Piratage des impôts : pourquoi la porte est restée ouverte
La réponse courte
Parce que personne ne regardait. Le rapport que l’ANSSI a publié le 29 septembre 2026 établit que des données sont sorties de l’administration fiscale pendant près de quatre mois sans qu’une seule alerte soit levée, et qu’un changement de mot de passe décidé en urgence n’a pas déconnecté l’attaquant, dont la session restait ouverte. La leçon pour une entreprise n’est donc pas seulement d’activer la double authentification : c’est de savoir voir ce qui se passe chez soi, et de savoir refermer une porte pour de bon.
En bref
- Public visé : dirigeants de TPE et de PME, personnes qui gèrent l’informatique d’une petite structure, élus et agents de collectivités, formateurs et médiateurs numériques.
- Enjeu central : le rapport officiel sur la plus grosse fuite de données publiques de l’année ne décrit aucune faille exotique, mais une série de défauts d’organisation que l’on retrouve à l’identique dans une entreprise de cinq personnes.
- Chiffre clé : 11 gigaoctets de données sont sortis en trois jours sans déclencher la moindre alerte.
- Temps de lecture : environ 8 minutes.
Le 29 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information a publié un document qu’elle ne publie presque jamais : le rapport d’incident d’une cyberattaque contre une administration française. Vingt pages, référencées n° 3033/ANSSI/SDO/NP, datées du 23 septembre, remises au Premier ministre le 24 et rendues publiques cinq jours plus tard. L’objet : les attaques qui ont visé la Direction générale des finances publiques entre mai et août 2026.
Ce rapport mérite une heure de votre attention, et pas pour la raison que l’on imagine. Il n’y est question ni de logiciel espion inédit, ni de faille zéro jour, ni de services secrets. L’ANSSI écrit l’inverse, et elle l’écrit dès les premières pages : ce qui est arrivé « n’est pas la conséquence d’une attaque sophistiquée ». Vincent Strubel, son directeur général, parle d’une attaque « peu avancée sur le plan technique mais particulièrement persistante ».
Autrement dit, le document le plus sérieux publié cette année sur la sécurité informatique en France décrit des manquements ordinaires. C’est pour cela qu’il est utile.
1. Ce que le rapport dit, et ce qu’il refuse de dire
Rappelons les faits, tels que l’ANSSI les établit. Début mai 2026, un attaquant se connecte à des applications de la DGFiP avec des identifiants d’agents parfaitement valides. Il ne force rien : aucune tentative de mot de passe en force n’a été observée. Ces identifiants avaient été dérobés par un infostealer, un logiciel espion qui collecte les mots de passe enregistrés dans un navigateur, et ils l’avaient été sur des machines « non administrées par la DGFiP » – en clair, des ordinateurs personnels.
Le 9 juin, le ministère de l’Éducation nationale, lui aussi touché, transmet des indices de compromission. Entre le 22 et le 25 juin, l’attaquant exfiltre 11 gigaoctets de données. Une seconde vague suit en juillet, portant notamment sur des données cadastrales. Le 12 août, un groupe revendique publiquement le vol. L’ANSSI dénombre finalement environ 353 000 particuliers et 252 000 professionnels concernés ; l’attaquant, lui, revendique 678 437 enregistrements.
Ce que le rapport refuse de faire, c’est désigner un coupable unique ou une faille spectaculaire. Il préfère nommer trois familles de faiblesses : l’identité (qui se connecte, et comment on le vérifie), l’architecture (ce qui est joignable depuis où), et la détection (ce que l’on voit passer). Cette grille de lecture est la partie réutilisable du document. Elle vaut pour un ministère de 100 000 agents comme pour un garage de trois salariés.
Pour situer
L’ANSSI est l’autorité nationale en matière de sécurité informatique. Elle ne vend rien, ne communique pas pour communiquer, et ses publications sont gratuites. Quand elle écrit noir sur blanc ce qui a manqué chez l’État, elle livre à toutes les organisations françaises un retour d’expérience qu’aucun prestataire ne pourrait leur vendre.
