Piratage de la DGFiP : comment le fisc a laissé passer le vol de données

Le vol de données fiscales de plus de 350 000 particuliers et 250 000 professionnels n’a pas été détecté au moment des premières intrusions. La Direction générale des finances publiques (DGFiP) a précisé la chronologie de l’attaque lors d’une conférence de presse organisée mardi 18 août à Bercy.

Des comptes d’agents de la DGFiP compromis détectés dès juin

Dès juin, la DGFiP a repéré la compromission d’un compte d’un de ses agents et l’a bloqué. Un nouvel accès suspect a été identifié en juillet, selon un mode opératoire similaire. Là encore, le compte a été bloqué. Mais les investigations menées à ces deux occasions par le fisc, jugée aujourd’hui « insuffisantes », n’ont pas permis de mettre au jour l’exfiltration des données.

L’administration fiscale n’a appris l’existence la fuite de données que le 12 août, à la suite d’une alerte de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et, quasi simultanément, de la revendication de l’attaquant.

➡️ Pour connaître la nature des données dérobées et les contribuables concernés, lire notre article Cyberattaque des impôts : le point sur la fuite de données.

Des opérations automatisées passées sous les radars

Pour s’introduire sur les systèmes d’information du fisc, l’attaquant a combiné les accès d’un agent de la DGFiP et d’un utilisateur extérieur à l’administration. Selon Amélie Verdier, directrice générale des finances publiques, il n’est pas passé par les voies d’accès habituelles des agents de l’administration. « L’attaque n’a été possible que par la combinaison de compromission de comptes, a-t-elle fait savoir. Il a utilisé une brèche, il a utilisé la capacité que pouvait avoir un profil DGFiP à se connecter sur un accès externe réputé sécurisé ».

Après des premiers tests effectués manuellement, le pirate a automatisé ses opérations à plus grande échelle, d’après le récit de l’intrusion relaté par Amélie Verdier. Il est cependant resté sous certains curseurs de détection de la DGFiP appelés « seuils de masse ». « Il a réalisé ses opérations sur quelques jours en juin. Nous avons coupé ces comptes dans les 24 heures suivant son action de masse. L’accès ayant été coupé, il l’a refait en juillet suivant le même mode opératoire avec un autre compte DGFiP compromis », a-t-elle relaté.

La directrice générale des finance publiques n’a pas souhaité dévoiler davantage d’informations sur le procédé employé, l’enquête étant toujours en cours. « Il y a des [éléments] qu’on ne peut pas exposer », a assumé Amélie Verdier.

La DGFiP va revoir ses systèmes de détection

Le ministre de l’Action et des Comptes publics, David Amiel, a reconnu que les systèmes d’information de l’État comportaient des « faiblesses ». Certains systèmes de la DGFiP sont anciens et ses outils se sont progressivement ouverts à d’autres administrations.

David Amiel a demandé un réexamen de l’ensemble des accès aux données de la DGFiP « directs ou via des partenaires, afin d’y positionner les capteurs manquants et d’y instaurer les dispositifs de surveillance pertinents ». Il a réclamé une « refonte des dispositifs de détection » en cas de vol de données et demandé une généralisation des « quotas d’accès » pour les professionnels habilités à accéder à certains fichiers de la DGFiP.

Un audit supervisé par l’ANSSI doit déterminer les causes de l’attaque et évaluer les dispositifs de sécurité de la DGFiP. Ses premières conclusions sont attendues en septembre 2026 et seront transmises au Parlement.

Les personnes craignant d’avoir été victimes du vol de données peuvent consulter notre article Piratage des impôts : comment reconnaître le mail de la DGFiP et éviter les arnaques.