cadre légal : dès lors qu’il y a fuite de données à caractère personnel — une notion très large, qui englobe un email, un numéro de téléphone, une adresse, un nom — le RGPD peut imposer, selon la gravité évaluée par la CNIL, d’en informer les personnes concernées. C’est ce qui s’est passé pour la DGFiP : 678 000 e-mails ont été envoyés pour prévenir les personnes concernées. Au cours de la conférence de presse annonçant cet incident, il a été indiqué que ces e-mails d’information seraient envoyés le lendemain. Une telle communication est une véritable invitation au phishing. Des escrocs peuvent écrire à des personnes en faisant croire à une notification officielle, touchant potentiellement des personnes qui n’étaient même pas concernées initialement par la fuite. C’est un signe, à mon avis, d’un manque d’expertise en communication de crise cyber, un constat que je partage avec d’autres professionnels du secteur.

AJ : La France est, dites-vous, particulièrement touchée par ces attaques…

Djamel Belhaouci : Il faut avoir conscience que la France se situe, sur les dernières années, parmi les pays les plus touchés au monde par les fuites de données massives. Cela s’explique en partie par des enjeux géopolitiques, mais aussi, parfois, par de réelles failles de protection au sein des organismes concernés. Le véritable enjeu aujourd’hui n’est donc plus seulement de protéger les systèmes informatiques contre l’intrusion, mais bien d’anticiper ce que deviennent les données une fois qu’elles ont fuité, et les conséquences, parfois très concrètes et violentes, que cela peut entraîner pour les personnes concernées.