2. Quatre mois, deux vagues, aucune alerte
Voici le constat le plus dur du rapport, et celui dont on parle le moins. L’ANSSI écrit qu’« aucune de ces deux vagues d’exfiltration n’a été détectée », ni par les moyens de supervision de la DGFiP, ni par les siens. Onze gigaoctets de données fiscales quittent une administration en trois jours, et le système ne dit rien.
Les raisons sont instructives. Le portail par lequel les données sont sorties n’était pas supervisé : la surveillance couvrait l’infrastructure réseau, pas cette application métier. Et les signaux existaient, mais personne ne les a rapprochés : des connexions en pleine nuit, des adresses situées à l’étranger, des volumes de consultation anormaux. Pris un par un, chacun peut s’expliquer. Mis côte à côte, ils racontaient l’histoire.
Aucune de ces deux vagues d’exfiltration n’a été détectée.
Rapport d’incident de l’ANSSI, 23 septembre 2026
Transposez. Dans une TPE, la question « qui surveille ? » n’a le plus souvent aucune réponse, et ce n’est pas un reproche : on n’achète pas une tour de contrôle pour six personnes. Mais surveiller, à cette échelle, ne veut pas dire acheter un logiciel. Cela veut dire savoir où regarder, et regarder de temps en temps.
Trois endroits suffisent pour commencer, et ils sont gratuits. Dans la messagerie professionnelle, la page des connexions récentes et des appareils connectés. Dans le logiciel de comptabilité ou de gestion, le journal des connexions quand il existe. Et sur le site internet de l’entreprise, la liste des comptes administrateurs. Un quart d’heure par mois, inscrit dans l’agenda comme n’importe quelle autre tâche. Cela ne détecte pas tout, mais cela détecte ce que l’État n’a pas vu : une connexion à trois heures du matin depuis un pays où vous n’avez pas de client.
3. Le détail qui doit changer votre procédure
Celui-ci vaut à lui seul la lecture du rapport. Le 24 juin, en pleine exfiltration, les équipes réinitialisent le mot de passe d’un compte compromis. Mesure réflexe, geste de bon sens. Et mesure inutile : la session de l’attaquant est restée active. Le mot de passe avait changé, l’accès était toujours ouvert.
Ce n’est pas une curiosité technique, c’est le fonctionnement normal de la plupart des services en ligne. Lorsque vous vous connectez à un site, celui-ci vous remet un jeton de session, une sorte de bracelet d’entrée. Changer le mot de passe modifie la serrure, mais ne reprend pas les bracelets déjà distribués. Tant que la session n’est pas révoquée, elle continue de valoir autorisation.
Autrement dit, la phrase que l’on entend partout – « j’ai changé mon mot de passe, c’est réglé » – est fausse dans la moitié des cas. Et comme personne ne le dit, personne ne fait le second geste.
Si vous soupçonnez un accès frauduleux
Changer le mot de passe est le premier geste, pas le dernier. Dans l’ordre :
- Changer le mot de passe, depuis un appareil dont vous êtes sûr.
- Déconnecter toutes les sessions actives. La fonction existe dans la plupart des services et s’appelle « se déconnecter partout », « déconnecter tous les appareils » ou « révoquer les sessions ».
- Vérifier les règles de transfert automatique de la messagerie : un attaquant qui part laisse souvent une copie de vos courriels derrière lui.
- Activer ou vérifier la double authentification, et contrôler la liste des appareils de confiance.
- Regarder l’historique des connexions pour estimer depuis quand l’accès existait, puis conserver ces traces : elles seront demandées par votre assurance et par la CNIL si des données personnelles sont concernées.
Ce point prolonge ce que nous écrivions fin août à propos des fuites de données de l’été : l’attaquant ne force plus la porte, il se connecte. Le rapport de l’ANSSI ajoute la suite de l’histoire : une fois qu’il est entré, encore faut-il savoir le faire sortir.
4. Tous les seconds facteurs ne se valent pas
Deux des portails concernés ne demandaient qu’un identifiant et un mot de passe. Aucune double authentification. Mais le troisième en avait une, et c’est le cas le plus intéressant : ce portail utilisait un code envoyé par courrier électronique comme second facteur. L’ANSSI le qualifie de facilement contournable, et la raison tient en une phrase : si l’attaquant contrôle déjà la messagerie, lui envoyer un code dans cette messagerie ne protège rien du tout.
