Actualité
Fonction publique et administration

Cyberattaque de la DGFiP : responsable en droit, hors d'atteinte en fait

Trois intrusions successives, entre fin juin et début août 2026, ont exposé les données fiscales et patrimoniales de plusieurs centaines de milliers de contribuables et d'entreprises. Aucune faille logicielle n'a été exploitée : l'attaquant s'est servi d'identifiants légitimes. Mais le véritable sujet de politique publique n'est ni l'habileté de l'attaquant, ni même la lenteur de la détection. Il tient à une comparaison : lorsque France Travail a subi une attaque de même nature en mars 2024, la CNIL a pu lui infliger 5 M€ d'amende et les victimes ont saisi le juge judiciaire dans les conditions du droit commun. Contre l'État, aucune amende n'est possible, et les victimes doivent emprunter une voie administrative beaucoup plus étroite. À manquement identique, la sanction et la réparation ne sont pas les mêmes. C'est cette asymétrie qu'il faut corriger. La Fondation IFRAP propose que l'Etat ne puisse pas échapper aux amendes de la CNIL en cas de fuite de données personnelles, ne serait-ce que pour forcer l’Etat à renforcer la sécurisation des données personnelles dont il est le détenteur en sa qualité de responsable de traitement (articles 32 et 34 du RGPD). 

L’État impose au citoyen de lui livrer une part considérable de son intimité économique : le contribuable n’a jamais consenti à cette confidence, la loi la lui impose. Cette contrainte, qui légitime la collecte, en accroît d’autant la contrepartie. La question déterminante n’est donc pas de mesurer l’habileté de l’attaquant, mais de savoir si l’État peut démontrer qu’il avait adopté les mesures juridiquement requises. Le droit de l’Union fait peser sur l’État une charge probatoire exigeante ; le droit national l’a soustrait à la seule sanction qui rendrait cette charge dissuasive, à cause de l'immunité partielle et de l'exorbitance de ses droits.

Trois intrusions, un seul vecteur : l’identité

Le communiqué du 14 août 2026 constitue la source primaire du dossier[1]. L'administration y reconnaît que des accès frauduleux, intervenus en juin et juillet 2026, ont reposé sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. UN première intrusion a permis de consulter puis d'extraire des données relatives à 678 000 particuliers et professionnels. Une seconde opération, fin juillet, a visé le serveur professionnel de données cadastrales : Bercy retient environ 200 000 comptes, quand d'autres sources font état de 433 000 à 434 000 particuliers[2]. Un troisième incident, portant sur des données de succession, a été colmaté le 17 août. Une administration qui reconnaît une violation doit stabiliser et publier une volumétrie unique, distinguant les personnes concernées des lignes extraites.

La nature des données extraites importe davantage que leur volume. Un fichier de coordonnées se revend ; un fichier fiscal qualifie ses victimes. État civil, numéro fiscal, revenu fiscal de référence, quotient familial, nombre de parts, taux de prélèvement à la source et, pour le volet cadastral, adresses et surfaces des biens détenus : un seul enregistrement livre le niveau de revenu, la composition du foyer et la consistance du patrimoine, avec l'adresse en regard. C'est exactement le matériau que recherchent les réseaux spécialisés dans les cambriolages ciblés et les séquestrations, comme l'a illustré en octobre 2025 l'exploitation du piratage de la Fédération française de tir. Pour les professionnels, la conjonction de la raison sociale, du numéro SIREN et de l'adresse du mandataire constitue le socle d'une fraude au faux fournisseur.

L'affaire n'est pas une exception. En février 2026, un accès illégitime au fichier national des comptes bancaires portait sur environ 1,2 million de coordonnées, déjà obtenu au moyen des identifiants usurpés d'un fonctionnaire ; en avril, l'Agence nationale des titres sécurisés voyait environ 11,7 millions de comptes compromis ; en juillet, un système d'information de l'Éducation nationale était à son tour visé[3]. Une quinzaine de services opérés par l'État ou pour son compte ont été attaqués au cours du seul premier semestre 2026. Le point commun n'est pas technique, il est doctrinal : l'attaquant ne franchit plus une barrière, il emprunte une porte ouverte au moyen d'une identité légitime. Ce déplacement de la menace, du logiciel vers l'identité, rend obsolètes les architectures conçues sur le modèle du périmètre de confiance.

