Cyberattaque de la DGFiP : l'électrochoc qui accélère la sécurisation des administrations

Une série d'intrusions détectées depuis juin 2026 a exposé des données fiscales. Face aux failles révélées, Bercy annonce un durcissement de la cybersécurité de la DGFiP.

Le piratage récent de la Direction générale des finances publiques (DGFiP) ne restera pas sans conséquence sur la cybersécurité de l’État. Après plusieurs compromissions ayant exposé des données fiscales sensibles, le gouvernement reconnaît la nécessité de renforcer la protection de ses systèmes d’information. De nouvelles mesures doivent désormais être déployées rapidement pour mieux sécuriser les accès et éviter qu’un scénario similaire ne se reproduise.

De premières intrusions détectées dès juin avant la révélation de la fuite

L’affaire débute plusieurs semaines avant sa révélation publique. Dès juin 2026, la Direction générale des finances publiques détecte la compromission d’un compte utilisé pour accéder à son système d’information et bloque l’accès concerné. Un scénario similaire se reproduit en juillet avec un second compte. À chaque fois, des investigations sont menées, mais elles ne permettent pas d’identifier l’exfiltration de données qui a déjà eu lieu.

La DGFiP ne prend connaissance du vol de données que le 12 août, après une alerte de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la revendication quasi simultanée de l’attaquant. Le 13 août, Bercy confirme publiquement qu’un accès illégitime a permis la consultation et l’extraction de données concernant des particuliers et des professionnels.

L’ampleur de l’incident se précise ensuite. La fuite principale concerne environ 350 000 particuliers et 250 000 comptes professionnels, selon la DGFiP. Une deuxième violation, portant sur des données cadastrales et révélée le 13 août, pourrait concerner jusqu’à 433 485 particuliers et 1 082 professionnels. Le 18 août, l’administration révèle une troisième fuite liée au portail des successions vacantes, dont l’accès anormal avait été détecté et coupé la veille.

Face à l’enchaînement des incidents, une cellule interministérielle de crise est réunie le 17 août. Le lendemain, le ministre de l’Action et des Comptes publics, David Amiel, présente ses excuses aux personnes concernées et reconnaît l’existence de faiblesses dans les systèmes d’information de l’État. C’est dans ce contexte que le gouvernement annonce un renforcement de la sécurité des accès à la DGFiP.

Une cyberattaque qui met en lumière les failles des accès à la DGFiP

Au-delà du volume de données dérobées, l’attaque contre la DGFiP soulève une question plus structurelle, celle de la sécurisation des accès à des systèmes contenant des informations fiscales particulièrement sensibles.

Les intrusions avaient pourtant été détectées dès juin puis juillet 2026 et les comptes utilisés avaient été bloqués. Les contrôles réalisés à ce moment-là n’avaient cependant pas permis d’identifier que des données avaient déjà été consultées et extraites. Bercy invoque la sophistication de l’attaque pour expliquer cette détection tardive.

L’incident montre ainsi les limites d’une sécurité reposant uniquement sur la détection et le blocage d’un compte compromis. Une fois un accès légitime détourné, l’attaquant peut se présenter au système avec des identifiants qui, en apparence, ne le distinguent pas immédiatement d’un utilisateur autorisé.

C’est précisément ce constat qui conduit aujourd’hui la DGFiP à revoir les moyens d’authentification de ses agents ainsi que le nombre d’accès accordés, leur périmètre et les dispositifs permettant de détecter des comportements inhabituels.

Des accès compromis plutôt qu’un piratage direct des comptes des contribuables

Le mode opératoire constitue un élément essentiel pour comprendre la réponse de Bercy. Selon le ministère de l’Économie et des Finances, les intrusions de juin et juillet reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Les pirates n’ont donc pas eu besoin de pénétrer directement dans les espaces personnels des contribuables sur impots.gouv.fr.

La DGFiP assure d’ailleurs que les espaces personnels des particuliers et des professionnels n’ont pas été compromis et que leurs mots de passe n’ont pas été dérobés. La CNIL reprend également cette information dans son point publié le 18 août.

En revanche, les accès usurpés ont permis de consulter des informations administratives particulièrement précises.

Parmi les données susceptibles d’avoir été exposées figurent notamment :

le numéro fiscal et l’état civil ;
les coordonnées postales, téléphoniques ou électroniques ;
le revenu fiscal de référence ;
la situation familiale et le quotient familial ;
le taux de prélèvement à la source ;
certaines informations cadastrales.

Même sans mot de passe permettant de se connecter à impots.gouv.fr, une telle combinaison d’informations peut augmenter la crédibilité d’une tentative de phishing ou d’une fraude par ingénierie sociale. C’est d’ailleurs l’un des principaux risques signalés par la CNIL aux personnes concernées.

L’authentification renforcée généralisée pour sécuriser les connexions

La réponse la plus directe concerne l’authentification. La DGFiP prévoit désormais de généraliser une authentification renforcée à l’ensemble de ses agents et à tous leurs accès d’ici à la fin de l’année 2026.

L’objectif est de réduire la capacité d’un attaquant à exploiter un identifiant et un mot de passe volés. Avec un mécanisme d’authentification supplémentaire, la possession des seuls identifiants ne suffit plus, en principe, à ouvrir l’accès au système.

Cette évolution concerne également les usagers. La DGFiP prévoit de réinitialiser le dispositif d’authentification à double facteur déployé auprès des particuliers au printemps 2026 et d’accélérer son extension aux professionnels, alors que celle-ci était jusqu’à présent programmée pour 2027.

