Piratage de la DGFiP : l'ANSSI dévoile les failles qui ont permis le vol massif de données

Piratage de la DGFiP : l'ANSSI dévoile les failles qui ont permis le vol massif de données
Maurine Briantais

L'ANSSI révèle les dessous du piratage de la DGFiP. Pas d'attaque sophistiquée : de simples mots de passe volés, une absence de double authentification et des défauts de cloisonnement ont suffi pour permettre aux hackers de dérober 14 Go de données.

Fin juin 2026, un cybercriminel opérant sous le pseudonyme ZeroBytes a réussi à s'introduire dans les systèmes internes de la Direction générale des Finances publiques (DGFiP). Le hacker a ainsi pu consulter et extraire les données fiscales de quelque 680 000 contribuables français depuis le portail impots.gouv.fr (voir notre article). Une intrusion qui a été confirmée par l'organisme le 14 août. Résultat : les données sensibles de près de 700 000 particuliers et entreprises ont été dérobées.

Pour faire la lumière sur cette affaire d'une ampleur inédite, le Premier ministre a demandé à l'Agence nationale de la sécurité des systèmes d'information (ANSSI) de mener l'enquête. Et, d'après son rapport, les cybercriminels n'ont pas eu besoin de déployer une attaque particulièrement sophistiquée pour accéder aux données du fisc. Ils sont parvenus à reconstituer les événements qui se sont déroulés entre mai et août 2026, et à identifier trois problèmes majeurs au niveau de la gestion des identifiants, l'architecture des systèmes informatiques et les dispositifs de détection des activités suspectes.

Piratage DGFiP : identifiants piratés et absence de double authentification

La première étape du piratage remonte à plusieurs semaines avant la fuite de données. Pendant environ trois mois, les attaquants ont récupéré les identifiants de plusieurs dizaines d'agents de la DGFiP. Selon l'ANSSI, ces informations ont "probablement" été dérobées grâce à des infostealers, des logiciels malveillants capables de récupérer notamment les mots de passe enregistrés sur un ordinateur. Les appareils infectés n'étaient pas administrés par la DGFiP, mais pour la plupart des équipements personnels utilisés par des agents.

Une fois ces identifiants en leur possession, les pirates ont juste eu à se connecter. "Aucune tentative d'attaque par force brute ou credential stuffing n'a été identifiée, ce qui signifie que l'attaquant disposait de mots de passe pour ces comptes", souligne le rapport. Or, deux portails de la DGFiP utilisés pour accéder à des ressources sensibles, PIGP et ADER, ne possédaient pas de double authentification (2FA) – alors que c'est pourtant la protection la plus basique et essentielle – ou alors uniquement via un code à usage unique envoyé par e-mail. Un identifiant et un mot de passe suffisaient donc pour se connecter. Notons que ce n'est pas la première fois qu'une faille d'une telle absurdité est exploitée par des pirates : elle avait permis au collectif ShinyHunters de pirater le ministère de l'Intérieur fin 2025.

Les premières connexions suspectes ont commencé au mois de mai. L'organisation disposait pourtant d'un dispositif destiné à repérer les comptes compromis. Un prestataire, Recorded Future, surveillait en effet les sites où des identifiants volés peuvent être revendus. Lorsqu'un compte est repéré, son mot de passe est censé être réinitialisé par le centre de sécurité de la DGFiP (SOC). Mais ce système ne permet pas de détecter tous les identifiants volés, car certaines plateformes de revente parviennent à passer sous ses radars. De ce fait, les changements interviennent parfois trop tard.

