Le fisc pillé sans effraction
Aucun génie, aucune faille inédite : le fisc a été pillé avec les mots de passe de ses propres agents. Le rapport de l'ANSSI remonte la piste jusqu'à des ordinateurs personnels infectés, des portails sans second facteur et une supervision aveugle. 353 000 particuliers et 252 000 professionnels sont touchés. Première recommandation : proscrire les appareils personnels.
Le 12 août 2026, un acteur nommé Zerobytes revendique sur un forum le vol de données d’impots.gouv.fr. Le lendemain, il en publie le détail, puis annonce une seconde prise : des données cadastrales. Saisie par le Premier ministre, l’ANSSI a remis un rapport daté du 23 septembre, rendu public le 29 dans une version caviardée. Sa conclusion tient en une phrase :
« La compromission des SI de la DGFIP n’est pas la conséquence d’une attaque sophistiquée, mais de l’exploitation de faiblesses dans trois domaines. »
Des mots de passe ramassés sur des PC personnels
Ni force brute, ni credential stuffing. L’attaquant avait déjà les mots de passe : plusieurs dizaines d’identifiants d’agents, collectés en trois mois, « probablement compromis via des logiciels espions (de type infostealers) sur des ordinateurs non administrés par la DGFIP ». Notamment des appareils personnels.
Deux portails, PIGP et ADER, ne demandaient aucun second facteur. Le troisième, APEX, ouvert aux notaires et géomètres-experts, en exigeait un : un code envoyé par courriel. Le poste d’un géomètre-expert étant compromis, sa messagerie l’était aussi. Le second facteur n’a rien protégé.
La veille sur les comptes revendus fonctionnait, et le SOC réinitialisait les mots de passe signalés. Mais l’ANSSI est nette : une réinitialisation ne vaut que si l’appareil infecté est nettoyé, ce que personne ne peut garantir sur un ordinateur personnel ou chez un partenaire.
Entrée par l’Éducation nationale, sortie sans témoin
L’attaquant a rejoint ADER par le Réseau interministériel de l’État, depuis des infrastructures compromises de l’Éducation nationale. Ce ministère avait pourtant diffusé dix-sept marqueurs aux autres le 9 juin. La segmentation du RIE est jugée « trop permissive ».
Puis l’exfiltration : 11 Go entre le 22 et le 25 juin, 3 Go fin juillet, par scraping de l’application E-Contact. Connexions nocturnes, adresses en Inde ou réputées malveillantes, volumes anormaux : aucun signal n’a été corrélé. Le SOC ne supervisait pas ADER. Les sondes de l’ANSSI, placées sur le réseau, ne voient pas l’intérieur des applications.
Le 24 juin, le SOC réinitialise le mot de passe du compte suspect. La session ouverte continue, et l’exfiltration avec. Aucune des deux vagues n’a été détectée : on l’a appris par la revendication, sept semaines plus tard.
Ce que l’ANSSI prescrit
Le plan de remédiation commence par le poste de travail :
« L’usage d’appareils personnels pour accéder à des ressources professionnelles doit être proscrit. »
Suivent : des applications internes accessibles seulement depuis des postes administrés ou par VPN ; une authentification multifacteur partout, avec un second facteur « résistant à la compromission du premier » — clé physique ou application dédiée, sur un autre appareil ; chaque application versée dans un SIEM, avec des quotas de consultation ; la révocation des sessions actives à chaque réinitialisation ; des droits limités au besoin d’en connaître. Un audit complet doit suivre.
Rien de tout cela n’est nouveau. C’est le socle de toute politique de sécurité. Ce qui frappe, c’est son absence dans l’administration qui détient les données de tous les contribuables.
La leçon vaut pour chaque collectivité dont les agents consultent un portail métier depuis l’ordinateur familial. Elle tombe alors que le projet de loi Résilience, qui transpose NIS2 avec deux ans de retard, a encore été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre.
Sources
ANSSI, Rapport d’incident – Actes malveillants observés sur le système d’information de la Direction générale des Finances publiques entre mai 2026 et août 2026, n° 3033/ANSSI/SDO/NP, 23 septembre 2026, 20 pages, version publique caviardée.
Consulter le rapport d’incident de l’ANSSI (PDF, 20 pages)
A. Boero, « Piratage de la DGFiP : l’ANSSI raconte comment des mots de passe volés ont conduit à la catastrophe », Clubic, 29 septembre 2026. « Piratage de la DGFiP : l’Anssi décrit une attaque révélatrice de fragilités structurelles », Localtis, 30 septembre 2026. « NIS 2 : l’Assemblée nationale reporte de nouveau l’examen du projet de loi Résilience », Leto, 6 octobre 2026.
Frédéric Mouillère
Frédéric Mouillère assure une veille régulière sur le droit du numérique, la propriété intellectuelle et l'intelligence artificielle, à l'attention des professionnels, à la convergence des technologies et de la création.
