Fisc français piraté : des identifiants volés, pas de double authentification, et personne n’a rien vu

Pas de faille inconnue, pas de logiciel d’espionnage de haut vol. Pour piller des données du fisc français, il a suffi d’identifiants volés, de portails sans double authentification, et d’une surveillance qui regardait ailleurs.

Ce que dit l’ANSSI

À la demande du Premier ministre, l’Agence nationale de la sécurité des systèmes d’information a enquêté sur les attaques qui ont touché la Direction générale des finances publiques entre mai et août 2026. Son rapport, remis le 24 septembre, a été publié le 29. Il retrace deux fuites : l’une revendiquée le 12 août sur la plateforme impots.gouv.fr, l’autre le 13 août sur des données cadastrales.

Trois défaillances

• Les identités : les attaquants ont volé et utilisé des identifiants légitimes d’agents de la DGFiP. Ces identifiants avaient été utilisés sur des équipements personnels, et les portails donnant accès à des ressources sensibles n’exigeaient pas d’authentification forte.
• L’architecture : des applications sensibles étaient exposées sur Internet, ou accessibles depuis le réseau interministériel de l’État sans cloisonnement. Les attaquants ont d’ailleurs rebondi depuis le ministère de l’Éducation nationale.
• La détection : aucune des deux vagues d’exfiltration n’a été repérée, ni par la DGFiP, qui ne surveillait pas l’un des portails utilisés, ni par l’ANSSI, dont les sondes ne voient que les entrées et sorties du réseau et pas les journaux des applications.

L’ANSSI écrit donc noir sur blanc que ses propres outils n’ont rien vu. Un plan d’action a été défini avec la DGFiP.

Ce que le rapport détaille

Le rapport complet précise l’ampleur du problème. En trois mois, plusieurs dizaines d’identifiants d’agents ont été volés, probablement par des logiciels espions de type infostealer installés sur des ordinateurs que la DGFiP ne gérait pas. La veille sur les comptes compromis que la DGFiP avait mise en place a prouvé son utilité, note l’ANSSI, mais elle était trop lente et incomplète pour suffire.

Pour les données cadastrales, une double authentification existait bien : un code envoyé par e-mail. Elle a été contournée grâce au poste piraté d’un géomètre-expert travaillant dans un cabinet privé, et les données ont été extraites entre le 27 juillet et le 8 août. L’attaquant revendique 2 millions de personnes concernées, un chiffre qui reste le sien.

Côté surveillance, des volumes énormes sont sortis sans déclencher d’alerte : 11 Go entre le 22 et le 25 juin, puis 3 Go entre le 21 et le 23 juillet. Le nombre de requêtes par utilisateur n’était pas surveillé non plus, alors que l’aspiration de données en demande des milliers.

La leçon vaut partout

Le scénario n’a rien de spécifique à la France : des mots de passe professionnels saisis sur un ordinateur personnel infecté, puis réutilisés sur un portail qui se contente d’un mot de passe. C’est exactement le cas que la double authentification sert à bloquer, pour une administration comme pour une PME ou une ASBL. Et l’épisode du géomètre montre qu’un code reçu par e-mail ne protège plus grand-chose quand la messagerie tourne sur le même poste infecté.

En bref

• Rapport de l’ANSSI sur les attaques contre la DGFiP de mai à août 2026.
• Identifiants volés sur des appareils personnels, sans authentification forte.
• Applications sensibles exposées, rebond depuis l’Éducation nationale.
• Aucune détection, malgré 11 Go sortis en quatre jours de juin.

Sources : annonce de l’ANSSI, rapport d’incident (PDF).

Le Bien Heureux · Rédaction Capibara · Mercredi 30 septembre 2026