Piratage DGFiP : un manque de cloisonnement et 14 Go de données dérobées

Mais ce n'est pas la seule faille exploitée par les cybercriminels. Le chemin qu'ils ont emprunté est révélateur d'un problème de cloisonnement. Après être entrés par le portail PIGP avec des identifiants DGFiP volés, ils ont pu accéder à ADER, qui permet de rejoindre le Réseau interministériel de l'État (RIE), qui relie les différentes administrations. Or, des infrastructures de l'Éducation nationale avaient déjà été compromises – d'ailleurs, les mêmes hackers y ont dérobé 43 Go de données, dont des informations particulièrement sensibles sur les élèves et le personnel (voir notre article). Les attaquants ont pu passer par ces infrastructures pour circuler sur le RIE et atteindre certaines applications sensibles de la DGFiP qui n'étaient pas suffisamment isolées. La compromission de l'Éducation nationale leur a donc servi de point de passage pour atteindre les systèmes du fisc.

L'Éducation nationale avait pourtant transmis aux autres ministères, dès le 9 juin, des informations techniques concernant l'attaque dont elle avait été victime, notamment une liste d'adresses IP à surveiller. L'une d'elles a pourtant été utilisée par l'attaquant dans son parcours vers les systèmes de la DGFiP. Une fois à l'intérieur, les pirates se sont intéressés à E-Contact, une application permettant aux agents des finances publiques d'échanger avec les contribuables. Ils ont utilisé une technique appelée "scraping", qui consiste à automatiser la consultation et la copie de nombreuses fiches.

Deux importantes vagues d'extraction ont été identifiées. En juin, environ 11 Go de données ont été récupérés en quelques jours, puis 3 Go supplémentaires ont été extraits en juillet grâce au compte compromis d'un géomètre-expert travaillant dans un cabinet privé. Au total, 14 Go de données ont donc transité hors des systèmes concernés.

Enfin, le dernier problème de toute cette histoire réside dans la détection de ces opérations frauduleuses. En effet, comme le pirate utilisait des comptes légitimes, il pouvait se fondre dans l'activité normale des agents. Il y avait pourtant de multiples signes : certaines connexions avaient lieu la nuit, depuis des VPN ou depuis l'Inde, tandis que certaines adresses IP étaient déjà associées à des activités malveillantes. Et c'est sans compter le volume inhabituel de requêtes généré par le scraping...

L'ANSSI reconnaît elle-même une faille dans son propre dispositif de surveillance. Ses sondes surveillent principalement les entrées et sorties du réseau, mais pas directement ce qui se passe à l'intérieur des applications. En l'absence de certains journaux applicatifs et de règles de détection adaptées, les activités du pirate n'ont donc pas été identifiées à temps.

Piratage DGFiP : de nouvelles protections à mettre en place

Après la découverte de l'attaque, la DGFiP a progressivement coupé les accès concernés. Le portail ADER a été fermé aux agents le 13 août, puis PIGP le 18 août. Côté données cadastrales, le compte du professionnel compromis a été désactivé et le portail APEX verrouillé. Ces mesures ont fortement perturbé le fonctionnement de la DGFiP et de certains de ses partenaires. Mais le mal était déjà fait...

C'est pourquoi l'ANSSI demande une refonte plus large de la sécurité des systèmes concernés. Elle recommande notamment de généraliser l'authentification multifacteur, avec un moyen de validation réellement indépendant du mot de passe, comme une application d'authentification ou une clé de sécurité physique. Les codes envoyés par e-mail sont jugés moins efficaces, surtout quand la boîte mail est elle-même protégée par les mêmes identifiants.

Cette attaque montre aussi que la cybersécurité d'une administration ne peut plus être envisagée isolément. Aussi, l'agence recommande de ne plus utiliser d'ordinateurs personnels pour accéder aux ressources professionnelles sensibles de la DGFiP et de réserver ces accès à des appareils administrés et sécurisés par l'administration. Elle préconise aussi une meilleure surveillance de toutes les applications, des limites sur les volumes de données pouvant être consultés, la coupure des sessions encore ouvertes après un changement de mot de passe et un meilleur cloisonnement du Réseau interministériel de l'État. Un audit complet, commandé en août par Sébastien Lecornu, doit permettre d'identifier d'autres vulnérabilités qui n'auraient pas encore été découvertes.