Cyberattaque DGFiP 2026 : ce que révèle le rapport ANSSI
En août 2026, la Direction générale des finances publiques (DGFiP) a été confrontée à la révélation de plusieurs vols de données. L’affaire a rapidement suscité des interrogations sur la sécurité des systèmes informatiques de l’administration fiscale française.
Le 29 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a rendu public son rapport d’investigation. Ce document retrace les activités malveillantes observées entre mai et août 2026 et met en évidence plusieurs faiblesses qui ont facilité les intrusions.
Au-delà de la DGFiP, ce rapport mérite l’attention des dirigeants d’entreprise et des responsables informatiques. Il montre comment des pratiques de sécurité insuffisantes, parfois considérées comme secondaires, peuvent compromettre un système d’information pourtant doté de moyens importants.
Une cyberattaque qui s’est déroulée sur plusieurs semaines
Contrairement à l’image que l’on se fait parfois d’une cyberattaque, les intrusions visant la DGFiP ne se sont pas limitées à une opération ponctuelle.
Grâce à ses investigations, l’ANSSI a retracé plusieurs intrusions et identifié des vols de données dans deux environnements distincts.
Le premier concernait une application utilisée pour les échanges entre l’administration fiscale et les usagers. Les données de près de 353 000 particuliers et 252 000 professionnels ont été concernées par cette exfiltration.
Le second périmètre portait sur des données cadastrales détenues par l’administration.
Les premières activités identifiées remontent au printemps 2026. Pourtant, les vols de données n’ont été publiquement révélés qu’en août, lorsque l’attaquant les a revendiqués.
Cette chronologie constitue l’un des aspects les plus préoccupants de l’affaire : les accès illégitimes et les transferts de données n’ont pas été détectés au moment où ils se produisaient.
L’administration fiscale a précisé que les espaces personnels et professionnels accessibles sur le portail des impôts n’avaient pas eux-mêmes été compromis. Cette distinction est importante pour comprendre le périmètre réel de l’incident.
Des identifiants légitimes utilisés par les attaquants
L’un des enseignements majeurs du rapport concerne la gestion des identités et des accès.
Les attaquants ont notamment utilisé des identifiants appartenant à de véritables utilisateurs de l’administration. Les attaquants avaient notamment récupéré certains identifiants utilisés sur des équipements personnels.
Cette situation rappelle une réalité souvent sous-estimée : une cyberattaque ne nécessite pas toujours de contourner une protection complexe. Lorsqu’un attaquant dispose d’identifiants valides, il peut parfois accéder à des ressources informatiques en se faisant passer pour un utilisateur autorisé.
Le problème devient particulièrement sérieux lorsque les accès sensibles ne sont pas protégés par une authentification forte.
Dans le cas de la DGFiP, l’ANSSI a identifié l’absence de cette protection sur certains portails comme l’une des faiblesses ayant facilité les intrusions.
Pourquoi l’authentification multifacteur est-elle devenue indispensable ?
Un mot de passe peut être compromis de différentes manières : phishing, réutilisation sur plusieurs services, logiciel malveillant ou fuite de données provenant d’un autre organisme.
L’authentification multifacteur (MFA) ajoute une vérification supplémentaire lors de la connexion. Elle réduit considérablement les possibilités d’utilisation frauduleuse d’un mot de passe volé, même si elle ne supprime pas tous les risques.
Pour une entreprise, cette protection devrait être prioritaire sur les messageries professionnelles, les accès distants, les comptes administrateurs et les applications contenant des données sensibles.
Dans un environnement Microsoft 365, par exemple, l’activation du MFA doit s’accompagner d’une vérification des comptes disposant de privilèges élevés, des méthodes d’authentification utilisées et des règles d’accès.
Une architecture informatique qui a facilité les déplacements
Le rapport de l’ANSSI met également en évidence des insuffisances dans le cloisonnement des systèmes.
Certaines applications sensibles étaient accessibles depuis Internet ou depuis des réseaux partagés entre plusieurs administrations. Ces choix répondaient à des besoins opérationnels, mais augmentaient également les possibilités de déplacement d’un attaquant après une première compromission.
C’est ce que les spécialistes appellent la latéralisation : après avoir obtenu un premier accès, l’attaquant cherche à atteindre d’autres ressources, parfois plus sensibles.
Dans une PME, le principe est exactement le même, même si l’infrastructure est beaucoup plus petite.
Un poste de travail compromis ne devrait pas permettre d’accéder librement aux sauvegardes, aux serveurs, aux équipements réseau ou aux outils d’administration.
