Fuites de données : tous vulnérables mais pas tous égaux

« Restez vigilants. » Le conseil accompagne désormais presque rituellement les annonces de fuites de données. Après avoir reconnu, le 14 août, le vol d’informations concernant au moins 678 000 particuliers et professionnels, la Direction générale des finances publiques (DGFIP) a, elle aussi, incité les contribuables concernés à redoubler d’attention. « Nous vous invitons à la plus grande vigilance. »

Les données dérobées sont pourtant loin d’être anodines : noms et prénoms, revenu fiscal de référence, quotient familial, taux de prélèvement à la source, mais aussi, selon les personnes concernées, certaines informations cadastrales. L’intrusion est terminée, mais les données, elles, sont bel et bien définitivement dans la nature. Pour les centaines de milliers de personnes concernées, une question se pose : qu’est-ce que des personnes mal intentionnées pourraient faire de leurs informations ?

« Tout le monde ne peut pas avoir le même degré de vigilance », relève Corinne Hénin, experte en cyber­sécurité indépendante et auprès du tribunal de Montpellier. Elle imagine le cas d’une personne âgée, habituée pendant des décennies aux courriers de l’administration fiscale, qui recevrait demain un faux formulaire papier comportant son nom, son adresse et de véritables informations fiscales. Là où un contribuable rompu aux démarches numériques pourrait s’étonner de ce retour soudain au papier, un autre y verrait sans doute un gage de crédibilité.

La vigilance, une ressource sociale

Cette différence ne se réduit pas à une opposition entre « jeunes connectés » et personnes âgées perdues devant un écran. Les chiffres de l’Insee montrent une fracture sociale. En 2023, 15,7 % des personnes de 15 ans ou plus étaient en situation d’illectronisme et 30,3 % disposaient de compétences numériques faibles. Parmi les moins de 60 ans, 55,2 % des ouvriers étaient en situation d’illectronisme ou avaient de faibles compétences numériques, contre 11,9 % des cadres et professions libérales.

Si un message vous donne envie de réagir immédiatement, c’est là qu’il faut commencer à se méfier.

C. Hénin

Pour Jessica Pidoux, sociologue du numérique et directrice de l’association pour la défense des droits de protection des données personnelles PersonalData.IO, cette inégalité tient en partie au fonctionnement même des services numériques. « Ce que fait la numérisation d’un processus, c’est qu’elle standardise, alors que les utilisateurs et les utilisatrices ne sont pas standardisés, explique-t-elle. On a tous un bagage culturel et technique différent », auquel s’ajoutent l’âge, la langue, l’équipement ou encore les ressources disponibles. Autrement dit, un même courrier électronique demandant à 678 000 contribuables de surveiller d’éventuelles tentatives de fraude ne rencontre pas 678 000 personnes disposant des mêmes outils pour y répondre.

Être à l’aise avec le numérique n’immunise d’ailleurs pas contre l’escroquerie. Gabriela Belaïd, vice-présidente du Cercle des femmes de la cybersécurité (CEFCYS) et présidente de CentraleSupélec au féminin, raconte avoir vu une professionnelle de la cybersécurité manquer de cliquer sur un faux message de livraison arrivé au bon moment. « On n’est pas en constante vigilance », souligne-t-elle.

Le phishing ne fonctionne pas seulement sur l’ignorance. Il exploite aussi la fatigue, l’émotion, l’urgence ou simplement l’inattention. « Si un message vous donne envie de réagir immédiatement, c’est là qu’il faut commencer à se méfier », résume Corinne Hénin, qui conseille de contacter directement l’organisme concerné plutôt que d’utiliser les coordonnées contenues dans le message reçu. La différence se joue donc moins entre ceux qui seraient vulnérables et ceux qui ne le seraient pas qu’entre les ressources disponibles au moment où le piège se referme.

Après la fuite… débrouillez-vous

Dans une attaque par rançongiciel, une entreprise peut se retrouver paralysée. Lors d’un vol de données, elle peut au contraire avoir rétabli ses systèmes et poursuivre son activité alors que le risque, lui, subsiste pour les personnes dont les informations circulent. Gabriela Belaïd résume brutalement le message qui leur est alors adressé : « Toutes nos excuses, mais maintenant, débrouillez-vous. » « On va déporter tout le poids de la charge des risques à venir sur nos citoyens usagers », estime-t-elle.

On est obligé d’être en super-vigilance. C’est vraiment un transfert de la charge mentale.

