Réponse publiée le 27 octobre 2026

Le Gouvernement et la Direction générale des finances publiques (DGFIP) partagent pleinement les préoccupations exprimées concernant ces vols de données. Ces cyberattaques et les vols de données auxquels ils ont conduit sont des faits graves et nécessitent transparence et considération envers les victimes et exigent un renforcement de la sécurité du système d'information de la DGFiP. Le 12 août 2026, une revendication publiée sur le darknet a fait état d'un vol de données fiscales. Cette revendication a été signalée à la DGFiP par l'agence nationale de sécurité des systèmes d'information (ANSSI) transmis via le Service du haut fonctionnaire de défense et de sécurité (SHFDS). Cet incident a mobilisé la compromission de plusieurs identifiants d'un autre ministère ; leur usage frauduleux a permis d'accéder à un réseau du ministère concerné, puis au réseau interministériel de l'État (RIE) puis d'accéder au portail ADER de la DGFiP, ouvert sur le RIE et qui permet d'accéder à des applications DGFiP. En usurpant l'identité d'un agent de la DGFiP, le cybermalveillant a pu accéder via ce portail à une application de la DGFiP. Grâce à cet accès, il a pu accéder à des données fiscales d'usagers particuliers et professionnels. Au total, il a volé les données de 353 000 particuliers pour les données fiscales englobant l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvements à la source). D'autre part, il a accédé aux données de 252 000 professionnels (SIREN, raison sociale, adresse) qui sont en réalité publiques. S'agissant des identifiants usurpés des agents DGFiP, la détection d'activités anormales sur internet en lien avec ces identifiants et le signalement externe du fait qu'ils figuraient dans des listes vendues sur le darknet ont conduit à leur réinitialisation. Cette opération a interrompu l'attaque mais les investigations menées à ce moment, tournées vers internet, et non sur le portail ADER situé sur le réseau interministériel de l'État, n'ont pas permis de détecter l'attaque avant la revendication du 12 août. L'information de l'ensemble des usagers concernés a été réalisée. Un rapport de l'ANSSI publié le 29 septembre 2026 a confirmé cet enchainement des actions : https//cyber.gouv.fr/actualites/lanssi-publie-le-rapport-dincident-sur-les-cyberattaques-ayant-touche-la-dgfip/ Les systèmes d'information DGFIP impliqués dans cet incident de sécurité étaient homologués. L'incident de l'été ne résulte pas de l'exploitation de faille de sécurité mais de l'usurpation d'identités d'agents de l'éducation nationale et de la DGFIP. Pour tirer les conséquences de cet incident, notamment pour renforcer la solidité de l'authentification des agents DGFIP et la détection des activités frauduleuses, le plan d'actions suivant est actuellement en cours de déploiement, en cohérence avec la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État de l'ANSSI : - la coupure du portail internet de la gestion publique pour les agents DGFiP : il permettait auparavant aux agents d'accéder à leur messagerie et à des applications RH depuis un PC personnel. La séparation des usagers personnels et professionnels est un axe de sécurisation important. Désormais les agents peuvent accéder aux applications DGFiP depuis leur domicile uniquement via un PC professionnel et le VPN (Virtual Private Network : dispositif de connexion sécurisée à distance) de la DGFiP ; - le renforcement des outillages de détection de la DGFiP, avec leur alimentation par des sondes de données supplémentaires, notamment aux interfaces avec les partenaires de la DGFiP ; - la mise en place systématique de détection de volumétrie anormale de consultation des applications avec le blocage automatique des comptes utilisateurs, en commençant par les applications les plus sensibles ; - le renforcement des modalités d'authentification des partenaires qui accèdent aux applications ou données DGFiP ; - la mise en place, dès que possible, de l'authentification forte pour les agents DGFiP : pour accéder aux applications, ils devront disposer d'une clé USB sécurisée et d'un mot de passe, soit deux facteurs d'authentification ; - l'utilisation de l'intelligence artificielle pour détecter des vulnérabilités du SI de la DGFiP ; - le renforcement de la formation des agents de la DGFiP à la cybersécurité avec une intensification des exercices internes d'hameçonnage, qui sont une pratique déjà régulière de la DGFIP. Ils visent à entraîner et renforcer la vigilance des agents DGFiP ; - l'intensification au recours à des communautés externes pour organiser des hackings éthiques, ce que les spécialistes appellent en anglais des « bug bounty », pour détecter les vulnérabilités du SI DGFiP. En France, la transposition de NIS2 est actuellement en cours. L'ANSSI indique que les futures entités essentielles et importantes sont invitées à engager dès à présent une démarche de mise en conformité. Le référentiel Cyber France (ReCyF), publié par l'ANSSI en mars 2026 dans une version de travail, précise les mesures permettant d'atteindre les objectifs de sécurité prévus par NIS2. Dans le cadre de sa Feuille de route cyber, la DGFIP adapte sa gouvernance en cohérence avec NIS2, en mettant en place des comités de pilotage cyber, y compris au niveau du Ministre. Une organisation pour mieux articuler la gestion des risques métiers et les risques cyber est aussi en cours de mise en place. La DGFiP est pleinement engagée pour améliorer le niveau de sécurisation de son système d'information et pour tirer tous les enseignements de ces événements d'une grande gravité.