Piratage du fisc : le rapport de l'Anssi accable la gestion

L'Agence nationale de la sécurité des systèmes d'information a rendu public, mardi 29 septembre, son rapport d'incident sur les vols de données ayant touché la direction générale des finances publiques cet été. Selon ce rapport de l'Anssi, remis au Premier ministre le 24 septembre, les fuites ne résultent "pas d'une attaque sophistiquée" mais de "l'exploitation de faiblesses" dans la gestion des identités et la détection.

Les faits remontent à mai 2026. Un pirate se faisant appeler ZeroBytes a exploré pendant plusieurs semaines les applications de la DGFiP, avant de lancer, fin juin, une première exfiltration de données depuis l'application E-Contact, utilisée pour les échanges entre le fisc et les usagers. Une seconde vague, visant le serveur professionnel de données cadastrales, a suivi entre fin juillet et début août.

Des identifiants d'agents volés, pas une faille technique

L'attaquant n'a exploité aucune vulnérabilité logicielle. Il s'est servi d'identifiants légitimes appartenant à des agents de la DGFiP, probablement dérobés par des logiciels espions installés sur des appareils personnels non gérés par l'administration. Sur trois mois, plusieurs dizaines de ces authentifiants ont été réunis et réutilisés, selon le rapport détaillé par Le Monde.

Certains comptes ont même été compromis plusieurs fois. Des prestataires surveillant le dark web avaient bien repéré des identifiants exposés et fait réinitialiser des mots de passe, mais ce délai de réaction n'a pas suffi à stopper l'attaquant, qui changeait alors simplement de compte compromis.

Deux vagues d'exfiltration jamais détectées

Aucune des deux vagues d'exfiltration n'a été repérée, ni par les outils de supervision de la DGFiP ni par ceux de l'Anssi. L'agence évoque des "lacunes dans la supervision" des systèmes d'information du fisc, malgré des signaux qu'elle juge nombreux : connexions nocturnes, requêtes massives à la base de données, volumes de transfert inhabituels.

Certaines applications sensibles n'étaient pas protégées par une authentification à double facteur. Le rapport relève aussi des politiques d'accès trop "permissives", qui laissaient des agents d'autres ministères consulter des données de la DGFiP sans lien avec leurs missions.

Un audit complet en cours et un suspect mis en examen

L'Anssi précise que seul un "audit complet", commandé en août par le Premier ministre Sébastien Lecornu, permettra d'identifier toutes les vulnérabilités du système d'information de la DGFiP. En attendant, elle recommande la généralisation de l'authentification multifacteur, l'interdiction de se connecter aux services professionnels depuis des appareils personnels, et le respect des bonnes pratiques sur les mots de passe.

« pas la conséquence d'une attaque sophistiquée, mais de l'exploitation de faiblesses », l'Anssi, Agence nationale de la sécurité des systèmes d'information.

Ces recommandations recoupent largement celles déjà publiées par des mois d'intrusion invisible après la révélation initiale du piratage. Début septembre, deux suspects avaient été interpellés dans cette affaire : l'un, âgé de 18 ans et connu sous le pseudonyme "ChatNoir", a été mis en examen et placé en détention provisoire. Il est également soupçonné d'avoir participé au piratage de Free et aux attaques du collectif Epsilon en 2024.

« peu de ministères sont au niveau requis », Sébastien Lecornu, Premier ministre.

La Commission nationale de l'informatique et des libertés a de son côté annoncé un contrôle sur place de la DGFiP, comme le rappelle notre article sur la Cnil qui contrôle la DGFiP. Le parquet de Paris a par ailleurs ouvert une enquête après le dépôt de plusieurs plaintes de victimes. Plusieurs centaines d'entre elles ont rejoint une démarche indemnitaire coordonnée fin août.