Un rapport d’incident, pas un simple décompte

À la suite des cyberattaques ayant touché la Direction générale des Finances publiques, le Premier ministre a demandé un audit approfondi à l’ANSSI. Le rapport a été remis le 24 septembre et rendu public le 29 septembre 2026.

L’enquête retrace les activités illégitimes observées sur les systèmes d’information de la DGFiP entre mai et août. Elle décrit les événements menant à des exfiltrations sur deux périmètres : d’abord celui revendiqué le 12 août et concernant la plateforme impots.gouv.fr, puis des données cadastrales détenues par la DGFiP, revendiquées le lendemain. Ces éléments ne doivent pas être confondus avec une publication exhaustive de toutes les données consultées ni avec une confirmation de toutes les revendications d’un attaquant.

Les faiblesses relevées par l’ANSSI

Le rapport identifie trois domaines : gestion des identités, architecture et détection. Parmi les faits qu’il établit, des identifiants légitimes ont été volés puis utilisés; l’authentification forte était absente sur certains portails donnant accès à des ressources sensibles. Des applications étaient exposées sur Internet ou accessibles depuis le réseau interministériel sans cloisonnement suffisant. Enfin, les vagues d’exfiltration n’ont pas été détectées par les moyens de supervision alors en place.

Ces constats décrivent les systèmes et événements audités. Ils ne permettent pas de conclure que toute administration présente les mêmes faiblesses.

Ce qu’un retour d’expérience rend visible

Une alerte de sécurité doit se lire avec le contexte des identités, des routes, des accès et des données réellement exposées. Le rapport montre aussi qu’avoir des outils de supervision ne suffit pas si les accès sensibles ne sont pas couverts, si les signaux ne sont pas corrélés ou si les événements ne sont pas détectés à temps.

La CNIL indique avoir été notifiée des violations affectant le système d’information de la DGFiP et précise que ses vérifications sont en cours. Son rôle est distinct de l’investigation technique et de l’audit conduits par l’ANSSI.

Sources officielles

À lire aussi