Le 13 août 2026, la Direction générale des Finances publiques (DGFiP), l’administration qui gère notamment les impôts en France, a confirmé qu’une personne non autorisée avait réussi à accéder à son système d’information.
Cette fuite de données concerne 678 000 particuliers et professionnels. Des informations fiscales ont été consultées puis extraites lors d’intrusions survenues en juin et juillet 2026.
Suite à cette exfiltration de données, le parquet de Paris a ouvert une enquête. L’affaire dépasse donc le simple cas de la DGFiP. Elle pose une question plus large sur la sécurité informatique de l’État et sur la souveraineté numérique.
Que s’est-il passé lors de la fuite de données à la DGFiP ?
L’administration fiscale a annoncé l’intrusion, puis précisé quelles informations avaient été touchées. Mais, quelles données ont été récupérées par les attaquants ? Les comptes personnels des usagers ont-ils eux aussi été piratés ?
Quelles données ont été exposées ?
Selon le ministère de l’Économie, plusieurs informations concernant les particuliers ont été exposées. Il s’agit notamment du revenu fiscal de référence et du taux de prélèvement à la source, deux informations utilisées pour calculer ou gérer les impôts.
Pour les entreprises, les données concernées comprennent notamment la raison sociale ainsi que son numéro SIREN. Des données cadastrales ont également été exposées.
La DGFiP indique toutefois que les espaces personnels Finances publiques des particuliers et des professionnels n’ont pas été compromis. Les identifiants et les mots de passe sont donc restés sécurisés. Les informations exposées ne comprennent pas non plus de coordonnées bancaires.
Cela ne signifie pas que les données récupérées sont sans danger. Un attaquant qui connaît, par exemple, le revenu fiscal de référence, l’adresse et le quotient familial d’une personne peut créer un faux message très crédible.
Il peut ainsi se faire passer pour l’administration fiscale et envoyer le bon message à la bonne personne au moment où celle-ci s’attend justement à recevoir des informations concernant ses impôts.
Quelles mesures l’administration a-t-elle prises ?
Après avoir découvert l’incident, la DGFiP a interrompu les accès des comptes concernés. Elle a également réalisé des coupures préventives avec certains systèmes d’information sensibles afin d’éviter que l’attaque puisse se propager.
La CNIL, l’autorité française chargée de protéger les données personnelles, a été saisie. L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, spécialisée dans la cybersécurité, a également été mobilisée. Une plainte a été annoncée.
À partir du 17 août 2026, les personnes concernées ont commencé à être informées individuellement par courriel ou par courrier. Elles ont notamment reçu des informations sur les données qui avaient été exposées.
Le 20 août 2026, la double authentification de l’espace Finances publiques a également été réinitialisée pour l’ensemble des particuliers.
Un autre problème de sécurité a été découvert quelques jours plus tard. Le 17 août, une vulnérabilité, c’est-à-dire une faiblesse informatique pouvant être exploitée, a été identifiée sur le portail des successions vacantes. Selon l’administration, elle concernait uniquement un ensemble limité de données déjà publiques.
Les deux incidents sont distincts. Mais leur proximité dans le temps a soulevé des questions sur la solidité des applications de l’État accessibles depuis internet.
Pourquoi les administrations concentrent-elles autant d’incidents ?
La fuite de données de la DGFiP n’est pas un cas isolé. Les administrations françaises et d’autres acteurs publics sont régulièrement confrontés à des attaques informatiques.
Les chiffres publiés par l’ANSSI et la CNIL permettent de mesurer l’importance du phénomène.
Les chiffres de l’ANSSI pour 2025
Le Panorama de la cybermenace 2025, publié par l’ANSSI le 11 mars 2026, recense 3 586 événements de sécurité traités par l’agence.
Parmi eux, on compte 2 209 signalements et 1 366 incidents. Les ministères et les collectivités territoriales représentent 24 % des incidents, derrière le secteur de l’éducation et de la recherche, qui en représente 34 %.
L’ANSSI a également identifié 460 événements pouvant correspondre à des fuites de données. Parmi ces cas, 42 % ont été confirmés. Ces chiffres s’expliquent notamment par la grande surface d’attaque des administrations.
La donnée personnelle comme cible centrale
Les données personnelles constituent une cible particulièrement intéressante pour les attaquants. En 2025, la CNIL a reçu 6 167 notifications de violations de données, soit une hausse de 9,5 % en un an. Un incident déclaré sur deux était lié à un piratage.
Face à cette situation, la CNIL a annoncé que la moitié de son action répressive en 2026 serait consacrée au respect des règles de sécurité des données.
Quels enseignements pour la souveraineté des systèmes d’information publics ?
La souveraineté numérique dépend avant tout de la capacité d’une organisation à savoir qui peut accéder à quelles données, pourquoi et avec quel niveau de contrôle.
L’incident de la DGFiP remet ainsi en avant quatre grands domaines de sécurité :
- Le contrôle des accès légitimes. Un compte normalement autorisé peut être volé ou détourné par un attaquant. Celui-ci peut alors utiliser des accès existants, ce qui peut rendre l’attaque plus difficile à détecter.
- La journalisation et la détection. La journalisation consiste à enregistrer les actions réalisées dans un système informatique. Ces « journaux » permettent ensuite de repérer des comportements inhabituels, comme le téléchargement soudain d’une très grande quantité de données. Une supervision continue permet de surveiller ces événements.
- Le cloisonnement des environnements. Cloisonner consiste à séparer différents systèmes informatiques afin qu’un problème sur l’un d’eux ne donne pas automatiquement accès aux autres. La DGFiP a ainsi pu couper préventivement les connexions vers certains systèmes sensibles.
- La maîtrise des flux entrants et sortants. Une organisation doit contrôler les données et les fichiers qui entrent dans son système, mais aussi ceux qui en sortent. Ces échanges peuvent passer par internet, un réseau interne ou encore un support physique comme une clé USB.
Bon à savoir : Protéger un système d’information public ne concerne pas uniquement les attaques venant d’internet. Les points d’entrée physiques doivent eux aussi être surveillés. Dans certains environnements sensibles, les réseaux informatiques sont volontairement cloisonnés. Dans ce cas, les fichiers peuvent notamment être transférés à l’aide de supports amovibles, comme des clés USB ou des disques durs externes. Ces supports constituent eux aussi un point d’entrée potentiel pour des fichiers malveillants. Ils doivent donc être contrôlés avant d’être connectés aux systèmes sensibles.
TYREX développe des solutions de décontamination des supports amovibles. Nos solutions s’adresse aux administrations et aux opérateurs soumises à des exigences élevées de sécurité.
