L’ANSSI a publié le 29 septembre 2026 son rapport sur le vol de données de la DGFiP (l’administration fiscale) survenu à l’été 2026. Sa conclusion : il ne s’agit pas d’une attaque sophistiquée, mais de faiblesses sur l’identité, l’architecture du réseau et la détection. Un document rare et très utile pour toute organisation, publique ou privée.
Ce qui s’est passé
Le 12 août, un pirate se présentant sous le nom de Zerobytes revendique sur un forum le vol de données du site des impôts. L’enquête montre que les données avaient en réalité été aspirées sept semaines plus tôt, fin juin, puis une seconde fois fin juillet. Selon le rapport de l’ANSSI, environ 353 000 particuliers et 252 000 professionnels sont concernés, à partir de l’outil d’échange entre le fisc et les usagers. Un second vol a touché des données cadastrales, via le poste d’un géomètre-expert travaillant pour un cabinet privé partenaire.
Côté justice, un jeune homme de 18 ans, soupçonné d’appartenir au groupe, a été mis en examen et placé en détention provisoire fin août, et un mineur a été interpellé puis relâché, selon une synthèse de l’INCIBE-CERT qui cite la presse française. L’enquête judiciaire est toujours en cours.
Comment l’attaque a fonctionné
- Des clés plutôt qu’un pied-de-biche. En trois mois, l’attaquant récupère les identifiants de plusieurs dizaines d’agents. Ils ont probablement été volés par des infostealers (logiciels espions qui aspirent les mots de passe enregistrés dans le navigateur) sur des ordinateurs que la DGFiP ne gérait pas, dont des PC personnels. L’ANSSI ne relève aucune tentative de deviner les mots de passe : il les avait déjà.
- Des portes sans deuxième verrou. Deux portails n’exigeaient pas de double authentification. Sur un autre, le second facteur était un code envoyé par e-mail : inutile si l’ordinateur ou la messagerie sont déjà compromis.
- Un réseau commun trop ouvert. Pour atteindre une des applications, l’attaquant passe par le réseau qui relie les ministères entre eux, depuis des équipements de l’Éducation nationale déjà compromis. Faute de cloisonnement, rien ne le séparait plus d’applications sensibles.
- Une aspiration page par page. Avec un simple compte d’agent, il développe un petit programme qui consulte les fiches une à une et les enregistre : 11 Go en juin, puis 3 Go en juillet. Quand un compte est bloqué, il en prend un autre dans son stock.
Pourquoi personne n’a rien vu. Aucune de ces fuites n’a été détectée, ni par la DGFiP ni par l’ANSSI. L’application la plus touchée n’était pas surveillée par le centre de supervision. Les signaux faibles n’ont pas été croisés : connexions de nuit, depuis l’étranger, volumes inhabituels, rafales de requêtes. Aucun quota ne limitait le nombre de fiches consultables par un agent. Surtout, quand une alerte a bien été traitée, le mot de passe du compte a été changé… mais la session déjà ouverte n’a pas été coupée, et l’aspiration a continué jusqu’au lendemain.
Le même jour, l’ANSSI publiait un premier bilan de l’opération REACTIV : 99 violations de données signalées dans l’État depuis le 1er août, avec les mêmes causes. Le cas de la DGFiP n’est donc pas isolé.
Ce qu’on ne sait pas encore
Certains passages du rapport sont masqués, notamment la façon exacte dont le code envoyé par e-mail a été contourné. Les chiffres diffèrent aussi selon les sources : l’attaquant annonçait 678 437 enregistrements, l’ANSSI retient 353 000 particuliers et 252 000 professionnels.
Ce que ça change pour une PME
- Une double authentification solide partout, avec un second facteur qui ne tombe pas en même temps que le mot de passe : une application d’authentification ou une clé physique, plutôt qu’un code par e-mail.
- Pas d’accès aux outils de l’entreprise depuis un ordinateur personnel non maîtrisé. C’est la première source des identifiants volés dans cette affaire.
- Quand un compte est compromis, changer le mot de passe ne suffit pas. Il faut aussi fermer toutes les sessions ouvertes et regarder ce que le compte a fait depuis la fuite supposée.
- Surveillez vos applications métier, pas seulement votre réseau. Demandez à votre éditeur ou à votre prestataire s’il existe des alertes sur les volumes consultés, les connexions de nuit ou depuis l’étranger.
Dossier : Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 1er octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.