Cyberattaque contre la DGFiP : 678 000 personnes et entreprises touchées par des accès frauduleux
Une cyberattaque contre la Direction générale des Finances publiques (DGFiP) a permis à des attaquants d’accéder à certaines données fiscales concernant environ 678 000 particuliers et professionnels. Le plus inquiétant dans cette affaire ? Les pirates n’ont pas eu besoin de compromettre directement les comptes personnels des contribuables.
L’incident met surtout en lumière un problème majeur de la cybersécurité moderne : un compte parfaitement légitime peut devenir une porte d’entrée dangereuse lorsqu’il tombe entre les mains d’un attaquant.
Une cyberattaque contre la DGFiP qui ne ressemble pas au scénario classique
Lorsqu’on pense à une cyberattaque, on imagine souvent un pirate découvrant une faille informatique, l’exploitant, puis prenant progressivement le contrôle d’un serveur ou d’un réseau.
Dans le cas de la DGFiP, le scénario est différent.
Selon le ministère de l’Économie et des Finances, des accès illégitimes au système d’information de la Direction générale des Finances publiques ont eu lieu en juin et juillet 2026. Les attaquants ont utilisé, par usurpation, les identifiants d’un agent de la DGFiP ainsi que ceux d’un tiers habilité.
Autrement dit, l’attaque ne repose pas, à ce stade, sur la découverte publique d’une faille permettant de « casser » directement les systèmes informatiques de l’administration.
Le problème se situe ailleurs : des identifiants légitimes ont été utilisés par des personnes qui n’étaient pas leurs propriétaires.
Un identifiant valide ne garantit pas que la personne qui l’utilise est réellement celle qu’elle prétend être.
Quand un compte légitime devient une porte d’entrée
Le principe est finalement assez simple.
Un agent possède un compte informatique et des droits d’accès correspondant à ses fonctions. Le système reconnaît ce compte et lui permet d’accéder aux ressources auxquelles il est autorisé.
Si les identifiants de ce compte sont compromis, un attaquant peut tenter d’utiliser ces mêmes droits.
Pour le système, la situation peut alors sembler parfaitement normale :
Identifiant valide → authentification réussie → compte autorisé → accès accordé.
Mais une question essentielle reste sans réponse :
Qui se trouve réellement derrière le compte ?
C’est précisément cette différence entre authentification et comportement réellement légitime qui constitue l’un des grands défis de la cybersécurité moderne.
678 000 particuliers et professionnels concernés
Les investigations menées après la découverte de l’incident ont établi que les accès compromis avaient été utilisés pour consulter et extraire certaines données concernant environ 678 000 particuliers et professionnels.
Les informations concernées comprennent notamment certaines données fiscales telles que :
- le revenu fiscal de référence ;
- le quotient familial ;
- le taux de prélèvement à la source ;
- certaines informations d’identification et coordonnées ;
- des informations relatives à des entreprises, notamment leur raison sociale et leur numéro SIREN.
Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.
La nature de ces informations explique évidemment pourquoi cette affaire fait l’objet d’une attention particulière.
Une précision importante : les comptes personnels des contribuables n’ont pas été compromis
Il existe cependant une différence essentielle entre le système d’information interne de la DGFiP et les espaces personnels utilisés par les contribuables.
Le ministère précise que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis.
Les identifiants et mots de passe utilisés par les particuliers et les professionnels pour accéder à leurs services en ligne n’ont pas été compromis dans le cadre de cette attaque.
Il ne faut donc pas présenter cette affaire comme un piratage massif des comptes personnels sur impots.gouv.fr.
Le problème ne s’arrête pas au moment où l’intrusion est détectée
C’est probablement l’un des aspects les plus intéressants de cette affaire pour les professionnels de la cybersécurité.
La DGFiP indique avoir détecté les intrusions et avoir immédiatement interrompu les accès des comptes utilisés dans les incidents identifiés.
Mais les contrôles réalisés à ce moment-là n’ont pas permis de déterminer immédiatement que ces intrusions avaient également conduit à des vols de données.
Les investigations approfondies lancées après la revendication publique de l’attaque ont ensuite permis d’établir que les accès compromis avaient été utilisés pour consulter et extraire certaines informations.
Cette situation met en évidence une distinction fondamentale dans la réponse à incident :
Détecter qu’un compte est compromis n’est pas la même chose que déterminer précisément ce que l’attaquant a fait avec ce compte.
Que s’est-il passé après la connexion ?
Imaginez qu’une équipe de sécurité découvre à 10 heures qu’un compte a été compromis et décide immédiatement de le désactiver.
La mesure est indispensable.
Mais elle ne répond pas à plusieurs questions essentielles :
- À quels systèmes le compte a-t-il accédé ?
- Quelles données ont été consultées ?
- Combien de dossiers ont été ouverts ?
- Quelle quantité de données a été extraite ?
- À quel moment ces opérations ont-elles eu lieu ?
- Les activités réalisées avant la désactivation étaient-elles inhabituelles ?
C’est précisément pour répondre à ce type de questions que les entreprises et les administrations accordent une importance croissante à la journalisation, à la surveillance des identités et à la corrélation des événements de sécurité.
Pourquoi un firewall ne peut pas tout empêcher
Il serait facile de penser qu’un firewall suffisamment performant aurait simplement pu bloquer l’attaque.
En réalité, le problème est beaucoup plus subtil.
