Piratage…Qui protège le citoyen?

Par Zakia Laaroussi-Paris

Les vols les plus graves ne sont pas toujours ceux qui vident les caisses publiques. Il en existe de plus silencieux, de plus froids, presque invisibles: ceux qui sortent des coffres numériques de l’État en emportant avec eux des fragments de la vie des citoyens. L’argent peut être bloqué. Une carte bancaire peut être remplacée. Un compte peut être fermé. Mais une identité ne se change pas comme un mot de passe. Lorsqu’une donnée personnelle fuit, le voleur ne repart pas nécessairement avec de l’argent. Il repart avec une ombre: celle d’un individu qu’il pourra tenter d’imiter, de tromper ou d’exploiter. Le piratage qui a touché l’administration fiscale française, et qui concerne selon les informations disponibles près de 700 000 usagers, ne doit donc pas être réduit à une affaire technique confiée aux enquêteurs et aux spécialistes de la cybersécurité. C’est une affaire politique. Elle pose une question élémentaire au coeur du contrat entre l’État et le citoyen: que doit l’État à celui dont il exige les données?

La réponse devrait être évidente. Lorsqu’un citoyen transmet des informations fiscales, il ne les remet pas à l’État comme on confie volontairement une information à une entreprise privée. Il obéit à la loi. L’État dispose du pouvoir de demander, de contrôler, de vérifier. Cette puissance crée en retour une obligation de protection à la hauteur de la contrainte exercée. Plus l’État sait, plus il doit protéger. Et c’est ici que le débat doit commencer. Il ne suffit pas de demander comment les pirates sont entrés. Il faut demander pourquoi l’architecture permettait une telle intrusion. Les données collectées étaient-elles toutes nécessaires? Les systèmes étaient-ils suffisamment cloisonnés? Les droits d’accès étaient-ils strictement limités? Les mécanismes de détection étaient-ils à la hauteur de la menace? Les procédures de crise avaient-elles été véritablement éprouvées?

La cybersécurité n’est plus une affaire confinée aux sous-sols techniques des administrations. Elle est devenue une question de souveraineté, de sécurité nationale et de démocratie. L’État contemporain connaît ses citoyens comme aucun pouvoir politique ne les a connus avant lui. Revenus, adresses, patrimoine, déclarations, comptes, démarches administratives: une multitude de fragments convergent vers des infrastructures numériques qui constituent désormais une mémoire gigantesque de la société. Mais une mémoire qui n’est pas protégée devient une cible. Et le danger ne s’arrête pas au moment où le serveur est compromis.

Les données volées deviennent des clés. Un nom, une adresse, une information fiscale exacte peuvent suffire à fabriquer un message frauduleux presque crédible. Le pirate n’a plus besoin de casser une porte. Il peut demander à sa victime de l’ouvrir elle-même. C’est la grande mutation de la cybercriminalité: l’attaque informatique devient une attaque psychologique. Le citoyen reçoit un message qui semble officiel. Le fraudeur connaît son nom. Il connaît parfois une information réelle concernant sa situation. La confiance fait le reste.

Voilà pourquoi il serait profondément injuste de faire porter l’essentiel du poids de la sécurité sur les victimes. Oui, chacun doit utiliser des mots de passe robustes, activer l’authentification à plusieurs facteurs, se méfier des liens suspects et surveiller ses comptes. Mais ces gestes individuels ne sauraient devenir une excuse institutionnelle. Le citoyen ne peut pas être transformé en agent de sécurité gratuit d’un système dont il n’a ni conçu l’architecture ni choisi les procédures.

La responsabilité première demeure celle de l’organisation qui collecte, conserve et traite les données. Et cette responsabilité doit avoir un visage concret. Les victimes ont le droit de savoir ce qui s’est passé. Elles doivent connaître les données concernées, les risques associés, les mesures prises, les démarches à effectuer et les interlocuteurs capables de les aider. Elles doivent être accompagnées lorsqu’une fuite entraîne une tentative d’usurpation d’identité ou une fraude. Elles ne doivent surtout pas avoir à prouver indéfiniment qu’elles sont bien elles-mêmes.

Il existe une autre exigence, plus politique encore: la transparence. Une administration peut être tentée de considérer la révélation d’une faille comme un aveu de faiblesse. C’est l’inverse qui devrait prévaloir. Dans le monde numérique, dissimuler trop longtemps une vulnérabilité peut donner davantage de temps à ceux qui veulent l’exploiter. Si l’État ne dit pas au citoyen ce qui s’est passé, quelqu’un d’autre lui racontera l’histoire. Le fraudeur, lui, n’aura aucun scrupule à raconter une demi-vérité pour lui voler le reste.

L’ouverture d’une enquête est indispensable. Elle doit permettre d’identifier les responsables et de comprendre les mécanismes de l’attaque. Mais elle ne saurait constituer la fin de l’histoire. Il faudra aussi examiner les procédures, les choix techniques, les politiques de conservation des données, les droits d’accès et les dispositifs d’alerte. Et si des défaillances sont établies, la question de la réparation ne pourra pas être esquivée. Car les données personnelles ne sont pas une matière abstraite. Derrière chaque fichier, il y a une personne. Un nom. Une famille. Un revenu. Une adresse. Un patrimoine. Une histoire. Une identité.

La frontière de l’État moderne n’est donc plus seulement territoriale. Elle est aussi numérique. Hier, on protégeait une frontière avec des soldats et des murs. Aujourd’hui, il faut aussi protéger des bases de données. Le véritable enjeu n’est finalement pas de construire une administration incapable d’être attaquée. Une telle administration n’existe pas. L’enjeu est de construire une administration qui résiste davantage, détecte plus vite, limite les dégâts, informe honnêtement et assume clairement ses responsabilités lorsque quelque chose échoue.

Car l’État n’a pas reçu les données des citoyens pour devenir propriétaire de leur vie. Il les a reçues parce que la loi l’y autorise et, précisément pour cette raison, il doit en devenir le gardien. Voilà la véritable ligne de partage. Entre un État qui collecte des données et un État qui mérite la confiance. La bataille n’oppose donc plus seulement des serveurs à des pirates. Elle oppose deux visions de la puissance publique: celle qui accumule l’information, et celle qui accepte d’en porter le poids moral. Et lorsque les données de centaines de milliers de citoyens sont exposées, la question finale est peut-être la plus simple: qui protège ceux qui ont été obligés de faire confiance à l’État? La réponse ne peut pas être une nouvelle consigne de vigilance adressée à la victime. Elle doit être un engagement politique. Si l’État exige vos secrets au nom de la loi, il doit les protéger au nom de la confiance.