L’année 2026 marque un tournant critique pour la cybersécurité : avec l’arrivée de l’IA, les violations de données se multiplient (+45% de notifications de violations de données par rapport à 2026, selon la Commission Nationale Informatique et Libertés).
Durant l’année, un cas particulier aura retenu notre attention : les multiples violations de données à caractère personnel subies par la Direction Générale des Finances Publiques (DGFIP) – et leur mauvaise gestion des incidents…
Retour sur les trois violations de 2026
La DGFIP aura subie pas moins de trois violations de données durant la même année :
- janvier – février : l’incident Ficoba ;
- juin – août : les données fiscales ;
- août : les successions vacantes.
L’incident Ficoba
Le fichier national des comptes bancaires (FICOBA) recense tous les comptes bancaires ouverts en France. Des accès illégitimes ont été détectés à ce fichier. Ils auraient durés environ deux semaines.
- Données compromises : Nom, prénom, date et lieu de naissance, adresse postale et coordonnées bancaires (IBAN).
- Personnes touchées : Environ 1,2 million de comptes bancaires.
Le système fiscal (rien que ça !)
Cette cyberattaque aura durée, à priori, près de deux mois ! Les attaquants se sont introduits dès le 26 juin 2026. L’incident a été rendu public au mois d’août.
- Données compromises : Revenu fiscal de référence, quotient familial et taux de prélèvement à la source. Des données cadastrales et des identifiants d’entreprises (SIREN, raison sociale) sont également touchés (ces données sont, soit des données à caractère personnel indirectement identifiantes, soit des données non-personnelles).
- Personnes touchées : Près de 678 000 particuliers et professionnels.
Le portail des successions vacantes
Le 17 août 2026, un accès non autorisé a touché le portail public des successions vacantes. L’administration a immédiatement neutralisé la faille.
- Données compromises : Historique des demandes de consultation. Ces informations reprennent principalement des annonces légales déjà publiques.
- Personnes touchées : Le volume exact ne semble pas encore connu, mais il s’agirait de plusieurs centaines de milliers de personnes concernées.
Comment les pirates ont-il pu accéder aux données ?
Ces trois incidents ne semblent pas provenir d’une attaque particulièrement complexe, mais plutôt d’un ensemble de petits problèmes de sécurité ou de mesures de sécurité insuffisantes (au regard du volume et de la criticité des données traitées).
L’usurpation d’identifiants réels
Pour l’intrusion estivale, les attaquants ont utilisé des identifiants volés. Il s’agissait de comptes appartenant à des agents habilités ou à des partenaires autorisés, qui n’avaient pas activité d’authentification mulfifacteur (MFA).
La manière dont ils ont pu accéder aux identifiants est inconnue : phishing ? accès à un gestionnaire de mots de passe ? ingénieurerie sociale ? On ne le saura peut-être jamais….
Des délais de détection trop longs
Parmi les intrusions, celle sur les données fiscales a persisté plusieurs semaines sans déclencher d’alerte.
Cela fait beaucoup penser à une affaire, jugée par la CNIL début septembre, dans laquelle un organisme privé s’est notamment vu reproché de n’avoir détecté une violation qu’après plusieurs semaines, en raison de l’absence d’outil de vérification automatisée de logs…
Même si l’attaquant a pu utiliser des comptes utilisateurs ou administrateurs véritables pour accéder aux données, un changement soudain dans les habitudes de travail ou d’activité sur le compte aurait dû soulever une alerte.
Un mauvais cloisonnement applicatif
Une fois entrés, les attaquants ont pu extraire des volumes massifs de données, notamment en raison de l’absence de barrières logiques entre plusieurs services internes.
Autrement dit, une fois connectés les attaquants pouvaient accéder à de nombreux outils et de nombreuses données avec un seul et même compte.
Quels risques pour nous ?
- Le spear-phishing : un escroc disposant de nombreuses informations très précises devient tout de suite beaucoup plus crédible qu’un parfait étranger tentant sa chance par téléphone ou e-mail. Avec autant d’informations différentes et confidentielles (revenu fiscal, adresse, RIB, composition du foyer, etc.) se faire passer pour un service officiel (banque, impôts, CAF, …) par courrier, e-mail ou par téléphone est plus simple.
- Faux mandats SEPA : avec un nom, une adresse et un RIB, un attaquant peut tenter d’initer des prélèvements illégitimes. Même si une signature ou une pièce d’identité peuvent être nécessaires, ces données peuvent éventuellement être falsifiées (fausse signature, fausse CNI) ou récupérées dans les bases de données de précédentes violations.
- Usurpation d’identité : un classique, mais bien entendu il est possible, par l’utilisation de nombreuses données personnelles, de réaliser des usurpations d’identité plus ou moins crédibles, en France ou à l’étranger.
Au vu des risques et du volume de données, mais aussi de l’augmentation très importante du nombre d’incidents de sécurité, il devient difficile de donner des conseils préçis ou éviter une attaque ou une usurpation. Par défaut, les recommandations de base restent applicables : éviter de donner trop d’informations sur Internet, faire attention à ses comptes en banque, ne pas donner d’information par SMS ou durant un appel, et toujours vérifier l’identité d’une personne qui vous contacte.
FAQ
Qu’est-ce que je risque concrètement ?
Les identifiants et mots de passe des comptes n’ont pas été compromis, mais une partie de nos données se trouve maintenant en ligne, accessibles à des personnes mal intentionnées (ce ne sera pas la première fois…). Le risque principal reste la tentative d’arnaque par téléphone ou e-mail. Faites donc attention !
Que faire pour me protéger ?
Surveillez fréquemment vos comptes bancaires et reportez immédiatement à votre conseiller bancaire tout virement ou prélèvement qui vous semble étrange, méfiez vous de tout message qui se prétend urgent, et ne donnez jamais par téléphone d’information confidentielle à une personne qui se prétend de l’administration ou de votre banque.
Qu’a fait la DGFIP suite à ces attaques ?
Dès l’identification des intrusions, la DGFIP a fermé les accès aux comptes concernés, mais le mal était déjà fait…. Des plaintes ont été déposées, la CNIL et l’ANSSI ont été notifiées, et des enquêtes sont en cours. La DGFIP a par ailleurs acceléré le déploiement de l’authentification multifacteur (MFA) auprès de ses équipes. Peu d’informations supplémentaires sont accessibles, et les résultats des enquêtes ne sont pas encore tous connus.
