La confirmation par Bercy d’une intrusion au système d’information des Finances publiques dépasse le cas de l’administration : elle expose des données d’entreprises, annonce une vague de courriels frauduleux et rappelle des obligations qui pèsent sur chacun d’entre vous. Voici les faits vérifiés et les mesures à prendre sans attendre.
L’essentiel, vérifié aux sources officielles
La DGFiP a confirmé des accès illégitimes à son système d’information, obtenus par usurpation d’identifiants (un agent, puis un tiers habilité), détectés et coupés fin juin et fin juillet. L’exfiltration n’a été établie qu’après la revendication publique du 12 août.
678 000 particuliers et professionnels sont concernés à ce stade : revenu fiscal de référence, quotient familial, taux de prélèvement à la source ; pour les entreprises, raison sociale et SIREN. Des données cadastrales (adresses, surfaces) ont également été consultées.
La CNIL a été saisie le 14 août, le parquet de Paris a ouvert une enquête le 15 août, et l’information individuelle des personnes concernées est annoncée à partir de la semaine du 17 août.
Les espaces usagers impots.gouv.fr, les identifiants et les mots de passe n’ont pas été compromis selon l’administration. Les volumes supplémentaires revendiqués par l’attaquant ne sont pas confirmés.
Pourquoi votre organisation est concernée ?
Trois raisons, même si vous n’avez reçu aucun courrier. D’abord, des données d’entreprises figurent dans le périmètre confirmé. Ensuite, vos dirigeants et collaborateurs peuvent être concernés à titre personnel, et leurs données fiscales servent à fabriquer des fraudes ciblées contre votre organisation (faux fournisseurs, fraude au virement, usurpation de dirigeant). Enfin, l’envoi des notifications officielles à partir de cette semaine crée la fenêtre idéale pour de faux courriers et courriels « DGFiP ». Cette affaire est aussi un miroir : les vecteurs de l’attaque, identifiants usurpés et exfiltration non détectée, sont les points faibles les plus répandus dans les organisations privées.
Sept actions opérationnelles
- Alertez vos équipes contre la vague de phishing « DGFiP »
Diffusez dès lundi une consigne courte : l’administration fiscale ne demande jamais coordonnées bancaires, identifiants ou pièces d’identité par courriel ou téléphone ; toute démarche se vérifie en se connectant directement à impots.gouv.fr, jamais depuis un lien reçu. Sensibilisez particulièrement les services comptables et paie, cibles des fraudes au virement, et rappelez le canal interne de signalement. Les tentatives se signalent sur cybermalveillance.gouv.fr (dispositif 17Cyber).
- Passez en revue vos habilitations et vos comptes de tiers
Les deux accès illégitimes reposent sur des identifiants usurpés, dont ceux d’un tiers habilité. Transposez la leçon : inventoriez les comptes de vos prestataires, partenaires et interfaces, supprimez les accès dormants, appliquez le moindre privilège et réservez aux accès sensibles une authentification multifacteur résistante à l’hameçonnage. Un accès accordé à un tiers obéit à votre politique de sécurité, pas à la sienne : vérifiez ce que prévoient vos contrats et vos plans d’assurance qualité fournisseurs.
- Testez votre capacité à détecter une exfiltration
La leçon centrale de l’affaire tient en une phrase : couper un accès n’est pas détecter une fuite. La DGFiP avait interrompu l’accès dès fin juin sans identifier que des données étaient sorties. Interrogez vos équipes ou votre infogérant : journalisons-nous les consultations massives et les exports, pas seulement les connexions ? Saurions-nous reconstituer qui a consulté quoi, quand, et en quel volume ? Les recommandations de l’ANSSI sur la journalisation constituent le référentiel de base ; un exercice sur table d’une demi-journée suffit souvent à révéler les angles morts.
- Préparez la double horloge des 72 heures
Deux délais courent dès la connaissance d’un incident, et la jurisprudence de l’affaire DGFiP rappellera à chacun que la connaissance d’un accès non autorisé suffit, sans attendre la preuve d’une exfiltration. Premier délai : la notification à la CNIL sous 72 heures (article 33 du RGPD), quitte à la compléter ensuite, le règlement le permet expressément. Second délai, trop souvent ignoré : depuis la loi du 24 janvier 2023, le dépôt de plainte dans les 72 heures conditionne l’indemnisation par votre assurance cyber. Vérifiez que votre procédure de gestion de violation désigne qui décide, qui notifie, qui dépose plainte, avec des modèles prêts à l’emploi. Un incident un vendredi d’août ne prévient pas.
- Documentez vos mesures de sécurité : la preuve vous incombe
La Cour de justice de l’Union européenne l’a jugé à propos du piratage de l’administration fiscale bulgare (14 décembre 2023, C-340/21) : en cas de violation, c’est au responsable du traitement de prouver que ses mesures étaient appropriées, et la crainte fondée des personnes concernées peut ouvrir droit à réparation, même sans fraude réalisée. La jurisprudence récente exige en retour que ce préjudice soit démontré (19 mars 2026, C-526/24). Traduction opérationnelle : tenez à jour le registre de vos mesures techniques et organisationnelles, conservez politiques, homologations, comptes rendus de tests et décisions d’arbitrage. Le jour venu, ce dossier vaut plus que toutes les plaidoiries.
- N’attendez pas la loi pour NIS2
La Commission européenne a saisi la Cour de justice contre la France le 8 juillet pour défaut de transposition de la directive NIS2, et l’examen de la loi Résilience est repoussé à septembre. Ce vide législatif ne protège personne : les exigences sont connues, l’ANSSI a ouvert MonEspaceNIS2 et publié son référentiel de préparation. Si votre organisation entre dans le champ des entités essentielles ou importantes, cartographiez dès maintenant vos systèmes, votre chaîne de sous-traitance et vos écarts : ceux qui découvriront leurs obligations à la promulgation subiront le calendrier au lieu de le choisir.
- Si vos dirigeants ou collaborateurs reçoivent la notification
Les courriers de la DGFiP partent à compter de cette semaine. Conseillez aux personnes concernées de conserver la notification et son enveloppe, de documenter chaque démarche datée (alertes bancaires, changements de mots de passe, temps passé), d’activer la double authentification sur impots.gouv.fr et de redoubler de vigilance sur les sollicitations. Le droit d’accès auprès du délégué à la protection des données de la DGFiP et la réclamation auprès de la CNIL sont ouverts et gratuits. Pour les dirigeants dont le revenu fiscal figure dans les données exposées, une vigilance physique s’ajoute : le ciblage patrimonial à partir de fichiers volés n’est plus un scénario théorique.
Source : https://www.altij.fr/
