DGFiP : deux comptes légitimes, 678 437 personnes concernées

L'attaquant n'a pas contourné les contrôles. Il les a franchis avec des identifiants qui avaient le droit de passer.

Publié le 17 août 2026 par Cédric Lécuyer. 6 minutes de lecture.

Les faits

Le Gouvernement a révélé, dans un communiqué du 14 août 2026, des accès frauduleux au système d'information de la direction générale des Finances publiques.

Les investigations ont établi la consultation et l'extraction possible de données fiscales et cadastrales relatives à 678 437 particuliers et professionnels, dont 392 867 particuliers et 285 570 professionnels. Les informations concernées portent notamment sur l'identité des contribuables, leur quotient familial, leur revenu fiscal de référence et leur taux de prélèvement à la source.

La chronologie mérite d'être relevée. Les intrusions ont eu lieu en juin et juillet 2026. Elles n'ont été revendiquées que les 12 et 13 août par un acteur malveillant, qui a annoncé la mise en vente de la base. Les investigations se poursuivent avec les services des ministères économiques et financiers et l'ANSSI, l'administration ayant prévu de notifier l'incident à la CNIL et de déposer plainte.

Le mode opératoire est le point central : il repose sur l'usurpation des identifiants de deux comptes légitimes, celui d'un agent de la DGFiP et celui d'un tiers habilité à accéder au système.

Ce que ce mode opératoire signifie

Aucune vulnérabilité technique n'est en cause. Les comptes utilisés avaient le droit d'accéder aux données consultées.

Cela déplace la question. Les mesures de sécurité périmétrique, cloisonnement réseau, filtrage, protection contre les codes malveillants, sont conçues pour empêcher un accès non autorisé. Elles ne produisent rien face à un accès autorisé exercé par la mauvaise personne.

Deux conséquences s'imposent.

La première tient au délai de détection. Entre les intrusions de juin et juillet et leur révélation mi-août, l'écart se compte en semaines. Ce délai est le symptôme d'une détection fondée sur les tentatives d'intrusion plutôt que sur les usages : un compte légitime qui consulte des centaines de milliers de dossiers ne déclenche aucune alerte périmétrique, puisqu'il ne franchit aucune barrière. Seule une supervision des comportements peut le repérer, en comparant l'activité observée à l'activité habituelle du compte.

La seconde tient au périmètre des droits. L'ampleur des données extraites est déterminée par ce que les comptes pouvaient atteindre. Un compte dont les droits excèdent le besoin réel transforme une compromission individuelle en incident de masse.

Le tiers habilité

C'est l'élément le plus instructif, et le moins commenté.

L'un des deux comptes n'appartenait pas à un agent de l'administration mais à un tiers habilité. Cette catégorie recouvre, selon les organisations, des prestataires, des mandataires, des partenaires institutionnels, des délégataires.

Ces accès partagent des caractéristiques qui les rendent difficiles à maîtriser. Ils sont ouverts pour un besoin précis, souvent dans l'urgence d'un projet. Ils sont rarement rattachés à une personne physique identifiée côté prestataire, ce qui rend l'attribution des actions incertaine. Ils survivent fréquemment à la fin de la relation contractuelle, parce que rien ne déclenche automatiquement leur fermeture. Et leur revue suppose une coordination entre le service acheteur, la direction des systèmes d'information et le métier, coordination qui n'a le plus souvent aucun propriétaire désigné.

C'est exactement le point que le Référentiel Cyber France traite à travers son objectif de maîtrise de l'écosystème, distinct de la gestion des identités et des accès des utilisateurs internes. La réglementation à venir considère la relation avec les tiers comme un risque en soi, et non comme une extension du périmètre interne.

Quatre contrôles qui auraient une valeur

Aucun ne relève de la prouesse technique. Tous relèvent de la tenue.

La revue périodique des habilitations, conduite par le métier et non par l'exploitant informatique. Seul le responsable du processus sait si un accès correspond encore à un besoin. Une revue conduite par la direction des systèmes d'information vérifie que les comptes existent, pas qu'ils sont justifiés.

Le rattachement nominatif des accès de tiers. Un compte partagé au sein d'un prestataire rend l'imputation impossible et la révocation grossière. Un compte nominatif permet de savoir qui a fait quoi et de fermer un accès quand une personne quitte le prestataire.

La liaison entre le cycle de vie du contrat et celui des accès. La fin d'un marché doit déclencher la fermeture des accès associés. Tant que ce lien n'est pas établi, la fermeture repose sur la mémoire d'un agent.

La détection des usages atypiques, enfin : volumes de consultation inhabituels, horaires anormaux, accès à des dossiers sans lien avec le portefeuille du compte. C'est le seul contrôle qui puisse repérer un accès légitime détourné.

Une remarque de mesure

Le communiqué gouvernemental porte sur les données fiscales et cadastrales des 678 437 personnes identifiées. Une revendication ultérieure de l'attaquant, portant sur un volume plus important de données cadastrales, n'a pas fait l'objet de la même confirmation officielle à la date de cet article.

La distinction entre ce qui est établi par l'investigation et ce qui est revendiqué par un attaquant mérite d'être maintenue. Un attaquant a intérêt à majorer son butin ; une administration a l'obligation de ne communiquer que ce qu'elle a constaté. Les deux registres ne se valent pas.

Sources

• Cyberattaque contre la DGFiP : 678 000 usagers potentiellement concernés, LégiFiscal

• Référentiel Cyber France, ReCyF, version 2.5 du 17 mars 2026, Agence nationale de la sécurité des systèmes d'information

• Panorama de la cybermenace 2025, CERT-FR, ANSSI