Entre mai et août 2026, des données de la Direction générale des Finances publiques (DGFiP) ont été volées avec des identifiants d’agents dérobés, puis aspirées par scraping, sans aucune faille logicielle. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, raisons de l’absence de détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle s’appuie sur le rapport d’incident de l’ANSSI (20 pages, chronologie détaillée) ; ce rapport est anonymisé et plusieurs passages sont masqués (techniques de supervision, nature de certaines données, adresses IP). Nous nous en tenons à ce qui est lisible.
Pour une lecture orientée dirigeant, voir notre décryptage « Piratage du fisc : pas de pirate de génie, des mots de passe volés et personne pour regarder ».
Contexte
- Victime : Direction générale des Finances publiques (DGFiP), administration fiscale française.
- Secteur : administration publique.
- Période : premières activités suspectes du 2 au 8 mai 2026 ; exfiltrations les 22-25 juin et 21-23 juillet (E-Contact) ; exfiltration cadastrale du 27 juillet au 8 août ; revendication publique les 12 et 13 août.
- Type : vol de données par abus de comptes légitimes (identifiants volés par infostealers) et scraping applicatif.
- Données : environ 353 000 particuliers (état civil, coordonnées, identifiant fiscal, revenu fiscal de référence, taux de prélèvement à la source…) et 252 000 professionnels, selon l’ANSSI. L’attaquant annonçait 678 437 enregistrements ; nous retenons les chiffres de l’ANSSI. Côté cadastre : environ 2 millions de données concernant environ 434 000 usagers selon le point REACTIV.
- Attaquant : un pirate se présentant sous le nom de Zerobytes a revendiqué le vol. Son attribution précise n’est pas publique.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce que dit le rapport | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Récupération des identifiants | Plusieurs dizaines de couples identifiant/mot de passe d’agents, probablement volés par infostealers sur des appareils non gérés par la DGFiP. Aucune force brute ni credential stuffing observé. | T1589.001 (collecte d’identifiants de la victime) ; en amont, vol par infostealer (T1555) hors du SI de la DGFiP |
| Accès initial | Connexion au portail PIGP depuis Internet avec des comptes valides, sans MFA, depuis des adresses IP de services VPN, en France et en Inde, dont certaines déjà catégorisées comme malveillantes. | T1078 Valid Accounts ; T1133 External Remote Services |
| Rebond | Accès au portail ADER via le Réseau interministériel de l’État (RIE), depuis des infrastructures compromises du ministère de l’Éducation nationale. Pas de cloisonnement entre le RIE et des applications sensibles. | T1199 Trusted Relationship |
| Reconnaissance | Le 22 juin, téléchargement d’une fiche de documentation applicative ; le 23 juin, capture d’écran d’E-Contact et développement itératif d’un outil de scraping. | T1213 Data from Information Repositories |
| Collecte et exfiltration | Session de plusieurs heures du 24 juin 4 h 26 au 25 juin 2 h 31, puis sessions du 22 juillet (7 h 28-11 h 33 et 16 h 20-17 h 16). Volumes : 11 Go puis 3 Go. Rotation des comptes au fil des réinitialisations. | T1119 Automated Collection ; canal de sortie : la même session HTTP (pas de précision dans le rapport) |
| Second vol (cadastre) | Poste d’un géomètre-expert (cabinet privé partenaire) probablement compromis ; second facteur par code à usage unique envoyé par e-mail, contourné. | T1078 Valid Accounts ; T1111 Multi-Factor Authentication Interception |
La colonne MITRE est une lecture de notre part : l’ANSSI n’en publie pas.
Faits techniques à retenir
L’attaquant ne fait rien de complexe. Quand un compte est réinitialisé, il en prend un autre dans son stock. Entre mi-juin et fin juin, il teste 14 comptes (tous en échec). Le 21 juillet au soir, il vérifie que cinq couples fonctionnent, puis relance l’aspiration le lendemain matin.
Ce qu’on ne sait pas
L’attribution précise de Zerobytes, la méthode exacte de contournement du code envoyé par e-mail et les techniques de supervision de l’ANSSI ne sont pas publiques (passages masqués du rapport).
Détection : pourquoi rien n’a sonné
Le rapport est clair : aucune des exfiltrations n’a été détectée, ni par la DGFiP, ni par l’ANSSI. Les raisons citées :
- Le portail ADER n’était pas supervisé par le SOC de la DGFiP. Les alertes levées l’étaient sur le PIGP (recherches suspectes dans la messagerie), et leur traitement a « raté le pivot » vers ADER.