D’où la formulation précise de sa recommandation, qu’il faut retenir mot pour mot : il faut un second facteur « résistant à la compromission du premier ». Ce n’est pas la même chose que « avoir activé la double authentification ». C’est une question de qualité, pas de case cochée.
En pratique, les quatre solutions courantes ne se valent pas. La clé physique est la plus solide : elle ne peut pas être recopiée à distance. L’application d’authentification, qui affiche un code à six chiffres, vient juste derrière, et c’est le bon compromis pour une petite entreprise : gratuite, rapide à installer, indépendante de la messagerie. Le code par SMS protège contre un mot de passe volé, mais pas contre le détournement de ligne téléphonique. Le code par courriel, enfin, ne protège que si la messagerie est hors d’atteinte, ce qui est rarement le cas puisque c’est elle que l’on cherche à protéger.
Trois points de vigilance
- L’ordinateur personnel. Les identifiants de la DGFiP ont été volés sur des machines que l’administration ne gérait pas. Le poste familial, partagé, sur lequel les mots de passe professionnels sont enregistrés dans le navigateur, est le maillon que personne ne compte dans son inventaire.
- Le mot de passe enregistré dans le navigateur. C’est exactement ce que cherche un logiciel espion. Un gestionnaire de mots de passe dédié, protégé par un mot de passe principal, n’est pas un luxe de grande entreprise.
- La double authentification posée une fois et jamais revue. Vérifiez quel second facteur est réellement utilisé sur vos comptes sensibles.
5. L’attaque est entrée par le voisin
Le deuxième volet du rapport concerne l’architecture, et il contient le point le plus transposable de tous. L’attaquant n’est pas arrivé directement sur les applications fiscales. Il avait d’abord compromis le ministère de l’Éducation nationale, puis il a progressé d’une administration à l’autre en empruntant le réseau qui les relie, le Réseau interministériel de l’État. L’ANSSI juge cette organisation « trop permissive » : la confiance accordée aux connexions venant de l’intérieur était excessive, et des applications sensibles étaient joignables sans cloisonnement suffisant.
Traduisez cela à votre échelle. Votre entreprise n’est pas isolée : votre cabinet comptable a un accès à vos écritures, votre prestataire informatique a un accès à vos postes, l’agence qui a fait votre site en détient les clés. Chacun de ces accès est une porte que vous n’ouvrez pas vous-même, et dont vous ne voyez jamais le seuil. Quand l’un de vos partenaires est compromis, c’est votre maison qui s’ouvre, exactement comme le portail fiscal s’est ouvert depuis l’Éducation nationale.
Le remède ne demande pas de budget, seulement de la méthode : un compte nominatif par prestataire plutôt qu’un compte partagé, un accès limité à ce dont il a besoin, et surtout une fermeture à la fin de la mission. L’exercice tient sur une feuille et nous l’avons déjà décrit pour un autre usage, celui de l’inventaire des accès : la même liste sert aux deux.
Les collectivités sont concernées au même titre. Le portail par lequel les communes accèdent à leur comptabilité publique fait partie des applications visées, et une mairie de village dispose rarement d’un service informatique. La leçon est identique, l’échelle seule change.
6. Les sept mesures, traduites pour une entreprise de cinq personnes
Le rapport se termine par un plan d’action. Il est écrit pour un ministère, mais chacune de ses lignes a un équivalent à petite échelle, et aucune ne suppose d’investissement significatif.
