Sécurité des données
Accès bureaucratique et risque de fuite
Pourquoi une base partagée entre administrations est un « honeypot » : elle multiplie les points d'accès humains et rend la fuite d'un seul acteur potentiellement catastrophique.
Mis à jour le
Réponse courte
Une base de données partagée entre administrations est, par nature, une cible à très haute valeur : un « honeypot ». Plus une base est grande, précieuse et interrogeable, plus l’effort des attaquants sera important et plus une seule fuite sera dévastatrice. Les prestataires crypto (CASP) régulés sous MiCA, DORA et RGPD sont des professionnels surveillés, sanctionnables et incités financièrement à protéger leurs clients. DAC8 fait l’inverse : les données transitent vers des réseaux administratifs de déclaration où les accès sont plus larges et la responsabilité plus difficile à évaluer pour l’utilisateur. La sécurité de l’ensemble vaut alors celle du maillon le plus faible. La minimisation des données est donc une mesure de sécurité, pas seulement un principe juridique : la base la plus sûre est celle qui n’a pas besoin d’exister.
Faits clés
| Repère | Chiffre ou fait |
|---|---|
| CASP autorisés (modèle actuel, sans DAC8) | environ 100 à 200 entités indépendantes |
| Fuite restée circonscrite (exemple Waltio) | 50 000 clients |
| Modèle DAC8 | 1 base centralisée × 27 administrations = 27 cibles équivalentes |
| Agents d’une seule administration (DGFiP) | environ 100 000 |
| MiCA en vigueur | depuis le 30 décembre 2024 |
| DORA en vigueur | depuis janvier 2025 (incident majeur notifié sous 4 h, rapport complet sous 72 h) |
| Sanctions RGPD | jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial |
| Amende d’une administration (Bulgarie, 2019) | 2,9 M€ payés par le contribuable bulgare à l’État bulgare |
Le principe : ne pas concentrer la cible
The concentration of vast amounts of sensitive identity data in one location transforms these databases into highly attractive targets, or ‘honeypots’, for hackers and identity thieves.
Une base de données n’est jamais seulement un objet technique. Elle est entourée d’administrateurs, d’agents, de prestataires, de sous-traitants, d’auditeurs, de processus de support et de systèmes d’accès. Plus la base est grande et précieuse, plus l’effort des attaquants sera important, et plus les conséquences d’une fuite seront dévastatrices. La cible DAC8 sera l’une des plus précieuses d’Europe.
Le risque humain
La sécurité d’une base partagée dépend de tous les accès accordés. Plus le nombre d’administrations, de systèmes et d’intervenants augmente, plus la probabilité d’une erreur, d’un abus ou d’une compromission augmente. À mesure que les données sont échangées entre juridictions, le nombre de personnes et de systèmes pouvant y accéder croît : un seul compte compromis, un agent interne corrompu ou une simple erreur opérationnelle peut exposer des informations collectées sur une très large population.
Dans un réseau DAC8/CARF, le risque n’est pas seulement le piratage externe. C’est aussi l’accès interne : consultation abusive, extraction, revente, corruption, erreur de configuration ou prestataire compromis.
Les CASP : des professionnels surveillés et incités
Les CASP autorisés sous MiCA sont soumis à un cadre strict :
- MiCA (depuis le 30 décembre 2024) : gestion des risques ICT, ségrégation des actifs clients, authentification renforcée, monitoring continu ;
- DORA (depuis janvier 2025) : identification, protection, détection, réponse et récupération ; notification des incidents majeurs sous 4 h, rapport complet sous 72 h ; tests de résilience et audits indépendants ;
- RGPD : sanctions jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial.
| Incitation | CASP privé | Administration fiscale |
|---|---|---|
| Perte de licence en cas de fuite | Oui (MiCA) | Non applicable |
| Perte de clients | Forte (concurrence) | Captive |
| Réputation commerciale | Risque existentiel | Limité |
| Sanctions financières | Jusqu’à 4 % du CA (RGPD) | Souvent symboliques |
| Responsabilité des dirigeants | MLRO, Compliance Officer | Diluée |
| Investissement cybersécurité | Permanent | Souvent en retard |
La surface d’attaque comparée
- Modèle actuel (sans DAC8) : environ 100 à 200 CASP autorisés, chacun avec ses propres systèmes. Compromettre la majorité des détenteurs exige de pirater des dizaines d’entités indépendantes ; une fuite reste circonscrite (Waltio : 50 000 clients).
- Modèle DAC8 : 1 base centralisée × 27 administrations = 27 cibles équivalentes, avec des millions d’agents et de prestataires potentiellement exposés à l’échelle mondiale (DGFiP : environ 100 000). Une seule administration défaillante peut compromettre tous les détenteurs de sa juridiction.
27 administrations partagent les données. La sécurité de l’ensemble est celle du maillon le plus faible.
Pourquoi une seule fuite suffit
Une fuite de données crypto peut être plus grave qu’une fuite de données administratives classiques. Si elle relie identité, adresse, historique et valeur économique, elle peut servir à cibler physiquement des personnes.
Le problème est asymétrique : il suffit d’un point faible pour exposer un grand nombre de personnes, mais chaque victime doit ensuite gérer seule les conséquences. Plus la base est précieuse et interrogeable, plus une seule fuite devient dommageable.
Le principe de minimisation
La meilleure sécurité n’est pas seulement de protéger une grande base. C’est d’éviter de créer une grande base lorsque l’objectif peut être atteint avec une demande ciblée. La centralisation n’élimine pas le risque : elle le concentre.
La minimisation des données est donc une mesure de sécurité, pas seulement un principe juridique abstrait. La base la plus sûre est celle qui n’a pas besoin d’exister.
Pages liées
- Fuites de données
- Centralisation vs dissémination
- DAC8, MiCA et DORA
- Les proches en première ligne
- Le droit de communication
Breached.company, The Digital Honeypot, septembre 2025 · Cyfrin, Global Relay, Unit21 (MiCA / DORA) · NRA Bulgarie, 2019.