DGFiP : aucune faille exploitée, seulement des identifiants valides

La Direction générale des Finances publiques a confirmé mi-août deux intrusions distinctes dans son système d’information, revendiquées par un groupe se faisant appeler ZeroBytes. Le bilan officiel du 14 août fait état d’environ 678 000 particuliers et professionnels concernés, données cadastrales comprises.

Le point qui mérite l’attention n’est pas le volume. C’est le mode opératoire, et il est d’une banalité complète : aucune faille logicielle exploitée, aucun code d’attaque inédit. Selon les éléments communiqués par Bercy, l’accès a été obtenu par usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité, puis par une connexion au réseau privé virtuel normalement réservé aux agents pour accéder à distance à leurs outils internes.

Autrement dit : quelqu’un s’est connecté avec des identifiants valides, par la porte prévue à cet effet.

L’affaire déplace le modèle de menace

La plupart des organisations construisent leur défense contre une intrusion. Périmètre, correctifs, détection de code malveillant, cloisonnement réseau. Cet arsenal ne se déclenche pas lorsque l’attaquant n’entre pas par effraction mais par la porte, avec une clé qui fonctionne.

Les enseignements valent pour une PME comme pour une administration de plus de cent mille agents.

Le tiers habilité est une catégorie à part entière. Bercy évoque « un agent et un tiers habilité », d’autres formulations parlent d’un agent interne et d’un prestataire. Quelle que soit la terminologie retenue, le constat est le même : une partie des accès aux systèmes les plus sensibles est détenue par des personnes qui ne figurent pas dans les effectifs. Ces comptes échappent souvent aux campagnes internes de sensibilisation, aux revues de droits liées aux départs, et parfois à la politique d’authentification elle-même.

L’accès distant reste le premier maillon. Le VPN des agents n’a pas été percé, il a été utilisé. C’est le scénario dominant, et il explique pourquoi l’authentification multifacteur sur les accès distants figure en tête du plan de remédiation annoncé — avec un objectif de généralisation d’ici la fin de l’année.

Un compte authentifié n’est pas un compte inoffensif. C’est le volet le moins traité. Une fois à l’intérieur, l’attaquant a consulté puis extrait des centaines de milliers d’enregistrements via des outils métier fonctionnant normalement. Aucune alerte technique ne se déclenche : l’application fait exactement ce pour quoi elle a été conçue, pour un utilisateur qui a le droit de la solliciter.

Le plan de Bercy, lu comme une check-list

Les mesures annoncées après l’incident constituent une grille de lecture utile, parce qu’elles sont dimensionnées pour une administration mais transposables presque telles quelles.

Généralisation de la double authentification pour les agents. Intensification des campagnes internes de simulation de hameçonnage. Renforcement des formations, adaptées aux méthodes réellement observées. Amélioration de la détection des comportements suspects. Mise en place d’un programme de bug bounty. Recours accru à l’intelligence artificielle pour la surveillance.

Sur les six, quatre sont accessibles à une organisation de trente personnes sans budget particulier : la MFA, les simulations, la formation, et l’ajustement des règles de détection. Le bug bounty suppose une maturité et un périmètre exposé qui ne concernent pas tout le monde.

La question que le plan ne pose pas

Un point reste hors du périmètre public des mesures annoncées, et c’est celui qui a permis le volume.

Qu’un compte légitime puisse interroger un outil de recherche fiscale, c’est la fonction même de l’outil. Qu’il puisse en extraire des centaines de milliers de lignes en quelques sessions relève d’un autre sujet : la granularité des habilitations et la surveillance du volume consulté. C’est une problématique applicative, pas une problématique d’authentification, et elle se traite différemment.

Les trois leviers, dans l’ordre de coût croissant : restreindre ce que chaque profil peut consulter au strict nécessaire, plafonner les exports au-delà d’un seuil, et journaliser les consultations en masse avec une alerte au dépassement. Le troisième est le plus rentable, parce qu’il ne casse aucun usage métier — il rend simplement visible ce qui, aujourd’hui, ne l’est pas.

La question à se poser en interne est simple, et elle est rarement posée : combien d’enregistrements un utilisateur donné peut-il extraire de votre application métier en une journée sans que personne ne s’en aperçoive ?

Sur les chiffres, une réserve

Le bilan officiel de 678 000 personnes recouvre l’ensemble des deux intrusions, données cadastrales comprises. L’attaquant revendique des volumes nettement supérieurs sur le volet cadastral, non confirmés par l’administration. Les revendications de ce type sont fréquemment surévaluées, et l’écart entre le chiffre annoncé et le chiffre vérifié fait partie du mode opératoire.

Ce qui n’est pas contesté : l’accès a bien eu lieu, il a duré, il a porté sur des données d’identité, fiscales et patrimoniales — la matière première des escroqueries ciblées. Les personnes concernées sont exposées à des tentatives d’hameçonnage particulièrement crédibles dans les mois qui viennent, puisque l’attaquant dispose d’éléments qu’un escroc ordinaire n’a pas.

Pour une entreprise dont les données de dirigeants ou de clients figurent dans ces jeux, l’action utile n’est pas de changer des mots de passe : c’est de prévenir les équipes exposées, en particulier la comptabilité, qu’une demande de virement bien informée peut arriver.

Sources

• Ministère de l’Économie et des Finances — communiqués des 13 et 14 août 2026 ; point presse du 17 août 2026
• DGFiP — mesures annoncées : authentification multifacteur des agents, simulations de hameçonnage, formations, détection comportementale, bug bounty
• Règlement (UE) 2016/679 (RGPD), articles 32, 33 et 34