Un firewall constitue une couche essentielle de protection du réseau, mais il ne peut pas nécessairement déterminer qu’un utilisateur légitime est en réalité un attaquant utilisant un compte compromis.
Si la connexion utilise un canal autorisé et des identifiants valides, l’activité peut ressembler, au moins au départ, à une utilisation normale.
La question devient alors :
« Cette utilisation correspond-elle réellement au comportement habituel de ce compte ? »
La cybersécurité moderne ne repose plus uniquement sur l’authentification
Les environnements informatiques sensibles utilisent aujourd’hui plusieurs couches de protection.
Parmi elles figurent notamment :
- MFA : authentification multifacteur ;
- IAM : gestion des identités et des accès ;
- Least Privilege : principe du moindre privilège ;
- EDR/XDR : surveillance et détection des activités suspectes sur les environnements informatiques ;
- SIEM : centralisation et corrélation des événements de sécurité ;
- DLP : prévention des fuites ou pertes de données ;
- journalisation et audit : conservation des traces permettant de reconstituer les événements.
Aucune de ces technologies ne constitue cependant une solution magique.
La sécurité repose sur la combinaison de plusieurs mécanismes capables de se compléter.
Le comportement peut être aussi important que l’identité
Imaginons un utilisateur qui consulte chaque jour un nombre relativement stable de dossiers, toujours sur les mêmes applications et dans le cadre de ses fonctions habituelles.
Si son compte commence soudainement à consulter un volume extrêmement important de données ou à accéder à des ressources qu’il n’utilise normalement jamais, cette activité peut constituer un signal d’alerte.
Le système de sécurité doit alors être capable de mettre en relation plusieurs informations :
- l’identité utilisée ;
- le terminal utilisé ;
- l’heure de connexion ;
- les ressources consultées ;
- le volume d’activité ;
- les événements réseau associés ;
- les changements par rapport au comportement habituel.
C’est ce que l’on retrouve notamment derrière les approches modernes de détection comportementale et d’analyse des identités.
Le rôle du SIEM dans ce type de situation
Un SIEM permet de centraliser et de corréler des événements provenant de nombreuses sources différentes.
Au lieu d’observer séparément une connexion, une consultation de données ou une activité réseau, les équipes de sécurité peuvent chercher à reconstruire une séquence complète.
Par exemple :
Connexion inhabituelle → accès à une ressource sensible → augmentation du volume de consultations → activité inhabituelle → tentative d’extraction de données.
Pris individuellement, chacun de ces événements peut sembler relativement banal.
Pris ensemble, ils peuvent constituer un signal beaucoup plus important.
La véritable question n’est pas seulement « qui s’est connecté ? »
L’affaire de la DGFiP illustre une évolution fondamentale de la cybersécurité.
Pendant longtemps, la logique pouvait être résumée de manière très simple :
Utilisateur → mot de passe → accès.
Dans les environnements modernes qui manipulent des données sensibles, cette approche ne suffit plus.
Les équipes de sécurité doivent également chercher à comprendre :
« Que s’est-il passé après la connexion ? »
Cette question peut être déterminante lorsqu’un compte légitime a été détourné.
Une leçon importante pour les entreprises et les administrations
L’incident de la DGFiP rappelle une réalité fondamentale : un compte légitime peut devenir une porte d’entrée extrêmement dangereuse lorsqu’il est compromis.
Un attaquant n’a pas nécessairement besoin de découvrir une vulnérabilité spectaculaire pour causer des dommages importants.
La combinaison suivante peut déjà représenter un risque considérable :
Identifiants compromis + privilèges importants + surveillance insuffisante.
C’est pourquoi la sécurité des systèmes d’information repose de plus en plus sur une approche combinant gestion des identités, authentification forte, moindre privilège, surveillance des terminaux, analyse des événements réseau, journalisation et détection comportementale.
La véritable leçon de l’affaire DGFiP
Cette cyberattaque permet finalement de rappeler une règle essentielle :
Une authentification réussie ne signifie pas nécessairement qu’une activité est légitime.
L’authentification permet principalement de vérifier que les informations présentées correspondent à un compte reconnu.
La cybersécurité doit ensuite déterminer si l’utilisation de ce compte est cohérente avec son contexte et son comportement habituel.
Dans une administration qui traite des informations fiscales concernant des millions de personnes, cette différence peut être considérable.
La CNIL, informée de la violation de données, a indiqué que ses vérifications étaient en cours. Elle recommande notamment aux personnes concernées de rester vigilantes face aux éventuelles tentatives d’hameçonnage qui pourraient exploiter les informations récupérées lors de l’attaque.
La leçon est donc simple : protéger une identité ne consiste plus seulement à vérifier un mot de passe. Il faut également être capable de comprendre ce que fait cette identité une fois connectée.
À retenir
- 678 000 particuliers et professionnels sont concernés par les données identifiées comme consultées ou extraites.
- Les accès frauduleux ont reposé sur l’usurpation d’identifiants.
- Les espaces personnels des contribuables n’ont pas été compromis.
- Les mots de passe et identifiants des particuliers et professionnels n’ont pas été compromis dans cette attaque.
- La détection d’une intrusion ne suffit pas : il faut également comprendre ce qui s’est produit après l’accès.
- La journalisation, le SIEM, l’IAM, le MFA, l’EDR/XDR et la détection comportementale jouent chacun un rôle complémentaire.
