Vol de données à Bercy : opacité gouvernementale et failles de sécurité

M. Guillaume Bigot attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le piratage massif du système d'information de la direction générale des finances publiques (DGFiP). Selon les révélations de la presse et les données documentées par la plateforme spécialisée French Breaches, ce sont au moins 678 437 personnes qui ont été compromises dont 392 867 particuliers et 285 570 professionnels, tandis que des fichiers contenant ces informations sensibles sont d'ores et déjà mis en vente sur des réseaux illicites. De surcroît, une nouvelle fuite revendiquée menacerait les données cadastrales, identifiants et patrimoines de près de deux millions de propriétaires immobiliers. Le plus choquant réside dans l'omerta d'État : alors que cette intrusion a été constatée dès la fin du mois de juin 2026, le ministère n'a reconnu les faits qu'à la mi-août, suite aux révélations de la presse. Pendant deux mois, le Gouvernement a délibérément laissé les contribuables désarmés et dans une totale ignorance face aux risques d'usurpation d'identité, d'escroquerie, d'hameçonnage et de prédation financière. Ce silence des pouvoirs publics n'est pas un simple dysfonctionnement technique, c'est une grave défaillance sécuritaire d'une administration prompte à traquer les contribuables mais incapable de protéger leurs données élémentaires. Face à ce manquement intolérable à la souveraineté numérique et à la sécurité des données publiques, il lui demande d'expliquer pourquoi les contribuables n'ont fait l'objet d'aucune alerte dès la détection de l'attaque en juin 2026. Il souhaite également savoir quelles mesures le Gouvernement compte engager pour mettre un terme définitif à cette vulnérabilité inadmissible des services publics.

Le Gouvernement et la direction générale des finances publiques (DGFIP) partagent pleinement les préoccupations exprimées concernant ces vols de données. Ces cyberattaques et les vols de données auxquels ils ont conduit sont des faits graves et nécessitent transparence et considération envers les victimes et exigent un renforcement de la sécurité du système d'information de la DGFiP. 1- Le premier incident a été revendiqué le 12 août 2026 et signalé à la DGFiP par l'agence nationale de sécurité des systèmes d'information (ANSSI) transmis via le service du haut fonctionnaire de défense et de sécurité (SHFDS). Cet incident a mobilisé la compromission de plusieurs identifiants d'un autre ministère ; leur usage frauduleux a permis d'accéder à un réseau du ministère concerné, puis au réseau interministériel de l'État (RIE) puis d'accéder au portail ADER de la DGFiP, ouvert sur le RIE et qui permet d'accéder à des applications DGFiP. En usurpant l'identité d'un agent de la DGFiP, le cybermalveillant a pu accéder via ce portail à une application de la DGFiP. Grâce à cet accès, il a pu accéder à des données fiscales d'usagers particuliers et professionnels. Au total, il a volé les données de 353 000 particuliers pour les données fiscales englobant l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvements à la source). D'autre part, il a accédé aux données de 252 000 professionnels (SIREN, raison sociale, adresse) qui sont en réalité publiques. Ces chiffres diffèrent de ceux de la revendication du fait des doublons et des personnes décédées. S'agissant des identifiants usurpés des agents DGFiP, la détection d'activités anormales sur internet en lien avec ces identifiants et le signalement externe du fait qu'ils figuraient dans des listes vendues sur le darknet ont conduit à leur réinitialisation. Cette opération a interrompu l'attaque mais les investigations menées à ce moment, tournées vers internet, et non sur le portail ADER situé sur le réseau interministériel de l'État, n'ont pas permis de détecter l'attaque avant la revendication du 12 août. L'information de l'ensemble des usagers concernés a été réalisée. 2- Le vol de données cadastrales survenue en août concerne, après retrait des doublons et des personnes décédées, 432 000 usagers particuliers et professionnels. Ils font suite au vol de l'identifiant et du mot de passe d'un partenaire externe (profession réglementée) couplé avec le vol de l'identifiant et du mot de passe de messagerie de ce même partenaire. Ainsi, le dispositif avec deux facteurs d'authentification appuyé sur un code temporaire envoyé par mail au partenaire a été rendu inopérant. Les données volées sont l'identité des personnes (nom, prénom, sexe, date et lieu de naissance, nom, prénom d'usage), leur adresse, la nature de leur droit (propriétaire, indivisaire, usufruitier, …) sur certaines parcelles. Dès la détection de ces incidents, la DGFIP a déclenché les dispositifs prévus en matière de gestion des incidents de sécurité afin de contenir l'attaque, d'identifier les systèmes et les données susceptibles d'avoir été concernés, de sécuriser les environnements informatiques et de conduire les investigations nécessaires. Les autorités compétentes en matière de cybersécurité ont été associées à ces opérations notamment l'agence nationale de la sécurité des systèmes d'information (ANSSI), l'office de cyber-anticriminilaté (OFAC). Des notifications de la commission nationale de l'informatique et des libertés (CNIL) ont été faites dans les délais prévus par la réglementation. Les investigations conduites à la suite de l'attaque ont notamment eu pour objet d'identifier les usagers victimes de vol de données, pour les informer. Elles ont aussi permis de retracer complètement les chemins d'attaque afin prendre des mesures conservatoires de sécurité et d'engager les travaux permettant de bloquer le même type d'attaque à l'avenir. S'agissant des mesures de sécurisation du système d'information de la DGFiP, elles s'inscrivent en conformité avec la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État de l'ANSSI. Après les incidents de l'été 2026, une accélération et une amplification de ces mesures ont été décidées, et notamment :  - la coupure du portail internet de la gestion publique pour les agents DGFiP : il permettait auparavant aux agents d'accéder à leur messagerie et à des applications RH depuis un PC personnel. La séparation des usagers personnels et professionnels est un axe de sécurisation important. Désormais les agents peuvent accéder aux applications DGFiP depuis leur domicile uniquement via un PC professionnel et le VPN (Virtual Private Network : dispositif de connexion sécurisée à distance) de la DGFiP ; - le renforcement des outillages de détection de la DGFiP, avec leur alimentation par des sondes de données supplémentaires, notamment aux interfaces avec les partenaires de la DGFiP ; - la mise en place systématique de détection de volumétrie anormale de consultation des applications avec le blocage automatique des comptes utilisateurs, en commençant par les applications les plus sensibles ; - le renforcement des modalités d'authentification des partenaires qui accèdent aux applications ou données DGFiP ; - la mise en place, dès que possible, de l'authentification forte pour les agents DGFiP : pour accéder aux applications, ils devront disposer d'une clé USB sécurisée et d'un mot de passe, soit deux facteurs d'authentification ; - l'utilisation de l'intelligence artificielle pour détecter des vulnérabilités du SI de la DGFiP ; - le renforcement de la formation des agents de la DGFiP à la cybersécurité avec une intensification des exercices internes d'hameçonnage, qui sont une pratique déjà régulière de la DGFIP. Ils visent à entraîner et renforcer la vigilance des agents DGFiP ; - l'intensification au recours à des communautés externes pour organiser des hackings éthiques, ce que les spécialistes appellent en anglais des « bug bounty », pour détecter les vulnérabilités du SI DGFiP. La DGFiP est pleinement engagée pour améliorer le niveau de sécurisation de son système d'information et pour tirer tous les enseignements de ces événements d'une grande gravité.