La défaillance ne se situe pas dans l’intrusion mais dans sa détection

Aucune administration n'est tenue de rendre ses systèmes inviolables. Le manquement, s'il existe, se situe en amont — dans l'adéquation des mesures au risque — et en aval — dans la capacité à détecter, qualifier et notifier. Or les comptes utilisés ont bien été coupés dès le repérage de l'intrusion, fin juin, mais le vol de données n'a été établi que le 12 août, après la revendication publique de l'attaquant : sept semaines séparent l'incident de l'information du public. L'administration fait valoir que l'attaquant n'a pas procédé à un requêtage massif automatisé, mais à des explorations à faibles volumes, produisant un comportement peu atypique. L'argument est recevable dans son principe ; il ne dispense pas de l'analyse.

La délibération France Travail du 22 janvier 2026 fournit ici une grille directement transposable[4] : la formation restreinte de la CNIL y a expressément écarté l'idée qu'une attaque menée au moyen de comptes légitimes serait indétectable, en relevant que l'activité de ces comptes présentait des anomalies caractérisées — horaires inhabituels, fréquence des requêtes, volumes d'extraction sans rapport avec l'usage métier, taux d'erreur élevé — qui auraient dû déclencher des alertes si la journalisation avait été exploitée en continu. L'usage d'un identifiant valide ne rend pas l'anomalie invisible : il la déplace vers le comportement du compte. Trois hypothèses seulement rendent compte d'une exfiltration non détectée : l'extraction n'est journalisée nulle part, ce qui serait un défaut de conception sur un système de cette sensibilité ; l'attaquant a effacé ses traces, ce qui suppose un niveau de privilège qu'il faut expliquer ; ou personne n'a exploité les journaux disponibles. Aucune de ces branches n'est neutre au regard de l'article 32 du RGPD.

Le risque était par ailleurs identifié de longue date au sein de la même direction. Dans une réponse à une question écrite publiée le 9 juin 2026, le Gouvernement indique que la DGFiP avait renforcé, dès décembre 2025, la sécurité des services ouverts aux partenaires en raison d'une activité de cybermalveillance intense, et qu'elle avait déployé, dès juin 2025, un second facteur d'authentification pour les usagers particuliers[5]. Cet élément ne démontre aucun manquement par lui-même ; il établit en revanche une connaissance préalable du risque. L'administration devra expliquer pourquoi les accès des tiers habilités demeuraient exploitables plusieurs mois après, alors que l'authentification renforcée avait déjà été déployée sur un autre périmètre. Le même constat vaut pour l'alerte syndicale du 18 juin 2026, à laquelle la direction générale aurait répondu que la situation était sous contrôle[6].

Le ministre chargé de l'Action et des Comptes publics a reconnu publiquement une « dette technique » de l'État et l'obsolescence des outils de détection d'intrusion[7]. Cet aveu est à porter au crédit de la transparence gouvernementale, mais il rend plus difficile la défense qui sera opposée devant le juge, car la doctrine officielle elle-même acte le retard : la feuille de route de la sécurité numérique de l'État 2026-2027 fixe la généralisation de l'authentification multi-facteurs aux systèmes « à enjeux » à février 2027, et à l'ensemble des systèmes à février 2028[8]. À la date de l'attaque, l'absence d'authentification forte généralisée n'était donc pas un accident : c'était une trajectoire assumée. Or la CNIL relevait que près de 80 % des violations de grande ampleur constatées en 2024 avaient été permises par l'usurpation d'un compte protégé par un seul mot de passe[9]. Une administration peut-elle opposer au juge un calendrier de mise en conformité qu'elle s'est elle-même fixé, lorsque ce calendrier est postérieur à la réalisation du risque qu'il devait couvrir ?

Une grande asymétrie entre ce que le droit impose à un opérateur et ce qu'il impose à l’Etat, en défaveur des victimes

Sur le fond du droit, l'état de la question ne joue pas spontanément en faveur de l'administration. Lorsqu'il traite les données fiscales des contribuables, l'État agit comme responsable de traitement. L'article 32 du RGPD énonce une obligation de moyens renforcée, appréciée in concreto : plus les données sont massives, sensibles et exploitables à des fins de fraude, plus le niveau de sécurité exigé s'élève. S'y ajoute l'obligation de notification, l'article 4, point 12, définissant la violation comme incluant le seul accès non autorisé, sans qu'une extraction soit requise. Surtout, la Cour de justice fait peser sur le responsable du traitement la charge de démontrer le caractère approprié des mesures mises en œuvre[10] : la personne concernée n'a pas à reconstituer l'architecture informatique de l'administration. L'argument de la sophistication trouve ici sa limite ; recevable, il ne se présume pas, il se démontre. Gardons-nous toutefois du raisonnement inverse : la Cour ne pose pas l'équation « cyberattaque réussie = manquement ». Et la défense spontanée (« nous sommes nous-mêmes victimes ») est exacte en fait, mais n'exonère pas, l'article 82, § 3 exigeant de prouver que le fait dommageable n'est nullement imputable au responsable.

