Piratage de la DGFiP : pas d’attaque sophistiquée, mais une série de défaillances techniques

En mai 2026, la Direction générale des Finances publiques (DGFiP) a subi une intrusion informatique ayant compromis les données de 678 000 contribuables et entreprises. Deux adolescents de 16 et 18 ans ont été arrêtés fin août 2026, dont un mis en examen et placé en détention provisoire. L’Agence nationale de la sécurité des systèmes d’information (ANSSI), chargée de l’enquête, a publié un rapport détaillant les failles exploitées. L’attaque n’était pas sophistiquée, mais a profité de défaillances techniques et organisationnelles majeures au sein de l’administration fiscale française.

L’attaquant a pu accéder à près de 30 comptes (internes et externes) grâce à des identifiants et mots de passe déjà compromis, sans avoir besoin de les deviner par force brute (technique consistant à tester toutes les combinaisons possibles). Parmi ces comptes, certains appartenaient à des agents de la DGFiP, d’autres à des partenaires comme un géomètre-expert dont le poste infecté a permis de contourner la double authentification (système nécessitant deux preuves d’identité, comme un mot de passe et un code envoyé par SMS). La réinitialisation des mots de passe le 24 juin 2026 n’a pas stoppé l’exfiltration des données, car les sessions actives sont restées ouvertes et les machines infectées n’ont pas été isolées.

L’ANSSI souligne que les mécanismes de surveillance de la DGFiP n’ont pas détecté en temps réel les activités suspectes. Pourtant, plusieurs indices auraient dû alerter : l’attaquant a téléchargé 11 Go de données entre le 22 et le 25 juin 2026, puis 3 Go entre le 21 et le 23 juillet 2026. Il a aussi initié un nombre anormalement élevé de requêtes pour scraper (extraire automatiquement) les données, une technique qui aurait dû déclencher des alertes via un rate-limiting (limitation du nombre de requêtes par utilisateur). De plus, les connexions provenaient d’adresses IP localisées en Inde, parfois catégorisées comme malveillantes, ou associées à des VPN, et se produisaient majoritairement la nuit.

L’attaquant a utilisé le Réseau Interministériel de l’État (RIE), un système reliant les administrations françaises, pour accéder au portail ADER de la DGFiP (Accès Distant aux Échanges Réseau). Ce portail n’était pas surveillé par le Security Operation Center (SOC, centre de supervision des cybermenaces) de la DGFiP, contrairement à un autre portail. Le RIE a été compromis via un autre piratage : celui du ministère de l’Éducation nationale, lui-même connecté au RIE. L’ANSSI recommande un cloisonnement (séparation stricte) des accès entre ministères et une meilleure segmentation du réseau pour limiter les risques de latéralisation (propagation d’une attaque d’un système à un autre).

Plusieurs partenaires et prestataires ont alerté la DGFiP et l’ANSSI sur des comptes compromis dès juin 2026, mais certaines alertes n’ont pas été suivies d’effets immédiats. Par exemple, le 15 juin, un partenaire a signalé la compromission de deux comptes DGFiP, mais l’ANSSI n’a pas relancé la DGFiP. Le 29 juin, un autre signalement concernait un compte utilisé pour l’exfiltration du 24 juin, mais la DGFiP a affirmé l’avoir déjà réinitialisé. Le 1er juillet, un prestataire a informé la DGFiP de la vente de deux comptes, alors que des échecs de connexion suspects avaient été enregistrés les jours précédents depuis une IP liée à l’attaque.