G. Belaïd

Puis viennent la surveillance des comptes, les messages suspects à examiner, les mots de passe à changer, parfois une carte bancaire à renouveler ou une banque à appeler. « On est obligé d’être en super-vigilance. C’est vraiment un transfert de la charge mentale. » L’histoire de quelques minutes pour certains, des heures de démarches pour d’autres. Et lorsqu’une fraude réussit, les pertes elles-mêmes ne pèsent pas de la même manière suivant les revenus. « Une petite somme pour quelqu’un qui n’a pas beaucoup, c’est tout de suite plus important », résume Corinne Hénin.

Une enquête réalisée pour la Cnil auprès de 2 082 personnes âgées de 15 ans et plus donne une idée des conséquences. 41 % des répondants déclarent avoir subi, au cours des trois années précédentes, au moins une utilisation frauduleuse ou non contrôlée de leurs données personnelles. Parmi eux, 21 % font état d’un préjudice financier. La perte moyenne déclarée atteint 740 euros et grimpe à 915 euros en cas de fraude à l’identité. La Cnil souligne elle-même que ces dommages représentent un coût particulièrement important « notamment pour les plus modestes ».

Une fois les données compromises, encore faut-il savoir quels droits exercer. Là aussi, l’égalité juridique se heurte à l’inégalité des ressources. Avec l’association PersonalData.IO, Jessica Pidoux accompagne des personnes qui ­souhaitent exercer leur droit d’accès aux données détenues par des entreprises. Identifier le bon interlocuteur, trouver le formulaire, confirmer la demande, prouver son identité, attendre, relancer si l’entreprise ne répond pas, puis comprendre les informations obtenues.

Quand il y a un vol massif de données, ce n’est pas notre responsabilité, c’est la responsabilité de l’institution.

J. Pidoux

« La question du temps est importante », insiste-t-elle. Le résultat d’une démarche n’est pas nécessairement compréhensible. Dans le cadre de son travail auprès de chauffeurs Uber, son association a vu des travailleurs utilisant essentiellement leur téléphone recevoir des archives compressées contenant une multitude de fichiers, parfois en anglais. Le droit d’accès existe pour tous, mais la possibilité concrète d’en tirer quelque chose, beaucoup moins.

La Cnil est elle-même arrivée à un constat similaire. Une enquête de son laboratoire d’innovation numérique menée en 2021 auprès de personnes ayant déposé plainte faisait apparaître un profil très particulier : 62 % des plaignants étaient des hommes et près de la moitié étaient diplômés d’un master ou plus. Cadres supérieurs et diplômés étaient surreprésentés.

Les Français n’y pouvaient rien

Cette individualisation est d’autant plus paradoxale que la personne dont les données ont été volées n’avait souvent aucune prise sur les conditions de leur conservation. « À partir du moment où les données sont confiées à une entreprise ou une administration, la sécurité ne dépend plus vraiment de vous », souligne Corinne Hénin. Dans le cas du fisc, les contribuables n’ont pas été piratés parce qu’ils avaient choisi un mauvais mot de passe. L’accès s’est fait par des identifiants usurpés d’un agent et d’un tiers autorisé. « Les Français n’y pouvaient rien », insiste-t-elle.

J’ai un compte sur les impôts, il y a une fuite de données, je n’ai pas le droit de fermer mon compte pour aller ailleurs.

C. Hénin

« Quand il y a un vol massif de données, ce n’est pas notre responsabilité, c’est la responsabilité de l’institution à laquelle on confie nos données de les protéger », explique Jessica Pidoux. La responsabilité individuelle, poursuit-elle, « ne suffit pas » face à des organisations disposant d’infrastructures, d’équipes juridiques, d’informaticiens et de moyens financiers nécessaires à la gestion de gigantesques bases de données. Le cas d’un vol de données d’une administration ajoute une difficulté supplémentaire : le consentement est fictif.

« En tant que société, on dépose toute notre confiance dans les institutions qui sont censées nous protéger », relève Jessica Pidoux. Lorsqu’un cadre numérique est imposé pour accomplir ses démarches, « on attend encore plus qu’il y ait les moyens d’assurer que notre vie privée, nos données personnelles et les systèmes informatiques soient protégés ». Si une entreprise perd ses données, son client peut fermer son compte et aller ailleurs. « Là, j’ai un compte sur les impôts, il y a une fuite de données, je n’ai pas le droit de fermer mon compte pour aller ailleurs. » L’administration devrait donc, selon Corinne Hénin, être « exemplaire ».

Après le piratage du fisc, l’État a annoncé des audits, un renforcement de la détection, la généralisation de la double authentification et de nouvelles mesures de cybersécurité. Mais pour les données déjà sorties, c’est trop tard. Aucune mise à jour ne permettra de revenir en arrière. Les fuites sont collectives, mais la vigilance demandée reste individuelle. Demander à chacun de « faire attention » revient alors à faire reposer le coût de la faille sur ceux qui ont le moins de moyens pour y faire face.