Le rapport d’incident publié par l’ANSSI sur les fuites de données de la DGFiP ne se limite pas à un constat technique. Il interroge directement la manière dont les organisations conduisent leurs analyses de risques, rédigent leurs analyses d’impact et encadrent leurs partenaires.
Le 29 septembre 2026, l’ANSSI a rendu public son rapport d’incident sur les cyberattaques subies par la Direction générale des finances publiques au cours de l’été.
Ce document de 20 pages retrace la chronologie des activités malveillantes observées entre mai et août 2026 et identifie les mesures qui auraient pu permettre de les prévenir ou de les détecter.
Au-delà des trois faiblesses mises en avant (identités, architecture, détection), sa lecture croisée entre aspects juridiques et aspects techniques, livre des enseignements utiles à la sécurisation de tout système d’information.
Une attaque sans sophistication particulière
Le rapport est sans ambiguïté : la compromission ne résulte pas d’une attaque sophistiquée, mais de l’exploitation de faiblesses dans trois domaines.
L’attaquant a volé, sur trois mois, plusieurs dizaines d’identifiants d’agents légitimes, probablement au moyen de logiciels espions installés sur des ordinateurs non administrés par la DGFiP, c’est-à-dire probablement les ordinateurs personnels des agents et a tiré parti de la compromission d’un autre ministère qui lui a ouvert l’accès au Réseau interministériel de l’État.
Dans le vocabulaire de la méthode EBIOS Risk Manager, il s’agit d’un scénario opérationnel parfaitement connu, porté par une source de risque modestement outillée mais très motivée.
Mesure déclarée ou mesure efficace ?
Sur un portail destiné aux partenaires, la compromission du poste d’un géomètre-expert exerçant dans un cabinet privé a permis de contourner la double authentification reposant sur la messagerie.
L’ANSSI rappelle qu’un code à usage unique transmis par courriel n’est pas un choix raisonnable lorsque la messagerie reste accessible avec un simple couple identifiant/mot de passe, et recommande des jetons physiques ou des applications d’authentification.
Il en va de même pour la journalisation, souvent présentée comme une mesure mise en œuvre par défaut.
Le centre opérationnel de sécurité de la DGFiP ne supervisait pas le portail destiné aux partenaires qui a été utilisé pour l’exfiltration des données, et les volumes échangés, soit 11 Go entre le 22 et le 25 juin puis 3 Go entre le 21 et le 23 juillet, n’ont déclenché aucune alerte.
Enfin, les exfiltrations ont été menées depuis des comptes non privilégiés qui avaient pourtant accès à un volume important de données. L’ANSSI préconise l’instauration de plafonds de consultation permettant de limiter l’impact de ce type d’accès illégitime.
Réinitialiser un mot de passe ne suffit pas
La chronologie comporte un épisode particulièrement instructif. Le 24 juin, une alerte est traitée à 10h40 par la réinitialisation du mot de passe du compte utilisé, mais ce traitement ne détecte pas l’activité sur le portail ADER : la réinitialisation n’interrompt ni la session ni l’exfiltration en cours, qui ne prend fin que le 25 juin à 02h31.
L’ANSSI recommande en conséquence d’associer systématiquement à toute réinitialisation la révocation des sessions actives sur l’ensemble des applications et une analyse de l’activité du compte depuis la date présumée de compromission.
Les procédures de réponse à incident doivent intégrer ces deux étapes.
Le tiers, toujours et encore, le maillon faible de la chaîne
Les deux chemins d’intrusion sont passés par des tiers : un cabinet de géomètre-expert d’une part, des infrastructures du ministère de l’Éducation nationale raccordées au réseau interministériel d’autre part.
Pour les entités soumises à la directive NIS2 ou au règlement DORA, la maîtrise des risques liés aux tiers constitue une obligation.
Sa mise en œuvre suppose une articulation étroite entre le contrat et les mesures techniques : usage imposé de postes administrés, second facteur robuste, obligation de signaler sans délai toute compromission, droit d’audit et conditions de suspension des accès.
Ces exigences doivent être rédigées, négociées puis contrôlées dans la durée.
Être informé par l’attaquant
Aucune des deux vagues d’exfiltration n’a été détectée, ni par la supervision de la DGFiP ni par celle de l’ANSSI. L’incident a été révélé par la revendication même de l’attaquant, alors que l’exfiltration avait eu lieu sept semaines plus tôt.
Les chiffres eux mêmes divergent : la synthèse du rapport évoque près de 353 000 particuliers et 252 000 professionnels, tandis que la revendication fait état de 678 437 enregistrements, dont 392 867 particuliers et 285 570 professionnels.
Pour un responsable de traitement, une telle situation soulève deux difficultés concrètes : qualifier rapidement l’ampleur d’une violation dont il ne détient pas lui même les traces, afin de satisfaire aux obligations de notification, et démontrer, au titre de l’article 32 du RGPD, que les mesures de détection mises en place étaient appropriées au risque.
Les recommandations du cabinet
Ce rapport rappelle qu’une conformité documentaire ne protège pas si les mesures ne sont ni vérifiées, ni supervisées, ni imposées aux partenaires.
Les organisations ont tout intérêt à relire dès à présent leurs analyses de risques, leurs analyses d’impact RGPD, leurs procédures de gestion des incidents et leurs contrats avec les prestataires et partenaires à la lumière de ces enseignements.
Lexing, par l’intervention conjointe de ses avocats et des consultants de Lexing Technologies, accompagne les organisations publiques et privées dans la conduite de leurs analyses de risques et AIPD, l’audit de leurs mesures de sécurité, la rédaction des clauses applicables aux tiers et la gestion des violations de données, notamment dans le cadre de NIS2 et de DORA.
Le rapport complet est disponible sur le site de l’ANSSI : https://cyber.gouv.fr/actualites/lanssi-publie-le-rapport-dincident-sur-les-cyberattaques-ayant-touche-la-dgfip/
