Fuite de données de la DGFIP

M. Charles Sitzenstuhl alerte M. le ministre de l'action et des comptes publics sur les accès illégitimes au système d'information de la direction générale des finances publiques (DGFIP). Après avoir usurpé les identifiants d'un agent de la DGFIP et d'un tiers habilité, un acteur malveillant a pu accéder au système d'information de la DGFIP en juin et juillet 2026. Si les intrusions ont effectivement été détectées, ce n'est qu'après la revendication du piratage par son auteur en août 2026 que les vols de données ont été constatés. Selon les premières investigations, ces accès ont permis la consultation ainsi que l'extraction de données qui concernent près de 678 000 particuliers et professionnels. Ces fuites concernent notamment des données fiscales de particuliers (revenu fiscal de référence, quotient familial, ou encore, taux de prélèvement à la source), la raison sociale et le SIREN d'entreprises, ainsi que des données cadastrales (adresses et surfaces de biens immobiliers) ou liées aux successions. Cette nouvelle attaque suscite de vives inquiétudes car elle survient quelques mois après la détection d'une intrusion, en janvier 2026, dans le fichier national des comptes bancaires géré par la DGFIP. Il souhaite connaître les circonstances ayant rendu possible cette nouvelle fuite de données, sans qu'elle ne soit détectée. Il souhaite également connaître les intentions du Gouvernement afin de renforcer sans délai le niveau de sécurisation de ses systèmes d'information.

Le Gouvernement et la direction générale des finances publiques (DGFIP) partagent pleinement les préoccupations exprimées concernant ces vols de données. Ces cyberattaques et les vols de données auxquels ils ont conduit sont des faits graves et nécessitent transparence et considération envers les victimes et exigent un renforcement de la sécurité du système d'information de la DGFIP. Trois incidents de sécurité informatique ont touché l'administration fiscale pendant l'été 2026. Le premier s'est traduit par le vol de données fiscales (1), le deuxième par le vol de données cadastrales (2), le troisième concerne des données sur les successions vacantes (3). 1 - Le premier incident a été revendiqué le 12 août 2026 et signalé à la DGFIP par l'agence nationale de sécurité des systèmes d'information (ANSSI) transmis via le service du haut fonctionnaire de défense et de sécurité (SHFDS). Cet incident a mobilisé la compromission de plusieurs identifiants d'un autre ministère. Leur usage frauduleux a permis d'accéder à un réseau du ministère concerné, puis au réseau interministériel de l'Etat (RIE) puis d'accéder au portail ADER de la DGFIP, ouvert sur le RIE et qui permet d'accéder via ce portail à une application de la DGFIP. Grâce à cet accès, il a pu accéder à des données fiscales d'usagers particuliers et professionnels. Au total, il a volé les données de 353 000 particuliers pour les données fiscales englobant l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source). D'autre part, il a accédé aux données de 252 000 professionnels (SIREN, raison sociale, adresse) qui sont en réalité publiques. S'agissant des identifiants usurpés des agents DGFIP, la détection d'activités anormales sur internet en lien avec ces identifiants et le signalement externe du fait qu'ils figuraient dans des listes vendues sur le darknet ont conduit à leur réinitialisation. Cette opération a interrompu l'attaque mais les investigations menées à ce moment, tournées vers internet, et sur le portail ADER situé sur le réseau interministériel de l'État, n'ont pas permis de détecter l'attaque avant la revendication du 12 août. L'information de l'ensemble des usagers concernés a été réalisée. 2 - Le vol de données cadastrales survenu en août concerne 432 000 usagers particuliers et professionnels. Ils font suite au vol de l'identifiant et du mot de passe d'un partenaire externe (profession réglementée) couplé avec le vol de l'identifiant et du mot de passe de messagerie de ce même partenaire. Ainsi, le dispositif avec deux facteurs d'authentification appuyé sur un code temporaire envoyé par mail au partenaire a été rendu inopérant. Les données volées sont l'identité des personnes (nom, prénom, sexe, date et lieu de naissance, nom, prénom d'usage), leur adresse, la nature de leur droit (propriétaire, indivisaire, usufruitier, …) sur certaines parcelles. 3 - L'attaque sur le portail des successions vacantes a consisté en l'exploitation d'une faille de sécurité qui a permis d'accéder à des données de ce portail qui expose les successions vacantes (sans héritier) dont la DGFIP a été chargée d'assurer la gestion par décision de justice par un juge. Découverte le 17 août 2026, le portail a été fermé immédiatement. Les données de ce portail sont publiques. Dès la détection de ces incidents, la DGFIP a déclenché les dispositifs prévus en matière de gestion des incidents de sécurité afin de contenir l'attaque, d'identifier les systèmes et les données susceptibles d'avoir été concernés, de sécuriser les environnements informatiques et de conduire les investigations nécessaires. Les autorités compétentes en matière de cybersécurité ont été associées à ces opérations notamment l'agence nationale de la sécurité des systèmes d'information (ANSSI), l'office anti-cybercriminalité (OFAC). Des notifications de la commission nationale de l'informatique et des libertés (CNIL) ont été faites dans les délais prévus par la réglementation. Les investigations conduites à la suite de l'attaque ont notamment eu pour objet d'identifier les usagers victimes de vol de données, pour les informer. Elles ont permis de retracer complètement les chemins d'attaque afin de prendre des mesures conservatoires de sécurité et d'engager les travaux permettant de bloquer le même type d'attaque à l'avenir. S'agissant des mesures de sécurisation du système d'information de la DGFIP, elles s'inscrivent en conformité avec la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'Etat de l'ANSSI. Après les incidents de l'été 2026, une accélération et une amplification de ces mesures ont été décidées, et notamment : la coupure du portail internet de la gestion publique pour les agents DGFIP : il permettait auparavant aux agents d'accéder à leur messagerie et à des applications RH depuis un PC personnel. La séparation des usagers personnels et professionnels est un axe de sécurisation important. Désormais les agents peuvent accéder aux applications DGFIP depuis leur domicile uniquement via un PC professionnel et le VPN (Virtual Private Network : dispositif de connexion sécurisée à distance) de la DGFIP ; le renforcement des outillages de détection de la DGFIP avec leur alimentation par des sondes de données supplémentaires, notamment aux interfaces avec les partenaires de la DGFIP ; la mise en place systématique de détection de volumétrie anormale de consultation des applications avec le blocage automatique des comptes utilisateurs, en commençant par les applications les plus sensibles ; le renforcement des modalités d'authentification des partenaires qui accèdent aux applications ou données DGFIP ; la mise en place, dès que possible, de l'authentification forte pour les agents DGFIP : pour accéder aux applications, ils devront disposer d'une clé USB sécurisée et d'un mot de passe, soit deux facteurs d'authentification ; l'utilisation de l'intelligence artificielle pour détecter des vulnérabilités du SI de la DGFIP ; le renforcement de la formation des agents de la DGFIP à la cybersécurité avec une intensification des exercices internes d'hameçonnage, qui font l'objet d'une pratique déjà régulière de la DGFIP. Ils visent à entraîner et renforcer la vigilance des agents DGFIP ; l'intensification au recours à des communautés externes pour organiser des hackings éthiques, ce que les spécialistes appellent en anglais des "bug bounty", pour détecter les vulnérabilités du SI DGFIP. La DGFIP est pleinement engagée pour améliorer le niveau de sécurisation de son système d'information et pour tirer tous les enseignements de ces événements d'une grande gravité.