Cyberattaques sur le site des impôts

M. Antoine Villedieu appelle l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le piratage du site impots.gouv.fr qui a eu lieu à la fin du mois de juin 2026. Ce piratage, qui a été reconnu officiellement par Bercy le 13 août 2026, a été rendu possible par une usurpation d'identifiants. Le mercredi 12 août 2026, un cybercriminel opérant sous le pseudonyme ZeoBytes a publiquement revendiqué l'attaque qui concerne près de 700 000 contribuables. Malgré les annonces du Gouvernement visant à apaiser la situation et les déclarations de politiques menées pour lutter contre la cybercriminalité, force est de constater que ce n'est pourtant pas la première attaque du genre qui atteint son objectif. En effet, l'administration fiscale française a déjà été touchée par des incidents de sécurité majeurs, notamment au début de l'année 2026. Au mois de janvier, un acteur malveillant a usurpé les accès d'un fonctionnaire pour s'introduire dans le fichier national des comptes bancaires, ce qui a provoqué la fuite des données de 1,2 million de comptes bancaires, exposant les identités, les adresses et les RIB/IBAN des titulaires. S'y ajoutent des attaques automatisées sur le site impots.gouv.fr qui se sont multipliées ces dernières années avec des pirates utilisant des listes de mots de passe volés sur d'autres sites web pour forcer l'accès à des milliers de comptes de contribuables mal protégés. Ainsi, il lui demande quelles dispositions il compte prendre afin de mettre de toute urgence l'ensemble des contribuables à l'abri de ces attaques massives qui ne cessent de se démultiplier.

Le Gouvernement et la direction des Finances publiques (DGFIP) partagent pleinement les préoccupations exprimées concernant ces vols de données. Ces cyberattaques et les vols de données auxquels ils ont conduit sont des faits graves et nécessitent transparence et considération envers les victimes et exigent un renforcement de la sécurité du système d'information de la DGFiP. Le 12 août 2026, une revendication publiée sur le darknet a fait état d'un vol de données fiscales. Cette revendication a été signalée à la DGFiP par l'Agence nationale de sécurité des systèmes d'information (ANSSI) transmis via le service du Haut fonctionnaire de défense et de sécurité (SHFDS). Cet incident a mobilisé la compromission de plusieurs identifiants d'un autre ministère ; leur usage frauduleux a permis d'accéder à un réseau du ministère concerné, puis au réseau interministériel de l'État (RIE) puis d'accéder au portail ADER de la DGFiP, ouvert sur le RIE et qui permet d'accéder à des applications DGFiP. En usurpant l'identité d'un agent de la DGFiP, le cybermalveillant a pu accéder via ce portail à une application de la DGFiP. Grâce à cet accès, il a pu accéder à des données fiscales d'usagers particuliers et professionnels. Au total, il a volé les données de 353 000 particuliers pour les données fiscales englobant l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvements à la source). D'autre part, il a accédé aux données de 252 000 professionnels (SIREN, raison sociale, adresse) qui sont en réalité publiques. S'agissant des identifiants usurpés des agents DGFiP, la détection d'activités anormales sur internet en lien avec ces identifiants et le signalement externe du fait qu'ils figuraient dans des listes vendues sur le darknet ont conduit à leur réinitialisation. Cette opération a interrompu l'attaque mais les investigations menées à ce moment, tournées vers internet, et non sur le portail ADER situé sur le réseau interministériel de l'État, n'ont pas permis de détecter l'attaque avant la revendication du 12 août. L'information de l'ensemble des usagers concernés a été réalisée. Dès la détection de ces incidents, la DGFIP a déclenché les dispositifs prévus en matière de gestion des incidents de sécurité afin de contenir l'attaque, d'identifier les systèmes et les données susceptibles d'avoir été concernés, de sécuriser les environnements informatiques et de conduire les investigations nécessaires. Les autorités compétentes en matière de cybersécurité ont été associées à ces opérations notamment l'Agence nationale de la sécurité des systèmes d'information (ANSSI), l'Office de cyber-anticriminilaté (OFAC). Des notifications de la commission nationale de l'informatique et des libertés (CNIL) ont été faites dans les délais prévus par la réglementation. Les investigations conduites à la suite de l'attaque ont notamment eu pour objet d'identifier les usagers victimes de vol de données, pour les informer. Elles ont aussi permis de retracer complètement les chemins d'attaque afin prendre des mesures conservatoires de sécurité et d'engager les travaux permettant de bloquer le même type d'attaque à l'avenir. S'agissant des mesures de sécurisation du système d'information de la DGFiP, elles s'inscrivent en conformité avec la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État de l'ANSSI. Après les incidents de l'été 2026, une accélération et une amplification de ces mesures ont été décidées, et notamment :  De manière immédiate : la coupure du portail internet de la gestion publique pour les agents DGFiP : il permettait auparavant aux agents d'accéder à leur messagerie et à des applications RH depuis un PC personnel. La séparation des usagers personnels et professionnels est un axe de sécurisation important. Désormais les agents peuvent accéder aux applications DGFiP depuis leur domicile uniquement via un PC professionnel et le VPN (Virtual Private Network : dispositif de connexion sécurisée à distance) de la DGFiP. A moyen-terme : un budget cyber relevé de plus de 50%, de 18,7M à 28,7M€ soit 6,2% du budget informatique de la DGFiP, maintenu en 2027 ; la mise en place, dès la fin de l'année 2026, de l'authentification forte pour les agents DGFiP : pour accéder aux applications, ils devront disposer d'une clé USB sécurisée et d'un mot de passe, soit deux facteurs d'authentification ; le renforcement des modalités d'authentification des partenaires qui accèdent aux applications ou données DGFiP ; la réduction des accès depuis les réseaux tiers, dont le RIE, et les appareils personnels le renforcement des outillages de détection de la DGFiP, avec leur alimentation par des sondes de données supplémentaires, notamment aux interfaces avec les partenaires de la DGFiP ; le renforcement de la détection des intrusions : renforcement des effectifs du centre de supervision de la sécurité (SOC) et EDR déployés sur l'ensemble des postes de travail puis des serveurs la mise en place systématique de détection de volumétrie anormale de consultation des applications avec le blocage automatique des comptes utilisateurs, en commençant par les applications les plus sensibles ; l'utilisation de l'intelligence artificielle pour détecter des vulnérabilités du SI de la DGFiP ; le renforcement de la formation des agents de la DGFiP à la cybersécurité avec la mise en place d'un passeport cyber conditionnant l'accès des agents aux applications les plus sensible, en plus d'une intensification des exercices internes d'hameçonnage, qui sont une pratique déjà régulière de la DGFIP. Ils visent à entraîner et renforcer la vigilance des agents DGFiP ; l'intensification au recours à des communautés externes pour organiser des hackings éthiques, ce que les spécialistes appellent en anglais des « bug bounty », pour détecter les vulnérabilités du SI DGFiP une gouvernance resserrée : la fonction de RSSI est désormais placée directement auprès de la direction générale La DGFiP est pleinement engagée pour améliorer le niveau de sécurisation de son système d'information et pour tirer tous les enseignements de ces événements d'une grande gravité.