- Aucune corrélation des signaux faibles : connexions de nuit, adresses IP malveillantes ou déjà associées à des comptes compromis, volume échangé, nombre de requêtes par utilisateur. L’ANSSI reconnaît que, pris un par un, ces signaux génèrent beaucoup de faux positifs, mais que leur combinaison aurait dû alerter.
- Pas de quotas : de simples comptes d’agents pouvaient consulter un grand volume de fiches.
- La réinitialisation ne coupe pas la session : le 24 juin à 10 h 40, le SOC réinitialise le mot de passe du compte utilisé… pendant que l’exfiltration continue jusqu’au lendemain 2 h 31.
- La veille sur les fuites d’identifiants (prestataire Recorded Future) fonctionne, mais elle n’est pas exhaustive et le délai entre la fuite et la réinitialisation reste trop long (jusqu’à 9 jours pour un compte).
- Côté ANSSI : pas de supervision applicative sur ce périmètre, et des comptes légitimes invisibles pour une supervision réseau. Un signalement de comptes compromis transmis le 15 juin est resté sans réponse de la DGFiP, sans relance.
- Partage d’indicateurs trop lent : l’Éducation nationale avait diffusé 17 marqueurs dès le 9 juin, dont une adresse IP utilisée par l’attaquant.
C’est finalement une recherche a posteriori sur les sondes de l’ANSSI qui a permis de signaler deux adresses IP suspectes à la DGFiP le 6 août, avant la revendication publique du 12 août.
Questions d’audit ISO 27001:2022
- A.8.5 et A.5.17 (authentification sécurisée, informations d’authentification) : « Quelles applications métier exposées (Internet ou réseaux tiers) restent accessibles avec un simple identifiant et mot de passe ? Pour celles qui ont une MFA, le second facteur est-il indépendant du premier (pas de code par e-mail si la messagerie s’ouvre avec le même mot de passe) ? Montrez-moi l’inventaire. »
- A.5.26 et A.5.18 (réponse aux incidents, droits d’accès) : « Quand un compte est déclaré compromis, quelle est la procédure : réinitialisation seule, ou aussi révocation de toutes les sessions actives, analyse de l’activité depuis la date supposée de fuite et recherche de la cause racine (poste infecté) ? Quel est le délai mesuré entre la notification et l’action ? Montrez-moi les trois derniers cas. »
- A.8.16 et A.8.15 (activités de surveillance, journalisation) : « Toutes les applications métier qui donnent accès à des données personnelles en masse sont-elles reliées au SIEM ? Existe-t-il des règles combinant heure, géolocalisation et réputation IP, volume et nombre de requêtes par compte ? Existe-t-il des quotas de consultation par utilisateur ? »
- A.8.1, A.6.7 et A.8.22 (terminaux utilisateurs, travail à distance, cloisonnement des réseaux) : « L’accès aux applications internes depuis un appareil non géré par l’organisation est-il techniquement bloqué, ou seulement interdit par la charte ? Les flux depuis les réseaux partagés avec des tiers (partenaires, autres entités du groupe) sont-ils cartographiés et filtrés au strict besoin ? »
Piste complémentaire (A.5.19 et A.5.21, relations avec les fournisseurs) : pour les partenaires qui accèdent à vos données (ici un cabinet de géomètres), quelles exigences sur leurs postes et leur MFA figurent dans les contrats, et comment sont-elles vérifiées ?
Pistes de sensibilisation
- Atelier « Mon PC perso, ta fuite pro » (agents et télétravailleurs) : montrer concrètement ce qu’un infostealer récupère sur un ordinateur familial (mots de passe enregistrés dans le navigateur, cookies de session), puis relier cela à la chronologie DGFiP. Message simple : un identifiant professionnel saisi sur un appareil personnel peut finir en vente.
- Exercice SOC et IT « Le mot de passe est changé, et après ? » : rejouer sur table la séquence des 23 et 24 juin (alerte à 20 h 50, réinitialisation à 10 h 40, session toujours active). Faire lister par l’équipe ce qu’elle aurait fait de plus : couper les sessions, chercher les autres portails utilisés par le compte, vérifier les autres comptes connectés depuis la même adresse IP.
À lire aussi : notre décryptage pour les dirigeants, « Piratage du fisc : pas de pirate de génie, des mots de passe volés et personne pour regarder », et le bulletin de veille du 1er octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.