Jusqu'ici, tout ce qui précède vaudrait mot pour mot dans l’affaire contre France Travail. C'est à partir du moment où la victime veut faire valoir ses droits que les deux affaires divergent radicalement — et cette divergence ne doit rien à la gravité des faits, tout au statut juridique du responsable.

Premier écart : la personnalité morale commande la sanction, d’où l’impossibilité de la CNIL d’infliger une amende à l’Etat. France Travail est un établissement public administratif, personne morale distincte, qui met en œuvre ses traitements pour le compte de l'État ; la DGFiP est une direction d'administration centrale dépourvue de personnalité juridique, dont les traitements sont mis en œuvre par l'État. Or l'article 20-IV de la loi du 6 janvier 1978 exclut, pour les traitements « mis en œuvre par l'État », non seulement l'amende administrative, mais aussi l'astreinte susceptible d'assortir l'injonction[11]. La CNIL a elle-même explicité que cette exclusion, d'interprétation stricte, ne vise pas les traitements mis en œuvre pour le compte de l'État : d'où les 5 M€ d'amende et l'astreinte de 5 000 € par jour prononcés contre France Travail, et l'impossibilité de la moindre sanction pécuniaire contre la DGFiP, à qui la CNIL ne peut opposer qu'un rappel à l'ordre, une mise en demeure ou une injonction sèche.

Deuxième écart, qui découle du premier et que l'on sous-estime : la sanction administrative n'est pas seulement une punition, c'est un instrument de preuve. Dans le cas de France Travail une délibération de la formation restreinte est un constat officiel, motivé et public de manquement, sur lequel les requérants s'appuient ensuite devant le juge de la réparation : l'essentiel de la démonstration est déjà faite, et gratuitement. Contre l'État, ce levier disparaît. La CNIL, saisie, a indiqué qu'il n'était plus nécessaire de lui adresser des plaintes individuelles ; ses constats conserveront une valeur probatoire, mais dépourvus de sanction ils n'auront ni la même solennité ni la même portée. La charge de la preuve des mesures de sécurité pèse certes sur l'État, mais encore faut-il avoir porté l'affaire jusqu'au juge.

Troisième écart : le juge et la procédure. Contre l'État, l'option de l'article 79 du RGPD est écartée (choisir de poursuivre le responsable du traitement de la donnée soit dans son lieu de résidence soit dans le tient propre) ; la violation s'analyse en faute de service et relève du juge administratif. Le défendeur est l'État, représenté par le ministre chargé des comptes publics, et non « la DGFiP ». Surtout, aucune instance ne peut être engagée sans une demande préalable chiffrée : la victime doit avoir identifié ses postes de préjudice et articulé une somme avant même de saisir le tribunal, là où l'assignation devant le juge judiciaire ouvre directement le débat. S'y ajoutent le ministère d'avocat obligatoire dès qu'une somme est réclamée et la déchéance quadriennale, plus brève que la prescription de droit commun[12] (5 ans). Chacune de ces marches, prise isolément, est un formalisme ordinaire ; cumulées, elles constituent un filtre qui décourage précisément les préjudices modestes et dispersés que produit une fuite de masse.

Quatrième écart : l'appréciation du préjudice. La Cour de justice a écarté tout seuil de gravité et admet que la perte de contrôle sur ses données, même brève et sans usage abusif avéré, ainsi que la crainte fondée d'un usage futur, constituent des préjudices réparables[13]. Mais le juge administratif reste traditionnellement plus exigeant : une réclamation invoquant un stress générique échouera, une description circonstanciée prospérera. Un élément joue en faveur des victimes : lorsque l'escroquerie repose sur une donnée que seul le fichier compromis contenait — un taux de prélèvement exact, une référence non publique —, le faisceau causal se resserre au point que l'administration aura peine à le contester. Le contentieux a commencé : le 24 août 2026, plusieurs centaines de victimes ont rejoint une démarche indemnitaire coordonnée[14]. Les 678 000 personnes concernées ne produiront pour autant en aucun cas 678 000 indemnisations.

