Cyberattaque de la DGFiP : double authentification absente et accès distants en cause, selon le Sénat
La commission des finances du Sénat identifie deux failles structurelles majeures dans l'attaque ayant conduit au vol de données de 350 000 contribuables.
Sénat : rapport sur la cyberattaque du fisc pointe des failles structurelles
La commission des finances du Sénat a publié ses premiers travaux d'analyse sur la cyberattaque ayant visé la direction générale des finances publiques (DGFiP) au cours de l'été. Selon la note rédigée par le président de la commission, le sénateur Claude Raynal, et le rapporteur Jean-François Husson — dévoilée par Le Monde et qu'acteurspublics.fr a pu consulter — l'attaque a conduit, entre autres conséquences, au vol des données fiscales d'environ 350 000 particuliers.
Le document, enrichi par un entretien avec la directrice générale des finances publiques, Amélie Verdier, dresse un bilan sans équivoque de la situation. En 2025, la DGFiP a détecté 6 972 cyberattaques, contre 2 579 en 2023, « soit une hausse d'environ 170 % en deux ans », rappellent les auteurs. À la fin du mois d'août 2026, le compteur affichait déjà 7 810 attaques détectées depuis le début de l'année, soit davantage que sur l'ensemble de l'année 2025.
Interconnexions interministérielles et accès à distance
La note identifie deux points bloquants principaux. Le premier tient à la multiplication des canaux d'accès aux applications et aux données de la direction. Les sénateurs insistent sur la nécessité de « trouver un meilleur équilibre entre la circulation des données et la sécurisation des accès ».
La chronologie reconstituée de l'intrusion révèle des accès frauduleux à plusieurs niveaux successifs : d'abord via les identifiants d'un agent de l'Éducation nationale, permettant d'accéder au réseau interministériel de l'État ; puis via les identifiants d'un agent de la DGFiP pour pénétrer le portail ADER, qui ouvre l'accès aux applications de la direction à ses partenaires. Ces incidents « illustrent les risques associés à l'interconnexion des systèmes d'information au niveau interministériel », souligne la note.
Les auteurs rappellent également que « les canaux de connexion se sont multipliés pour les agents de la DGFiP, notamment pendant la crise sanitaire, sans avoir ensuite été coupés ». Ces accès à distance « constituent une source de fragilités supplémentaires, les équipements personnels étant davantage exposés aux logiciels malveillants ». Les agents avaient été autorisés à se connecter depuis leurs équipements personnels pour des usages jugés moins sensibles : messagerie professionnelle, agendas, services de ressources humaines. La plupart de ces accès ont depuis lors été coupés par la DGFiP.
Absence de double authentification sur un compte compromis
Autre défaillance relevée dans le rapport — et déjà admise par le gouvernement à l'issue de l'attaque — : l'absence de dispositif de double authentification actif sur l'un des comptes compromis, « alors même que les données accessibles étaient couvertes par le secret fiscal ». La double authentification figure pourtant parmi les mesures phares de la stratégie nationale de cybersécurité de l'État présentée en février dernier. Elle constitue l'un des principaux points de tension dans les cyberattaques récentes, dont une majorité ont été rendues possibles par des comptes compromis.
Les sénateurs pointent par ailleurs l'absence de dispositifs capables de détecter automatiquement un volume anormal de consultations ou d'extractions de bases de données. Dans le cas où un compte habilité génère des extractions massives — opération courante dans les missions de la DGFiP compte tenu du volume de données qu'elle traite —, aucune alerte automatique n'était prévue. « Nous estimons que de tels dispositifs doivent être rapidement généralisés, selon une approche proportionnée au niveau de risque », indiquent les sénateurs. Le ministre de l'Action et des Comptes publics, David Amiel, leur a précisé que le déploiement de ces mécanismes serait accéléré en donnant la priorité aux applications les plus sensibles.
Des fragilités déjà signalées, un chantier de longue haleine
La note souligne que ces failles structurelles « avaient déjà été soulignées à plusieurs reprises », tout comme « la nécessité pour l'administration fiscale de résorber sa dette technique », un chantier d'ampleur considérable déjà engagé depuis quelques années.
Lors de son entretien avec les représentants de la commission, Amélie Verdier a présenté trois axes d'action retenus à l'issue de la cyberattaque : la sécurisation des accès, l'amélioration des capacités de détection des attaques, et le renforcement de la formation et de l'accompagnement des agents comme des usagers. « Leur mise en œuvre concrète devra faire l'objet d'un suivi attentif par la commission », précisent les sénateurs.
La commission attend également les conclusions de l'audit mené par l'Agence nationale de la sécurité des systèmes d'information (Anssi), demandé par le gouvernement. Le Sénat entend par ailleurs conduire de futurs travaux plus larges sur la cybersécurité des administrations publiques.
Source: Google News LU FR