| Ce que l’ANSSI recommande à l’État | Ce que cela veut dire chez vous |
|---|---|
| Interdire l’usage d’appareils personnels pour accéder aux applications professionnelles | Pas de messagerie professionnelle ni de logiciel de gestion sur l’ordinateur familial. Si c’est inévitable, au minimum une session utilisateur distincte et aucun mot de passe enregistré dans le navigateur. |
| Généraliser une authentification multifacteur résistante à la compromission du premier facteur | Une application d’authentification ou une clé physique sur la messagerie, la banque et la comptabilité. Pas un code envoyé par courriel. |
| Révoquer les sessions actives lors de toute réinitialisation de mot de passe | « Se déconnecter partout » devient un réflexe systématique après chaque changement de mot de passe, et pas seulement en cas d’incident. |
| Placer toutes les applications métiers sous supervision, et non la seule infrastructure | Un quart d’heure par mois : connexions récentes de la messagerie, journal du logiciel de gestion, comptes administrateurs du site internet. |
| Instaurer des quotas de consultation et bloquer les adresses de mauvaise réputation | Personne n’a besoin d’exporter l’intégralité du fichier clients. Limitez qui peut le faire, et sachez quand cela a été fait. |
| Restreindre les accès au strict périmètre de chaque fonction | Chacun accède à ce dont il a besoin pour travailler. Un stagiaire n’est pas administrateur du site, un commercial n’a pas la paie. |
| Cloisonner le réseau entre entités et accélérer la circulation des indicateurs d’alerte | Un compte par prestataire, jamais de compte partagé, et une fermeture à la fin de la mission. Quand un partenaire vous signale un incident, prenez l’appel au sérieux le jour même. |
Aucune de ces sept lignes ne coûte un abonnement. Six d’entre elles sont des décisions d’organisation, et la septième, la clé physique, se compte en dizaines d’euros. Ce qui coûte, c’est de décider que quelqu’un s’en occupe.
Le bon moment, et il est gratuit
Octobre est le Cybermois. La campagne nationale 2026, lancée le 1er octobre par Cybermalveillance.gouv.fr, a pour mot d’ordre « Se Cyber Protéger, ce n’est pas si bête » et part d’un constat qui résume ce rapport mieux qu’un long discours : tout le monde a entendu parler de cybersécurité, les bons réflexes ne sont pas toujours appliqués.
Les supports sont libres de droits et téléchargeables : sept affiches au format A2, un « cyberoscope » en A3, des vidéos pour les réseaux sociaux. Pour une TPE, une association, une mairie ou un accueil France Services, c’est une sensibilisation d’équipe qui ne demande rien d’autre qu’une imprimante et une demi-heure de réunion.
Une date à surveiller
Le projet de loi qui transpose en droit français la directive européenne NIS 2 doit revenir en discussion le 7 octobre 2026. Les TPE ne sont pas directement visées par ce texte, mais leurs clients publics et leurs donneurs d’ordre le sont, et c’est par les contrats que l’exigence descend : nous l’avions appelé l’effet cascade.
À retenir
- L’ANSSI écrit que l’attaque contre la DGFiP « n’est pas la conséquence d’une attaque sophistiquée ». Ce sont des manquements ordinaires qui ont permis la plus grosse fuite publique de l’année.
- Onze gigaoctets sont sortis en trois jours sans qu’aucune alerte ne soit levée. Surveiller, dans une petite structure, c’est un quart d’heure par mois passé sur trois journaux de connexion.
- Changer un mot de passe ne déconnecte pas l’intrus : à la DGFiP, la session est restée ouverte. Le geste à ajouter s’appelle « se déconnecter partout ».
- Un second facteur doit résister à la compromission du premier. Une application d’authentification ou une clé physique, jamais un code envoyé dans la messagerie que l’on cherche à protéger.
- L’attaque est entrée par un tiers de confiance. Un compte nominatif par prestataire, un accès limité, et une fermeture à la fin de la mission.
Il y a quelque chose de rassurant dans ce rapport, et ce n’est pas du cynisme. Si l’État a été mis en difficulté par des mots de passe volés sur des ordinateurs personnels, des sessions non révoquées et des journaux que personne ne lisait, alors la sécurité informatique n’est pas d’abord une affaire de moyens. C’est une affaire de gestes, et les gestes s’apprennent. Une entreprise de cinq personnes peut, en une demi-journée, être mieux organisée sur ces sept points que ne l’était une administration de cent mille agents au printemps dernier.
Num Compagny accompagne les TPE, les PME, les associations et les collectivités dans la sécurisation concrète de leurs accès : inventaire des comptes et des prestataires, choix et mise en place de la double authentification, procédure de réaction en cas d’accès frauduleux, routine mensuelle de vérification et sensibilisation des équipes. Nos formations professionnelles traitent la cybersécurité par les gestes du quotidien, ceux que ce rapport montre comme décisifs.