Deux régimes pour un même manquement

 France Travail (cyberattaque de mars 2024)État / DGFiP (cyberattaque de l'été 2026)
Nature juridique du responsableÉtablissement public administratif, personne morale distincte de l'ÉtatDirection d'administration centrale, dépourvue de personnalité juridique : le responsable est l'État
Qualification du traitementTraitement mis en œuvre pour le compte de l'ÉtatTraitement mis en œuvre par l'État
Amende et astreinte de la CNILPossibles : 5 M€ d'amende et injonction sous astreinte de 5 000 € par jourExclues par l'article 20-IV de la loi du 6 janvier 1978. La CNIL ne dispose que du rappel à l'ordre, de la mise en demeure et de l'injonction sèche
Effet de levier du constat de manquementDécision de sanction motivée et publique, directement invocable devant le juge de la réparationAucun constat assorti d'une sanction pécuniaire : la victime doit établir elle-même la carence
Juge compétent pour l'indemnisationJuge judiciaire (tribunal judiciaire), action fondée sur l'article 82 du RGPDJuge administratif : la violation du RGPD s'analyse en faute de service
DéfendeurFrance TravailL'État, représenté par le ministre chargé des comptes publics — et non « la DGFiP »
Demande préalableNon exigée : l'assignation ouvre directement l'instanceObligatoire : réclamation préalable chiffrée, préjudice identifié poste par poste, avant toute saisine (art. R. 421-1 du CJA)
Représentation par avocatObligatoire seulement au-delà de certains seuilsObligatoire dès qu'une somme est demandée (art. R. 431-2 du CJA)
Prescription5 ans (droit commun)4 ans (déchéance quadriennale, loi du 31 décembre 1968)
Voies collectivesActions individuelles, groupées et action de groupeDémarches groupées possibles, action de groupe difficilement praticable
Charge de la preuve des mesures de sécuritéSur le responsable de traitementIdentique : sur l'État
Appréciation du préjudiceNécessaire, mais appréciation civiliste plus ouverteNécessaire et traditionnellement plus strictement appréciée
Résultat à ce jour5 M€ d'amende, actions indemnitaires individuelles et collectives en coursAucune amende possible ; contentieux indemnitaire engagé en août 2026, issue incertaine

Le chiffrage achève de désamorcer l'idée d'une pression contentieuse. Une reconstruction prudente, combinant l'assiette des personnes concernées, un taux d'adhésion de 3 à 15 % et une indemnisation unitaire de 100 à 500 €, situe le coût du contentieux entre 2 et 76 M€[15], à l'issue d'un jugement par le Conseil d'Etat. Le coût de la remédiation technique, pour le seul périmètre de la DGFiP, est pour sa part estimé autour de 26 à 40 M€ d'investissement, auxquels s'ajoutent 26 à 37 M€ par an[16]. La conclusion est contre-intuitive, mais décisive : même dans l'hypothèse haute, la charge contentieuse reste inférieure au coût annuel de la mise à niveau. Ce n'est donc pas la crainte du juge qui produira le sursaut, et le coût de la sécurité n'est pas l'obstacle : l'obstacle est l'absence de conséquence. Une administration qui ne risque ni amende, ni astreinte, ni mise en cause de ses dirigeants n'a aucune raison structurelle d'arbitrer en faveur de la sécurité contre le déploiement d'un nouveau service. Elle ne pourra le faire que sous la poussée médiatique et politique qui se traduirait, par exemple, par une baisse du consentement à l’impôt.

Deux angles morts prolongent ce constat. La directive NIS 2, qui engagerait la responsabilité des dirigeants des entités essentielles — dont les administrations publiques — et imposerait notamment l'authentification multifacteur, n'est toujours pas transposée, la Commission ayant saisi la Cour de justice le 8 juillet 2026[17]. Et le responsable de la sécurité des systèmes d'information demeure trop bas dans l'organigramme, y compris à la DGFiP, pour peser sur les arbitrages budgétaires et calendaires : une politique de sécurité qui n'a pas de porteur au niveau de la décision n'est pas une politique.