L’authentification renforcée ne constitue toutefois qu’une partie du dispositif. L’affaire montre qu’un compte correctement authentifié peut devenir particulièrement dangereux lorsqu’il dispose d’un périmètre d’accès trop large. Bercy entend donc agir également sur les habilitations elles-mêmes.

Mots de passe, habilitations et accès externes : la DGFiP resserre les contrôles

La DGFiP engage parallèlement un durcissement plus large de ses règles d’accès. Certaines mesures ont été prises immédiatement après l’identification des intrusions, tandis que d’autres doivent être progressivement déployées.

L’administration prévoit :

la réinitialisation des mots de passe de l’ensemble de ses agents ;
la suppression de l’accès par Internet à certaines applications considérées comme sensibles ;
une limitation plus stricte du nombre de personnes pouvant accéder aux applications contenant des données sensibles ;
un contrôle renforcé des habilitations et des volumes de données accessibles.

Cette approche répond à un principe classique de cybersécurité : un utilisateur ne doit disposer que des droits strictement nécessaires à l’exercice de ses fonctions. Plus les accès sont nombreux et étendus, plus la compromission d’un seul compte peut offrir à un attaquant une surface d’action importante.

Bercy veut également mieux détecter ce qui se passe après l’authentification. David Amiel a évoqué la généralisation de quotas d’accès aux données et le déploiement de dispositifs de détection sur les systèmes qui n’en sont pas encore équipés. L’enjeu n’est donc plus uniquement de vérifier l’identité de la personne qui se connecte, mais également d’identifier rapidement un volume de consultations ou un comportement qui sortirait de l’ordinaire.

L’État renforce la sensibilisation de ses agents face au phishing

Le renforcement technique ne suffira pas si les identifiants continuent de pouvoir être récupérés en amont. La DGFiP prévoit donc également d’intensifier la formation de ses agents aux risques cyber, notamment face aux techniques d’hameçonnage.

Les campagnes de phishing simulées doivent être multipliées afin de tester les réactions des agents dans des conditions proches d’une véritable attaque. L’objectif est d’identifier les comportements à risque avant qu’un cybercriminel ne puisse les exploiter.

Cette dimension humaine est d’autant plus importante que l’attaque d’août ne repose pas, selon les informations communiquées par Bercy, sur le piratage du mot de passe de centaines de milliers de contribuables. Elle illustre au contraire la capacité d’un attaquant à exploiter quelques accès privilégiés pour atteindre un volume considérable de données.

Le gouvernement veut également aller plus loin dans les tests techniques. David Amiel a annoncé vouloir utiliser des outils d’intelligence artificielle afin de soumettre les systèmes de l’État à des simulations offensives et de rechercher leurs vulnérabilités avant qu’elles ne soient découvertes par des attaquants.

Un audit de sécurité pour identifier les failles du système

Toutes les causes de l’incident ne sont cependant pas encore établies. Un audit supervisé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) doit désormais analyser l’attaque et comparer les protections mises en œuvre à la DGFiP avec les meilleurs standards de cybersécurité.

L’audit devra permettre de répondre à trois questions :

comment les accès ont-ils pu être détournés ?
pourquoi l’exfiltration des données n’a-t-elle pas été détectée lors des premières investigations ?
quelles protections doivent être renforcées en priorité ?

Les premières conclusions sont attendues en septembre 2026. Elles doivent également être transmises aux membres des commissions des finances de l’Assemblée nationale et du Sénat et servir de base aux décisions qui suivront.

La DGFiP sera par ailleurs observée par un autre acteur : la CNIL. Celle-ci a été officiellement notifiée des violations et peut mener des investigations, sur pièces comme sur place, afin de déterminer si les mesures de sécurité appliquées étaient conformes à l’état de l’art. Elle rappelle que des manquements aux obligations prévues par le RGPD et la loi Informatique et Libertés peuvent donner lieu à des sanctions.

Une cyberattaque qui accélère la sécurisation numérique des administrations

L’affaire dépasse désormais le seul système fiscal. En présentant les nouvelles mesures le 18 août, David Amiel a reconnu l’existence de faiblesses dans les systèmes d’information de l’État. L’attaque agit ainsi comme un test grandeur nature des mécanismes de protection d’administrations qui gèrent quotidiennement des volumes considérables de données personnelles.

La DGFiP doit composer avec un système d’information vaste et ancien. Selon des chiffres communiqués par sa directrice générale Amélie Verdier, son niveau de conformité aux exigences de cybersécurité a progressé ces dernières années, mais reste encore loin d’une couverture complète : il serait passé d’environ 25 % en 2020 à un peu plus de 50 % aujourd’hui. La direction compte environ 100 postes consacrés à la cybersécurité parmi ses 5 300 informaticiens.

L’administration fiscale fait par ailleurs face à une pression constante. Près de 7 000 incidents de sécurité ont été recensés en 2025, dont plusieurs dizaines de compromissions de comptes.

L’enjeu des prochains mois sera donc moins de multiplier les mesures prises dans l’urgence que de vérifier leur capacité à réduire durablement le risque. Généralisation de l’authentification renforcée, réduction des habilitations, meilleure surveillance des accès, formation des agents et audit de l’ANSSI doivent désormais transformer les enseignements du piratage en protections opérationnelles.

Les conclusions attendues en septembre permettront surtout de déterminer si l’attaque de l’été 2026 restera un incident ayant provoqué une série de correctifs à la DGFiP, ou si elle marque le début d’un durcissement plus profond de la cybersécurité des administrations françaises.