Il y aura vraisemblablement un avant et un après. L’intrusion dans les bases de données du fisc au cours de l’été a provoqué un choc dans le pays et ne restera pas sans réponse. Le caractère sensible des données dérobées explique l’émoi politique. Dès les premiers les jours à la mi-août qui ont suivi la révélation dans la presse de ces fuites de données, le président de la commission des finances, Claude Raynal (PS), et Jean-François Husson (LR), ont commencé un travail de contrôle pour faire la lumière sur ces fuites de données et s’enquérir des mesures prises par l’administration en réaction. Les faits font par ailleurs l’objet d’une enquête judiciaire.
Les deux sénateurs ont fait le point sur la situation auprès de leurs collègues, sous forme d’une communication écrite transmise le 4 septembre. Leurs réponses s’appuient sur un échange de courrier avec le ministre des Comptes publics, David Amiel, et une audition de la directrice générale des finances publiques (DGFiP), Amélie Verdier, organisée le 1er septembre.
Des données d’agents compromises ont été utilisées pour l’accès
La première attaque, qui s’est produite du 23 au 25 juin, a visé l’application « e-contact » de la DGFiP, utilisée dans les communications entre les agents et les usagers. Le pirate aurait d’abord utilisé les identifiants d’un fonctionnaire de l’Education nationale, pour accéder au réseau interministériel de l’État, lequel relie les réseaux informatiques des différentes administrations de l’Etat. Il aurait ensuite utilisé les identifiants compromis d’agents de la DGFiP pour s’authentifier sur un autre portail, ADER, permettant à des administrations partenaires d’accéder à certaines applications de la Direction des finances publiques. C’est par ce procédé qu’il a pu consulter, puis extraire des informations relatives à la situation fiscale des contribuables.
Lors de son audition devant les sénateurs, la directrice générale de la DGFiP a indiqué que les mots de passe des agents concernés ont « probablement été dérobés par des logiciels malveillants présents sur leurs équipements personnels », matériels depuis lesquels ils étaient en mesure d’accéder à certaines applications fiscales.
L’ensemble des personnes concernées ont été contactées
Le vol a concerné environ 350 000 particuliers et 250 000 professionnels. Les données compromises comprennent l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et l’adresse email, la situation fiscale, ainsi que des messages échangés avec l’administration fiscale. Les contrôles réalisés, à la suite d’un signalement, n’ont pas permis de dire si les intrusions dans le système avaient débouché sur un vol de données. Ce n’est que le 12 août, lorsque le hacker a revendiqué l’opération, que la DGFiP en a pris connaissance.
Deux autres incidents se sont succédé dans les semaines suivantes. Le second, du 27 juillet au 8 août, est un accès frauduleux à un serveur de données cadastrales, à travers là encore un portail de partenaires externes de la DGFiP. Le pirate a utilisé le compte compromis d’un géomètre-expert. L’extraction de données concerne près de 435 000 foyers. Un troisième incident s’est produit le 17 août, avec un accès illégal aux successions vacantes. Dans ce cas précis, il s’agit d’une « vulnérabilité technique affectant le portail concerné », selon les réponses du ministre aux sénateurs.
David Amiel a également indiqué aux sénateurs que les contribuables victimes des extractions de données n’avaient pas été ciblés en fonction de critères particuliers. A ce jour, DGFiP a prévenu l’ensemble des particuliers et professionnels concernés, ces derniers étant exposés à des risques d’hameçonnage ou d’usurpation d’identité.
L’un des premiers problèmes soulevés par les sénateurs concerne les contrôles menés après la suspension des comptes usurpés. Dans un premier temps, les investigations n’ont pas permis d’établir que des données avaient été dérobées après l’intrusion, un « angle mort » regrettent les sénateurs. Ce qu’après la revendication que l’existence d’extractions a été établie. Pour la directrice de la DGFiP, c’est la conséquence de l’accès par le hacker d’un canal de connexion à un portail utilisé par des administrations partenaires, ADER. L’accès à ce portail a désormais été fermé aux agents de la Direction des finances publiques, et l’accès par l’intermédiaire d’ADER aux administrations partenaires aux « applications les plus sensibles » a également été définitivement coupé.