Facturation électronique : ni moratoire, ni sanction (état des lieux au 28 août 2026)

La réforme entre dans sa phase obligatoire quelques jours après la révélation de la fuite. Au 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques via une plateforme agréée ; les grandes entreprises et les ETI doivent en outre les émettre et transmettre leurs données de transaction et de paiement. Les PME, TPE et micro-entreprises ne sont soumises à l'obligation d'émission qu'au 1er septembre 2027[18]. Depuis le recentrage d'octobre 2024, l'État a renoncé au volet facturation du portail public : le routage est confié à des plateformes privées agréées, l'administration ne conservant qu'un annuaire d'adressage et un concentrateur de données.

La coïncidence de calendrier a nourri trois familles de demandes de moratoire : un report d'un mois assorti d'un audit indépendant et public avant le 30 septembre, réclamé par le Syndicat des indépendants et des TPE ; une proposition de loi déposée en juillet 2026 visant les petites entreprises ; une suspension pure et simple, étendue aux travaux sur la vérification d'identité en ligne[19].

Même si des mesures de clémence ont été décidées à partir du 1er septembre 2026 et sur un an (à l'émission) pour les GE et les ETI, puis sans doute à compter du 1er septembre 2027 et sur un an pour les PME, TPE et micro-entreprises, il est tout de même choquant que les infractions soient si lourdement sanctionnées (500 euros par non-reporting, sous un plafond de 15 000 euros). On espère que ce barème sera modulé, ne serait-ce que pour tenir compte de la taille de l'entreprise concernée. Il faut dire que les espérances du fisc en la matière sont importantes : les services escomptent un rendement de 2 à 3 Md€ de TVA encaissée supplémentaire en régime de croisière.

Six mesures permettraient de transformer l'incident en réforme.

1. Lever l'immunité pécuniaire de l'État. Supprimer, à l'article 20-IV de la loi du 6 janvier 1978, l'exclusion de l'amende et de l'astreinte, à tout le moins pour les traitements portant sur des données fiscales, patrimoniales, sociales ou d'identité. Affecter le produit de l'amende à un fonds de sécurisation des systèmes d'information de l'État neutralise l'objection de l'État se sanctionnant lui-même, en transformant la sanction en réallocation. L'Italie a fait ce choix.

2. Achever la transposition de NIS 2 avant la fin de l'année 2026, en y incluant sans réserve les administrations centrales et en assumant l'engagement de la responsabilité des dirigeants d'entités essentielles.

3. Publier des indicateurs de sécurité opposables : taux de couverture de l'authentification multifacteur par direction et par catégorie d'accès, part des comptes génériques résiduels, délai moyen de détection et de qualification des incidents, taux d'habilitations recertifiées. Publication trimestrielle et transmission aux commissions des finances. Ce qui n'est pas mesuré publiquement n'est pas piloté.

4. Instituer un régime spécifique des tiers habilités accédant aux systèmes fiscaux : authentification de niveau élevé obligatoire, contractualisation des exigences de sécurité, audit périodique, journalisation conservée par l'administration et non par le tiers, suspension automatique en cas d'anomalie comportementale. Deux incidents majeurs en six mois ont emprunté cette voie.

5. Placer le RSSI au niveau où se prennent les arbitrages : rattachement direct au directeur général pour les directions à réseau, avis formel et publié sur toute mise en service d'un téléservice manipulant des données sensibles, capacité de saisine du ministre.

6. Faire du portefeuille européen d'identité numérique le socle unique d'authentification des usagers, des mandataires d'entreprises et des tiers habilités auprès de l'administration fiscale. L'échéance européenne du 24 décembre 2026 coïncide, à quelques mois près, avec celle de la facturation électronique : cette coïncidence doit être exploitée plutôt que subie[20].

Conclusion

L'État impose au citoyen de lui livrer une part considérable de son intimité économique : le contribuable n'a jamais consenti à cette confidence, la loi la lui impose. Cette contrainte, qui légitime la collecte, en accroît d'autant la contrepartie. Le droit de l'Union fait peser sur l'État une charge probatoire exigeante ; le droit national l'a soustrait à la seule sanction qui rendrait cette charge dissuasive. Il faut mesurer ce que cette quasi-immunité a d'arbitraire : elle ne dépend ni de la sensibilité des données, ni du nombre de personnes exposées, ni de la gravité de la carence, mais du seul fait que le responsable dispose ou non d'une personnalité juridique distincte de celle de l’Etat. Les enjeux probatoires sont alors bouleversés en défaveur des victimes qui doivent bien souvent attendre d’avoir subi un préjudice aval quantifiable pour pouvoir introduire une demande préalable devant le juge administratif pour faute de service. 