De même, les accès utilisés par les prestataires techniques devraient être limités aux ressources nécessaires à leurs interventions.
La segmentation des réseaux, la gestion des privilèges et la séparation des comptes administrateurs constituent donc des mesures essentielles.
Des signaux suspects qui n’ont pas déclenché d’alerte
Le troisième enseignement du rapport concerne la capacité de détection.
L’ANSSI souligne que les deux vagues d’exfiltration n’ont été détectées ni par les dispositifs de supervision de la DGFiP ni par ses propres moyens de surveillance.
Pourtant, plusieurs comportements auraient pu justifier une investigation : connexions inhabituelles, volumes importants de données transférées ou activités anormales sur certaines applications.
Le rapport évoque notamment des transferts représentant plusieurs gigaoctets de données.
Le problème ne se limitait donc pas à l’absence d’outils de sécurité. Il concernait aussi la couverture de la supervision et la capacité à rapprocher différents signaux pour identifier une activité malveillante.
Pour les entreprises, cet exemple rappelle qu’installer un antivirus ou un pare-feu ne suffit pas à garantir la sécurité.
Encore faut-il que les événements importants soient enregistrés, que les alertes pertinentes soient analysées et qu’une procédure permette de réagir lorsqu’une anomalie est identifiée.
Une protection technique qui ne fait l’objet d’aucun suivi peut laisser une intrusion se prolonger pendant plusieurs jours, voire plusieurs semaines.
Quels enseignements pour les PME ?
La DGFiP dispose de moyens informatiques considérables, très éloignés de ceux d’une PME. Pourtant, les faiblesses identifiées par l’ANSSI concernent aussi les petites entreprises.
Pourtant, les faiblesses identifiées dans cette affaire se retrouvent régulièrement dans des environnements professionnels beaucoup plus modestes.
Un dirigeant peut considérer que son entreprise est correctement protégée parce qu’elle utilise un antivirus, dispose d’une sauvegarde et confie son informatique à un prestataire.
Ces éléments sont utiles, mais ils ne répondent pas à toutes les questions.
Les comptes Microsoft 365 sont-ils protégés par une authentification multifacteur ? Les anciens collaborateurs ont-ils encore des accès actifs ? Les prestataires utilisent-ils des comptes individuels ? Les sauvegardes sont-elles isolées des postes de travail ? Quelqu’un vérifie-t-il les connexions suspectes ?
Ces vérifications permettent souvent d’identifier des risques qui ne sont pas immédiatement visibles.
L’enjeu n’est pas nécessairement de déployer des solutions complexes ou coûteuses. Il consiste d’abord à connaître son environnement informatique, à identifier les accès sensibles et à corriger les faiblesses prioritaires.
C’est précisément l’intérêt d’une démarche d’audit et d’amélioration continue de la cybersécurité.
La sensibilisation des collaborateurs reste indispensable
Le rapport de l’ANSSI rappelle également l’importance des usages numériques quotidiens.
L’utilisation d’identifiants professionnels sur des équipements personnels, la réutilisation de mots de passe ou la difficulté à identifier un message frauduleux peuvent créer des opportunités pour les attaquants.
La formation des collaborateurs doit donc accompagner les mesures techniques.
L’objectif n’est pas de transformer chaque salarié en expert informatique, mais de lui permettre de comprendre les situations à risque et de savoir comment réagir.
Chez GUIDDY, cette approche de prévention est notamment développée à travers SENTINELLE, un univers pédagogique destiné à rendre les bonnes pratiques numériques plus accessibles.
La méthode STOP – RÉFLÉCHIS – DEMANDE résume cette philosophie : prendre quelques secondes pour vérifier une situation inhabituelle peut éviter qu’une simple erreur ne devienne un incident de sécurité.
Une affaire qui doit faire réfléchir au-delà du secteur public
La cyberattaque de la DGFiP ne démontre pas que toutes les organisations sont condamnées à subir une intrusion.
Elle rappelle surtout qu’une succession de faiblesses relativement classiques peut avoir des conséquences importantes lorsqu’elles sont exploitées ensemble.
Des identifiants compromis, des accès insuffisamment protégés, une architecture trop ouverte et une surveillance incomplète ont contribué à créer les conditions de cette attaque.
Pour les entreprises, le principal enseignement est simple : la cybersécurité ne repose pas sur un outil unique. Elle dépend de la cohérence entre les protections techniques, les procédures, la gestion des accès et les comportements humains.
Prendre le temps de vérifier ces fondamentaux reste l’une des meilleures décisions pour réduire son exposition aux cybermenaces.