par Suzette SENZONGO, étudiante du Master 2 Droit des communications électroniques
Le 29 septembre 2026, l’ANSSI a publié son rapport d’incident consacré aux cyberattaques ayant touché la Direction générale des Finances publiques (DGFiP) entre mai et août 2026. L’attaque avait notamment conduit au vol de données concernant près de 353 000 particuliers et 252 000 professionnels. Une seconde attaque avait également permis l’exfiltration de données cadastrales.
Illustration générée par Suzette SENOZNGO à l’aide de l’intelligence artificielle (Canva), à des fins d’illustration.
Une attaque fondée sur des accès légitimes
Contrairement à l’image qu’on se ferait d’un piratage reposant nécessairement sur une faille technique complexe, l’attaque contre la DGFiP a elle reposé principalement sur l’utilisation d’identifiants légitimes.
L’ANSSI, dans son rapport, indique que plusieurs dizaines d’identifiants d’agents ont été volés, probablement à l’aide d’infostealers, des logiciels capables de récupérer des mots de passe présents sur un ordinateur. Certains accès provenaient également de la compromission (accès non autorisé à un compte numérique (messagerie, banque, réseau social) à l’insu de son propriétaire) d’un autre ministère connecté au Réseau interministériel de l’État (RIE).
De plus, l’absence d’authentification multifacteur (MFA), une mesure de sécurité qui demande au moins deux preuves d’identité distinctes pour pouvoir accéder à un compte ou un service en ligne, sur certains périmètres a également joué un rôle déterminant. L’ANSSI relève notamment que la compromission de comptes permettait une réutilisation immédiate des identifiants, tandis que le recours à un OTP (mot de passe à usage unique) transmis par courrier électronique constituait lui-même un mécanisme insuffisant lorsque la messagerie pouvait être accessible avec le seul couple identifiant/mot de passe.
La seconde attaque, visant les données cadastrales, confirme cette vulnérabilité. En effet, un compte de géomètre-expert travaillant dans un cabinet privé a été compromis et utilisé pour contourner le second facteur d’authentification et accéder aux données du portail APEX (le portail de la DGFiP dédié à certains partenaires (caisses de retraite, agences de prévoyance, etc.).
L’enseignement est donc majeur : l’identité numérique devient elle-même un périmètre de sécurité. Protéger une infrastructure ne suffit plus si un attaquant peut se présenter au système avec les identifiants d’un utilisateur légitime.
Le problème n’était donc pas uniquement de savoir qui pouvait entrer dans le système, mais également de pouvoir déterminer si l’utilisation d’un compte légitime était normale.
Le véritable problème : détecter une activité anormale
Le rapport met en évidence trois faiblesses principales : la gestion des identités, l’architecture des systèmes et leur supervision.
Les attaquants ont notamment pu effectuer de nombreuses requêtes et extraire des volumes importants de données sans déclencher d’alerte. Certaines activités avaient pourtant lieu à des horaires inhabituels ou provenaient d’adresses IP suspectes.
Le principal enseignement est donc que l’authentification ne suffit pas à assurer la sécurité : il faut également surveiller ce que fait un compte une fois connecté.
Cette difficulté dépasse d’ailleurs le seul cas de la DGFiP. Dans son Panorama de la cybermenace 2025, publié en mars 2026, l’ANSSI indique que les ministères et les collectivités territoriales représentaient 24 % des 1 366 incidents de sécurité qu’elle a traités en 2025. Ce constat souligne l’exposition particulière des infrastructures publiques aux cybermenaces.
Des conséquences qui dépassent le vol de données
Une cyberattaque peut avoir des conséquences bien plus larges que la seule divulgation d’informations. Après les attaques, la DGFiP a dû interrompre certains accès afin de contenir la menace, ce qui a également perturbé plusieurs services.
L’incident pose ainsi à la fois une question de cybersécurité, de protection des données personnelles et de continuité des services publics. Lorsqu’une administration détient des millions de données sensibles, une compromission limitée peut rapidement devenir un problème collectif.
Toutefois, l’enchaînement des incidents de 2026 semble avoir provoqué une évolution institutionnelle. Le 7 septembre 2026, à la suite et pour faire face à l’intensification des cyberattaques liées aux violations de données touchant les services de l’État, le Premier ministre a demandé à l’ANSSI de mettre en place une capacité renforcée de réaction, d’intervention et d’assistance baptisée REACTIV. Son objectif est notamment de renforcer l’appui apporté aux ministères dans la gestion des compromissions de comptes et l’analyse des violations de données. L’enjeu est donc désormais de passer d’une logique de réaction à l’incident à une logique de résilience permanente.
Ce que cet incident nous a appris
L’affaire DGFiP montre une évolution importante des cyberattaques : il n’est plus nécessaire de « casser » une infrastructure pour la compromettre. En effet, le vol d’un identifiant, l’utilisation d’un appareil insuffisamment sécurisé ou encore la compromission d’un organisme partenaire peuvent suffire.
La cybersécurité repose donc de plus en plus sur une approche globale qui implique : une authentification forte, une limitation des accès, un cloisonnement des systèmes, une surveillance des comportements et une capacité à réagir rapidement en cas d’incident.
Un nouvel enjeu
La nouvelle cyberattaque visant France Travail, révélée le 8 octobre 2026, concernant des données de plus de 62 000 agents mises en vente, rappelle que les difficultés identifiées par l’ANSSI à la DGFiP dépassent le seul cadre d’une administration. La compromission de comptes, la détection tardive des activités malveillantes et l’exfiltration de données constituent des enjeux communs aux services publics.
Alors que la France tarde à transposer la directive NIS 2, ces incidents interrogent l’efficacité des dispositifs de prévention et de détection actuellement déployés.
L’enjeu n’est donc plus seulement de savoir comment empêcher une cyberattaque, mais également comment empêcher qu’une compromission limitée ne se transforme en une violation massive de données et en une perturbation durable d’un service public.