Les fuites de données de l'Éducation nationale le démontrent à contrario également. Selon que le traitement compromis est mis en œuvre par le ministère lui-même, par un établissement public local d'enseignement doté de la personnalité morale, ou par un prestataire privé d'espace numérique de travail, la même négligence sera insanctionnable, sanctionnable, ou pleinement sanctionnable par la CNIL — alors que les données en cause concernent des élèves, c'est-à-dire des mineurs, dont le RGPD impose au contraire une protection renforcée. Une immunité qui suit l'organigramme plutôt que le risque ne participe pas à une saine politique consistant à renforcer de la protection des données personnelles par la puissance publique suivant l’état de l’art. et à faciliter l’indemnisation des victimes.

Dernières informations sur la situation

Entre le 4 et le 7 septembre 2026, on apprend que deux suspects ont été interpellés, et la première note d’étape de la commission des finances du Sénat, a été dévoilée.

Un volet judiciaire qui progresse rapidement

Deux personnes ont été interpellées fin août dans le cadre des enquêtes ouvertes après les attaques informatiques de l’été[21]. Le suspect principal, âgé de 18 ans et domicilié en région parisienne, a été mis en examen et placé en détention provisoire. Il est soupçonné d’appartenir au groupe « ZeroBytes », qui a revendiqué l’intrusion dans les systèmes de la DGFiP, et était déjà mis en examen dans deux autres dossiers : la fuite massive de données de l’opérateur Free à l’automne 2024 et le piratage des comptes X de BFMTV et RMC la même année[22]. Le second suspect, mineur de moins de 16 ans, a été remis en liberté à l’issue de sa garde à vue, dans l’attente de l’exploitation de son matériel informatique ; il a depuis été mis en examen, le 4 septembre, dans un dossier distinct visant le collectif « Epsilon »[23].

La rapidité de l’identification des auteurs présumés — moins d’un mois après la révélation publique du vol — contraste avec le délai de détection de l’exfiltration elle-même, que la DGFiP n’a établie que lorsque l’assaillant l’a revendiquée[24]. Ensuite, le profil des mis en cause confirme que l’exposition de l’administration ne relève pas d’une menace étatique sophistiquée mais bien d’une cybercriminalité opportuniste, exploitant des vulnérabilités élémentaires.

La note de la commission des finances du Sénat du 4 septembre 2026

Une note rédigée par le président de la commission des finances, Claude Raynal, et le rapporteur général, Jean-François Husson, a été adressée le 4 septembre aux membres de la commission[25]. Enrichie d’un entretien avec la directrice générale des finances publiques, Amélie Verdier, la note identifie des « fragilités structurelles dans la sécurisation des accès et la détection des usages anormaux »[26]. Elle rappelle que ces fragilités, comme la nécessité de résorber la dette technique de l’administration fiscale, avaient déjà été signalées à plusieurs reprises. Le contexte est celui d’une pression croissante : 6 972 attaques détectées par la DGFiP en 2025, contre 2 579 en 2023, soit une hausse de l’ordre de 170 % en deux ans, et déjà 7 810 attaques détectées à fin août 2026 — davantage que sur l’ensemble de l’exercice précédent[27].

La chronologie retenue est la suivante : deux intrusions successives, du 23 au 25 juin puis du 21 au 23 juillet, réalisées à partir d’identifiants d’agents compromis, très probablement dérobés par des logiciels malveillants installés sur leurs équipements personnels. Les attaquants se seraient d’abord connectés au compte d’un agent de l’éducation nationale pour accéder au réseau interministériel de l’État (RIE), puis auraient utilisé des accès volés d’agents de la DGFiP pour atteindre un portail applicatif, et de là l’application « e-contact », à partir de laquelle les données ont été exfiltrées[28].

Trois défaillances sont explicitement pointées. D’abord, l’absence de double authentification sur l’un des comptes compromis, « alors même que les données accessibles étaient couvertes par le secret fiscal » — une protection élémentaire, par ailleurs érigée en mesure phare de la stratégie nationale de cybersécurité de l’État présentée en février 2026[29]. Deuxième défaillance, l’absence de dispositif permettant de détecter automatiquement un volume anormal de consultations ou d’extractions, alors même que les extractions massives font partie du fonctionnement courant de la direction : les sénateurs estiment que de tels dispositifs doivent être rapidement généralisés selon une approche proportionnée au niveau de risque[30]. Troisième défaillance, la multiplication des canaux d’accès aux applications et aux données, dans un contexte de développement des échanges avec les partenaires de la DGFiP, qui a mécaniquement démultiplié les points de vulnérabilité ; les sénateurs appellent à « un meilleur équilibre entre la circulation des données et la sécurisation des accès », sans remettre en cause le principe de ces échanges[31].