Le risque de l’interconnexion de systèmes d’information au niveau interministériel
Dans une période marquée par une augmentation inquiétante de cyberattaques, la note sénatoriale met surtout en lumière « plusieurs fragilités structurelles des systèmes d’information de la Direction générale des finances publiques ».
Il ressort du travail de contrôle sénatorial que l’une des premières faiblesses est la multiplication des canaux d’accès aux applications et aux données de la DGFiP. Les croisements d’information se sont multipliés ces dernières années, sous l’effet du renforcement de la lutte contre les fraudes. A ce titre, ces échanges entre différents services sont « particulièrement utiles », reconnaissent les sénateurs mais selon eux un « meilleur équilibre doit être recherché entre la circulation des données et la sécurisation des accès ». C’est en somme l’un des enseignements de l’incident qui a concerné l’application « e-contact ».
La directrice générale de la DGFiP compte « renforcer les exigences de sécurité applicables à ces échanges, au prix, le cas échéant, d’une moindre fluidité des accès », détaille la note sénatoriale. Une revue des risques doit être conduite prochainement.
Accès renforcés, mécanismes d’alerte : des premiers réponses opérationnelles apportées aux sénateurs
Le risque ne concerne pas seulement l’ouverture de Bercy aux autres administrations. Les investigations sénatoriales soulignent en outre que les canaux de connexion « se sont multipliés pour les agents de la DGFiP, notamment durant la crise sanitaire, sans avoir ensuite été coupés ». La note du Sénat parle d’une « une source de fragilité supplémentaire, les équipements personnels étant davantage exposés aux logiciels malveillants ». Après les trois intrusions estivales, la Direction générale des finances publiques a mis un terme aux connexions à ses outils depuis les terminaux personnels des agents.
L’intrusion sur l’outil « e-contact » et sur le serveur des données cadastrales met aussi un évidence une autre vulnérabilité. Il n’y avait pas de mécanisme permettant de détecter automatiquement un volume anormal de consultations ou d’extractions de bases de données, et de couper les accès le cas échéant aux comptes faisant l’objet d’une activité inhabituelle. Le ministre David Amiel a fait savoir aux sénateurs que des dispositifs de détection seraient déployés rapidement, avec une priorité donnée aux applications les plus sensibles. Sur la récente mise en route de la réforme facturation électronique, Bercy avait indiqué la mise en place de quotas de consultations avec système de coupe-circuit ou d’alerte en cas d’action inhabituelle.
Le ministère des Comptes publics renforcera également l’accès à l’application « e-contact », avec un système de double authentification, alors qu’il en était dépourvu. David Amiel a assuré aux sénateurs que les modalités de connexion des agents seraient renforcées. La DGFiP va également accroître le recours à des hackers éthiques, pour identifier d’éventuelles fragilités.
De façon générale, le fisc veut améliorer la sécurité sur trois axes de travail : la sécurisation des accès, l’amélioration des capacités de détection des attaques et le renforcement de la formation et de l’accompagnement des agents. La commission des finances annonce d’ores et déjà qu’elle sera attentive au suivi de leur mise en œuvre.
Bond des cyberattaques ayant visé l’administration fiscale
Les données recueillies par les sénateurs mettent aussi en lumière une réalité spectaculaire : les cyberattaques détectées par la DGFiP sont en forte progression. Elle a indiqué en avoir recensé 6 972 en 2025, contre 2 579 en 2023. C’est une hausse d’environ 170 % en deux ans. Et le phénomène s’accélère. Fin août 2026, 7 810 attaques avaient déjà été repérées depuis le début de l’année, battant déjà le total observé sur l’année 2025. Il s’agit donc une progression des tentatives d’intrusion, mais aussi une « amélioration des capacités de détection », selon l’administration.
A ce stade, selon les informations communiquées au Sénat, il n’y a pas d’élément permettant de lier les deux premiers incidents de l’été, revendiqués par le même assaillant, à des groupes organisés ou un Etat étranger. Il n’y aurait pas non plus de lien avec la cyberattaque ayant visé fin janvier le Fichier national des comptes bancaires et assimilés (FICOBA).
La commission n’en restera pas à ce premier état des lieux. Elle évoque la perspective de « travaux de contrôle plus larges, dans les prochaines semaines, sur le piratage informatique, les usurpations d’identité et les fuites de données ».
