Identifiants volés, absence d’authentification forte, applications insuffisamment cloisonnées et signaux suspects passés sous les radars : l’ANSSI publie son rapport sur la cyberattaque contre la DGFIP. Et le résultat n'est pas très rassurant. Outre la liste complète (à partir de la page 15) des fuites, l'enquête montre surtout que les pirates n’ont pas eu besoin d’utiliser des techniques particulièrement sophistiquées pour parvenir à leurs fins.
DEUX VOLS DE DONNÉES, MAIS DES ATTAQUES COMMENCÉES BIEN PLUS TÔT
Demandé par le Premier ministre après les cyberattaques de l’été, le rapport de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a été remis le 24 septembre et rendu public le 29 septembre. Il devait reconstituer les activités malveillantes observées sur les systèmes de la Direction générale des finances publiques (DGFiP) entre mai et août 2026 et permettre d’identifier les mesures qui auraient pu les prévenir ou les détecter.
Le document revient sur les deux vols de données revendiqués par ZeroBytes les 12 et 13 août. Le premier concernait la plateforme impots.gouv.fr et plus précisément l’outil E-Contact utilisé pour la relation avec les usagers. Selon l’ANSSI, les données volées concernaient près de 353 000 particuliers et 252 000 professionnels.
Mais l’exfiltration avait en réalité eu lieu sept semaines avant sa revendication, après plusieurs semaines d’exploration des systèmes de la DGFiP. La seconde attaque a porté sur les données cadastrales. Cette fois, l’ANSSI explique que la compromission de l’ordinateur d’un géomètre-expert travaillant dans un cabinet privé a permis de contourner la double authentification par messagerie. Les données ont été exfiltrées entre le 27 juillet et le 8 août.
COMMENT ?
Le rapport permet surtout de comprendre comment les attaquants sont entrés. Sur une période de trois mois, ils ont récupéré plusieurs dizaines de couples identifiant/mot de passe appartenant à des agents légitimes de la DGFiP. L’ANSSI estime qu’ils ont probablement été dérobés par des logiciels de type infostealer installés sur des ordinateurs, qui n’étaient pas administrés par la DGFiP, notamment des appareils personnels. L’agence précise qu’elle n’a identifié ni attaque par force brute ni credential stuffing : les pirates disposaient directement des mots de passe.
Le problème a été aggravé par l’absence d’authentification multifacteur sur certains accès sensibles. Dans le cas du portail APEX utilisé pour les données cadastrales, une authentification existait, mais reposait sur un code à usage unique envoyé par e-mail. La compromission d'un seul ordinateur a permis de contourner cette protection. L’ANSSI juge ce mécanisme insuffisant. Le rapport pointe également une difficulté plus générale : changer un mot de passe compromis ne suffit pas nécessairement lorsque l’ordinateur à l’origine du vol reste infecté.
DES FAIBLESSES ET DES MANQUEMENTS
Mais le plus inquiétant est qu'aucune des deux vagues d’exfiltration n’a été détectée par les outils de supervision de la DGFiP ou de l’ANSSI. Plusieurs signaux ont pourtant été enregistrés. L’ANSSI relève notamment 11 Go de données échangées entre le 22 et le 25 juin, puis 3 Go entre le 21 et le 23 juillet, sans qu’aucune alerte ne soit déclenchée. Le nombre inhabituel de requêtes nécessaires au scraping des données n’était pas davantage pris en compte.
Certaines connexions provenaient par ailleurs de VPN, d’adresses IP localisées notamment en Inde ou déjà catégorisées comme malveillantes. Des connexions nocturnes ont également été observées. Pris séparément, ces éléments ne prouvaient pas nécessairement une attaque et auraient pu générer de nombreux faux positifs. Mais l’ANSSI estime que leur corrélation aurait pu permettre de déclencher des alertes. Autre faiblesse importante : le SOC de la DGFiP ne supervisait pas le portail ADER, justement utilisé pour l’une des exfiltrations.
Le rapport met également en évidence les risques liés au Réseau interministériel de l’État (RIE), qui relie différentes administrations. L’attaquant a pu accéder à certaines ressources de la DGFiP depuis le RIE après avoir compromis des infrastructures du ministère de l’Éducation nationale. Or, l’ANSSI considère que la segmentation du réseau était trop permissive : certaines ressources pouvaient être atteintes depuis des zones qui n’avaient pas de besoin apparent d’y accéder.
L’Éducation nationale avait pourtant signalé dès le 9 juin un incident sur son propre périmètre et partagé 17 marqueurs techniques avec les équipes de réponse des différents ministères. Le rapport estime que les délais d’analyse et de partage des informations entre organismes auraient dû être réduits afin de limiter les possibilités de déplacement d’un système à l’autre.
Le rapport ne pointe pas uniquement les défaillances de la DGFiP. L’ANSSI explique également pourquoi ses propres dispositifs n’ont pas détecté l’attaque. Ses sondes surveillent notamment les points d’entrée et de sortie du RIE et d’Internet, mais l’agence ne dispose pas d’une supervision des applications concernées. Surtout, les attaquants utilisaient des comptes parfaitement légitimes, rendant leur activité plus difficile à distinguer au seul niveau du trafic réseau. L’ANSSI estime néanmoins que le volume de requêtes généré pour extraire les données aurait dû conduire à des alertes.
QUEL PLAN POUR L'AVENIR ?
Un plan d’action a désormais été défini avec la DGFiP. Il prévoit notamment de généraliser davantage l’authentification forte, de limiter l’utilisation des identifiants depuis des appareils non maîtrisés, d’étendre la supervision aux applications métier et de mieux corréler les comportements suspects.
L’ANSSI recommande également de réduire l’exposition directe des applications sensibles sur Internet et de mieux cloisonner les accès entre administrations. Pour certaines ressources internes, l’agence préconise notamment de limiter les connexions aux appareils administrés par la DGFiP ou de passer par des VPN dédiés.
Ces conclusions doivent par ailleurs être complétées par un audit plus large : l’ANSSI précise elle-même que seul un audit complet du système d’information et des applications concernées permettra d’identifier exhaustivement les vulnérabilités exploitables.
QU’EN PENSER ?
Le rapport apporte surtout une précision importante sur les attaques de cet été. Selon l’ANSSI, la compromission de la DGFiP n’est pas le résultat d’une attaque techniquement sophistiquée, mais de l’enchaînement de plusieurs faiblesses : identifiants volés, authentification insuffisante, cloisonnement trop permissif et détection incomplète.
Il montre également que la cybersécurité d’une administration ne peut plus être envisagée isolément. La compromission d’un ordinateur personnel, d’un partenaire privé ou d’un autre ministère peut devenir le point de départ d’une attaque contre un système pourtant distinct. Le plan de remédiation devra donc agir autant sur les protections techniques de la DGFiP que sur la circulation des accès et des alertes entre les différentes entités de l’État.