La note relève enfin que les aménagements de connexion à distance mis en place pendant la crise sanitaire ont perduré sans mise à niveau : les agents ont été autorisés à se connecter depuis leurs équipements personnels à des applications jugées moins sensibles — messagerie professionnelle, agenda, certains outils de ressources humaines —, ces équipements étant précisément les plus exposés aux logiciels voleurs de mots de passe. Le même schéma avait été observé lors du piratage du ministère de l’Intérieur de décembre 2025, entré par l’ordinateur et la messagerie personnels d’un agent disposant d’un accès à distance : la vulnérabilité n’est donc pas propre à Bercy, elle est interministérielle.

La réponse annoncée et les échéances à venir

Devant les représentants de la commission, la directrice générale des finances publiques a présenté trois axes d’action : la sécurisation des accès, l’amélioration des capacités de détection et le renforcement de la formation des agents comme des usagers. Elle a précisé publiquement que 350 000 particuliers avaient vu exposées des données d’identité, d’adresse, de revenu fiscal de référence, de quotient familial et de taux de prélèvement à la source, auxquelles s’ajoutent des données d’entreprises moins sensibles — l’ensemble représentant au moins 678 000 particuliers et professionnels concernés[32]. Elle a renouvelé ses excuses au nom des agents de la DGFiP et reconnu que la confiance était « entamée », tout en indiquant que 100 agents seulement, sur environ 93 000, se consacrent exclusivement à la cybersécurité[33].

Deux échéances conditionnent la suite. D’une part, les conclusions de l’audit confié à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) à la demande du Gouvernement, attendues prochainement. D’autre part, le suivi annoncé par la commission des finances de la mise en œuvre concrète des trois axes précités, le Sénat indiquant par ailleurs vouloir conduire des travaux plus larges sur la cybersécurité des administrations[34].

