La Direction Générale des Finances Publiques (DGFiP) est une des administrations traitant parmi les données les plus sensibles. Ces données sont par ailleurs partagées avec de nombreuses autres administrations dans le cadre du « Dites-le nous une fois » ou de la lutte contre la fraude. C’est dire à quel point la sécurité des données est un sujet de très haute sensibilité et la confiance de la population dans cette sécurité absolument vitale. Après les annonces de fuites de données très sensibles, une conférence de presse a été organisée le 18 août 2026 à Bercy. Pour la première fois, un ministre venait rendre des comptes sur un cyber-incident au côté d’une directrice générale d’administration centrale, avec bien évidemment une plus classique représentation de l’ANSSI. David Amiel (Ministre de l’Action et des Comptes Publics), Amélie Verdier (directrice générale des finances publiques) et le général Stéphane Bajard (directeur général adjoint de l’ANSSI) ont ainsi expliqué les incidents et détaillé les mesures prises en réaction.
La tonalité des discours était fortement expiatoire avec « une pleine conscience de la gravité des faits » selon les mots d’Amélie Verdier. David Amiel et Amélie Verdier ont ainsi plusieurs fois présenté leurs excuses aux citoyens concernés autant qu’aux agents de la DGFiP. La colère ressentie par les victimes a ainsi été déclarée comprise. Amélie Verdier a dû aussi rendre des comptes aux organisations syndicales et aux représentants des personnels car la confiance des citoyens dans les agents est essentielle au travail de ceux-ci. David Amiel a cependant insisté sur la nécessité de punir les cyberdélinquants en tout premier lieu : des plaintes ont donc été déposées et des enquêtes mobilisant police et justice lancées. Le général Stéphane Bajard a rappelé le contexte de forte croissance des attaques. 196 incidents avec exfiltrations de données ont été recensés en 2025 (+50 % par rapport à 2024) et 2026 maintient la tendance haussière. Pour l’ANSSI, les cybercriminels préfèrent désormais les exfiltrations de données aux autres attaques car elles sont moins faciles à repérer tout en étant plus simples et plus lucratives. Ils recherchent la notoriété, l’enrichissement via la revente de données et aussi la déstabilisation des institutions.
Trois incidents aux gravités très différentes
La DGFiP a en fait connu trois incidents successifs. « Aucun des incidents n’a mené à une intrusion ou à une récupération de modalités d’accès » a cependant précisé Amélie Verdier. Révélée le 12 août 2026, le plus grave de ces incidents a concerné plus de 350 000 particuliers et un certain nombre d’entreprises. Les données concernant les entreprises étaient globalement publiques, ce qui n’est pas le cas des données concernant les particuliers puisque l’on y trouve des revenus précis, des parts fiscales, etc. En fait, le pirate a simplement utilisé des comptes compromis pour accéder à une messagerie reliant les contribuables et les agents. Or cette messagerie présente un « résumé de situation fiscale » dans une fenêtre afin que l’agent puisse avoir sous les yeux l’essentiel de la situation de son interlocuteur. 57 comptes ont été identifiés comme compromis en juin 2026 et aussitôt bloqués. Mais l’extraction de données n’avait pas été repérée à l’époque, le pirate ayant pris soin de ne pas consulter trop de fiches et de rester sous les seuils de déclenchement d’alerte (des requêtes de masse peuvent être normales dans le travail quotidien des agents). L’alerte de l’ANSSI à la DGFiP a eu lieu le 12 août, presque simultanément à la publication de la revendication. L’ANSSI et la DGFiP refusent de détailler les modalités de la détection de l’incident.
Le 13 août, un accès frauduleux aux données cadastrales a ensuite eu lieu. Les revendications des pirates ont été décrites comme exagérées. Ces données sont liées aux interrogations du cadastre et ne concernent en fait que des données qui sont globalement publiques sur demande. Enfin, le 18 août, un pirate a accédé à la liste des demandes opérées sur un portail de recherche de successions vacantes. L’analyse de cette dernière attaque est toujours en cours. Dans les trois cas, la cybersécurité était insuffisante selon les bonnes pratiques. En effet, la simple compromission d’un couple identifiant/mot de passe suffisait à accéder aux données. Certes, il est nécessaire qu’un contrôleur fiscal puisse interroger le SI de la DGFiP depuis n’importe quel site (dont les bureaux d’un contribuable contrôlé) mais l’absence de double authentification et d’obligation de VPN demeurent des fautes.
Des mesures d’urgence et un plan à plus long terme
L’obligation du VPN a ainsi été aussitôt décidée pour toutes les applications, y compris la messagerie. La généralisation de l’authentification forte a aussi été accélérée. De même, la réinitialisation obligatoire des mots de passe a vu sa fréquence augmenter. Plusieurs fois, il a été répété que « le risque zéro n’existe pas ». Mais des bonnes pratiques de base manquaient. Celles-ci sont en train d’être mises en place. Mieux vaut tard que jamais… Certes, des outils anciens, initialement en circuit fermé, ont été progressivement connectés et ouverts. Il en résulte une dette technique génératrice de failles, problème bien connu du monde hospitalier ou du secteur industriel où des appareils fort coûteux sont acquis pour dix ou vingt ans et ont été connectés après coup. L’ANSSI a été chargée d’un audit général pour tirer toutes les leçons de l’attaque. Les résultats de cet audit seront publiés et transmis au parlement en septembre.
La « feuille de route cyber » publiée au premier semestre sera ainsi complétée en fonction de ces conclusions. La sensibilisation des agents sera accrue, notamment via des campagnes de faux phishing. Bien évidemment, la double authentification sera généralisée plus rapidement. Et comme l’IA est à la mode, en plus d’être largement employée par les pirates dans leurs attaques, le ministre a voulu que l’IA soit de plus en plus utilisée aussi en défense, y compris pour détecter les failles avant des attaquants. L’audit de l’ANSSI devra aussi permettre de prioriser les différents chantiers en fonction de l’analyse de risques.
La confiance ébranlée
Face à une « France Passoire », la confiance dans la capacité de l’État à sécuriser les données sensibles transmises aux administrations est évidemment mise en cause. Cependant, il a été clairement exclu de décaler la réforme de la facturation électronique obligatoire. Les incidents n’ont aucun rapport avec cette réforme et, surtout, celle-ci n’implique pas de transmission de données nouvelles : il s’agit juste de disposer d’une information en temps réel au lieu d’informations par trimestres. Et l’administration n’est pas seule à faire n’importe quoi… Amélie Verdier a ainsi raconté que la DGFiP avait bloqué en urgence, il y a dix-huit mois, le compte d’un grand cabinet d’expertise comptable où un seul couple identifiant/mot de passe était partagé entre des centaines de collaborateurs...
Evidemment, le renforcement de la sécurité pourrait entraîner des perturbations dans les interrogations des fichiers fiscaux par des partenaires de la DGFiP dans le cadre du fameux « Dites-le nous une fois ». Mais Amélie Verdier s’est engagé à ce que les perturbations soient négligeables ou nulles. Enfin, la grande anarchie où chaque ministère fait un peu ce qu’il veut (y compris recourir à des produits interdits aux nombreuses failles comme Microsoft Office 365), malgré les exigences de l’ANSSI et de la DINUM, semble sur le point de disparaître. David Amiel a rappelé le déploiement général d’outils souverains comme Visio à la place de Zoom et Teams. De même, la création de l’Ariane en janvier 2027, pour remplacer la DINUM, visera notamment à un meilleur respect des bonnes pratiques et une plus grande mutualisation des projets.
