ANSSI : rapport sur cyberattaques DGFiP

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a rendu public un rapport d’incident relatif aux cyberattaques subies par la Direction générale des finances publiques (DGFiP). Ce document retrace les investigations menées entre mai et août 2026, à la demande du Premier ministre, afin d’analyser les événements ayant conduit à des exfiltrations de données.

Les attaques ont ciblé deux périmètres distincts : la plateforme impots.gouv.fr, revendiquée le 12 août, et les données cadastrales de la DGFiP, revendiquées le lendemain. Les investigations ont mis en lumière plusieurs vecteurs d’intrusion exploités par les attaquants.

Gestion des identités et authentification

Les cybercriminels ont réussi à s’emparer d’identifiants de connexion légitimes d’utilisateurs de la DGFiP. Cette compromission est intervenue après l’utilisation de ces identifiants sur des équipements personnels, couplée à l’absence d’authentification forte sur les portails sensibles.

Architecture et exposition des systèmes

L’analyse révèle une exposition excessive des applications sensibles, accessibles depuis Internet ou le Réseau interministériel de l’État (RIE) sans cloisonnement approprié. Cette configuration a favorisé la latéralisation des attaques depuis des ressources tierces, notamment via le ministère de l’Éducation nationale.

Défaillances dans la détection

Ni les moyens de supervision de la DGFiP ni ceux de l’ANSSI n’ont permis de détecter les deux vagues d’exfiltration. Plusieurs lacunes ont été identifiées : absence de supervision sur un portail utilisé pour l’exfiltration, absence de corrélation des signaux suspects, et limitation des sondes de détection de l’ANSSI aux seuls points d’entrée et sortie du RIE et d’Internet. L’Agence n’a pas accès aux journaux applicatifs, ce qui a empêché l’identification des comportements malveillants.

Un plan d’action a été élaboré avec la DGFiP pour remédier aux défaillances exploitées. Le rapport souligne également la nécessité d’améliorer les capacités de détection et la coordination interministérielle en matière de cybersécurité.