    Sources :
  • [1] Communiqué de la DGFiP du 14 août 2026 relatif aux accès frauduleux constatés sur ses téléservices.
  • [2] Écart entre la volumétrie retenue par Bercy (environ 200 000 comptes) et celle relayée par ailleurs (433 000 à 434 000 particuliers et un peu plus d'un millier de professionnels).
  • [3] Accès illégitime au fichier national des comptes bancaires (FICOBA), février 2026 ; Agence nationale des titres sécurisés (ANTS), avril 2026 ; système d'information de l'Éducation nationale, juillet 2026.
  • [4] CNIL, formation restreinte, délibération SAN-2026-003 du 22 janvier 2026, France Travail : amende de 5 M€ et injonction sous astreinte de 5 000 € par jour.
  • [5] Réponse du Gouvernement à une question écrite, publiée au Journal officiel le 9 juin 2026.
  • [6] Alerte des organisations syndicales de la DGFiP du 18 juin 2026.
  • [7] Déclarations publiques du ministre chargé de l'Action et des Comptes publics, août 2026 ; la direction générale rappelle de son côté que le système d'information de la DGFiP, construit sur un modèle ancien, est indépendant du reste du périmètre ministériel — avantage de cloisonnement, mais aussi inconvénient, puisqu'il ne bénéficie pas nécessairement des mêmes mesures.
  • [8] Feuille de route de la sécurité numérique de l'État 2026-2027.
  • [9] CNIL, rapport annuel d'activité (violations de grande ampleur constatées en 2024) et recommandation relative à l'authentification multifacteur publiée en 2025.
  • [10] CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C-340/21.
  • [11] Article 20-IV de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : texte consolidé sur Légifrance.
  • [12] Articles R. 421-1 et R. 431-2 du code de justice administrative ; loi n° 68-1250 du 31 décembre 1968 relative à la prescription des créances sur l'État.
  • [13] CJUE, 4 mai 2023, Österreichische Post, aff. C-300/21 ; CJUE, 14 décembre 2023, Gemeinde Ummendorf, aff. C-456/22.
  • [14] Démarche indemnitaire coordonnée fondée sur l'article 82 du RGPD, engagée le 24 août 2026.
  • [15] Reconstruction : assiette des personnes concernées, taux d'adhésion de 3 à 15 %, indemnisation unitaire de 100 à 500 €.
  • [16] Estimation portant sur le seul périmètre de la DGFiP : authentification forte généralisée, gestion des accès à privilèges, journalisation centralisée et supervision comportementale, re-certification des habilitations.
  • [17] Directive (UE) 2022/2555 dite NIS 2 ; saisine de la Cour de justice par la Commission européenne le 8 juillet 2026 pour défaut de transposition.
  • [18] Calendrier issu de la réforme de la facturation électronique : réception obligatoire au 1er septembre 2026 pour tous les assujettis, émission au 1er septembre 2026 pour les grandes entreprises et les ETI, au 1er septembre 2027 pour les PME, TPE et micro-entreprises.
  • [19] Demande du Syndicat des indépendants et des TPE ; proposition de loi déposée en juillet 2026 ; demandes de suspension étendues aux travaux sur la vérification d'identité en ligne.
  • [20] Règlement (UE) 2024/1183 dit eIDAS 2 : mise à disposition du portefeuille européen d'identité numérique à l'échéance du 24 décembre 2026.
  • [21] « INFO FRANCEINFO. Deux suspects interpellés dans le cadre des enquêtes ouvertes après le piratage du fisc », franceinfo, 4 septembre 2026, https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/info-franceinfo-deux-suspects-interpelles-dans-le-cadre-des-enquetes-ouvertes-apres-le-piratage-du-fisc_8177303.html.
  • [22] « Piratage du fisc : le suspect de 18 ans déjà mis en examen dans le vol de données de Free, le second suspect mis en examen dans un autre dossier », franceinfo, 5 septembre 2026, https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/piratage-du-fisc-le-suspect-de-18-ans-deja-mis-en-examen-dans-le-vol-de-donnees-de-free-le-second-suspect-mis-en-examen-dans-un-autre-dossier_8178566.html.
  • [23] Ibid. Les faits qui lui sont reprochés dans le dossier « Epsilon » remontent à une période où il n’avait pas encore 14 ans.
  • [24] Damien Leloup et Florian Reynaud, « Piratage du site des impôts : une note du Sénat souligne des “fragilités structurelles” dans l’infrastructure de Bercy », Le Monde, 4 septembre 2026 (mis à jour le 5 septembre), https://www.lemonde.fr/pixels/article/2026/09/04/piratage-de-la-dgfip-une-note-du-senat-pointe-des-fragilites-structurelles-dans-l-infrastructure-de-bercy_6765851_4408996.html.
  • [25] Le Monde, art. cité. La note n’a pas fait l’objet d’une publication officielle : elle n’est connue qu’au travers des comptes rendus qu’en ont donnés Le Monde puis Acteurs publics.
  • [26] Victoria Beurnez, « Cyberattaque de la DGFiP : l’accès à distance et l’absence de double authentification mis en cause par les sénateurs », Acteurs publics, 7 septembre 2026.
  • [27] Acteurs publics, art. cité : 6 972 attaques détectées en 2025 contre 2 579 en 2023, et 7 810 sur les huit premiers mois de 2026.
  • [28] Le Monde, art. cité. Le portail « ADER », qui ouvre aux partenaires de la DGFiP l’accès à ses applications, est identifié par Acteurs publics comme le point de rebond vers l’application « e-contact ».
  • [29] Le Monde, art. cité. Un dispositif de double authentification doit être prochainement déployé sur « e-contact ».
  • [30] Acteurs publics, art. cité. Le ministre de l’Action et des Comptes publics, David Amiel, a indiqué aux sénateurs que le déploiement de ces dispositifs serait accéléré, en donnant la priorité aux applications les plus sensibles.
  • [31] Le Monde, art. cité. Lors du piratage du ministère de l’Intérieur de décembre 2025, c’est l’accès d’un agent du ministère de l’Agriculture qui avait servi de porte d’entrée.
  • [32] « Piratage du fisc : la DGFiP évoque “une excellente nouvelle” après l’arrestation de deux suspects et s’excuse une nouvelle fois pour ce “vol” de données », franceinfo, 5 septembre 2026, https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/piratage-du-fisc-la-dgfip-evoque-une-excellente-nouvelle-apres-l-arrestation-de-deux-suspects-et-s-excuse-une-nouvelle-fois-pour-ce-vol-de-donnees_8178776.html.
  • [33] Ibid. Soit de l’ordre de 0,1 % des effectifs de la direction, à rapprocher du volume d’attaques détectées et de l’étendue du parc applicatif à sécuriser.
  • [34] Acteurs publics, art. cité.