Piratage Du Fisc : Rapport Accablant De L’Anssi

On a longtemps imaginé le piratage d’une administration comme une scène de film : un expert encapuchonné, des lignes de code qui défilent, une brèche technique d’une rare élégance. Le rapport publié le 29 septembre 2026 par l’Agence nationale de la sécurité des systèmes d’information raconte une tout autre histoire. Pendant trois mois, des intrus ont circulé dans les systèmes de la Direction générale des finances publiques sans que le fisc ni l’autorité chargée de protéger l’État ne lèvent le moindre rideau d’alerte durable. Ils n’ont pas forcé les portes. Ils ont utilisé les clés déjà posées sur la table, celles d’agents et d’un géomètre dont les ordinateurs personnels n’étaient pas administrés par Bercy.

Ce Que Le Rapport De L’Anssi Dit Vraiment

Le document tient en une vingtaine de pages. Il ne cherche pas l’effet de manche. Il établit une chronologie, nomme des portails, décrit des sessions ouvertes la nuit, des volumes de données qui sortent, des tickets d’alerte traités trop tard. Le groupe Zerobytes a revendiqué le vol le 12 août. Quelques jours plus tard, le chiffre de 678 000 particuliers et professionnels exposés circulait déjà. L’audit demandé par le Premier ministre ne confirme pas toutes les quantités avancées par les attaquants, mais il confirme l’essentiel : l’exfiltration a duré, elle a été massive, et elle n’a pas été vue à temps.

La maxime du cryptographe Bruce Schneier revient comme une évidence. Les amateurs s’acharnent sur les machines. Les professionnels s’intéressent aux personnes. Ici, les pirates ont ciblé des postes que le fisc ne contrôlait pas. Des identifiants d’agents ont suffi. Deux portails sensibles se contentaient encore d’un couple identifiant-mot de passe. Le reste n’était qu’une question de chemin réseau et de patience.

La compromission n’est pas la conséquence d’une attaque sophistiquée.

Rapport de l’ANSSI, septembre 2026

Des mots de passe volés plutôt qu’un exploit technique

En trois mois, plusieurs dizaines d’identifiants d’agents de la DGFiP ont été récupérés. L’hypothèse la plus solide, selon l’agence, est celle d’infostealers : des logiciels espions qui siphonnent les mots de passe enregistrés dans les navigateurs, les gestionnaires locaux, parfois les sessions encore ouvertes. Ces programmes n’ont pas besoin d’entrer dans Bercy. Ils s’installent sur un ordinateur familial, un portable ramené le week-end, une machine d’un partenaire extérieur.

Une fois les identifiants en main, les attaquants ont cherché un chemin. Ils l’ont trouvé via le Réseau interministériel de l’État, après avoir compromis des infrastructures liées au ministère de l’Éducation nationale. Le RIE relie les administrations. Une session légitime, vue de l’intérieur, ne déclenche pas forcément les mêmes réflexes qu’une attaque frontale depuis l’étranger. C’est précisément ce qui s’est produit.

Il faut insister sur ce point, car il change la leçon politique. On peut dépenser des fortunes en pare-feu et en sondes. Si un agent enregistre son mot de passe professionnel sur un navigateur personnel, si un partenaire privé accède à un portail métier depuis un poste infecté, la frontière technique s’effondre. Le rapport le dit sans détour : ce n’était pas un coup de génie cryptographique. C’était une chaîne de négligences humaines et organisationnelles.

Trois mois dans les serveurs sans alarme durable

Le 23 juin au soir, vers 20 h 50, des recherches suspectes lancées depuis un compte d’agent déclenchent enfin une alerte au centre de supervision de la DGFiP. Le ticket attendra le lendemain. Pendant ce temps, dès 4 h 26, les pirates lancent l’aspiration automatisée d’E-Contact, la messagerie des échanges avec les usagers, avec le même compte. Le mot de passe est réinitialisé à 10 h 40. La session déjà ouverte n’est pas coupée. L’exfiltration se poursuit jusqu’au 25 juin à 2 h 31.

Les volumes parlent. Environ 11 Go sortent entre le 22 et le 25 juin. Une seconde vague d’environ 3 Go a lieu entre le 21 et le 23 juillet. Les connexions arrivent de nuit, depuis des VPN ou des adresses localisées en Inde. Le portail ADER, utilisé pour extraire les fichiers, n’était pas dans le périmètre de surveillance du SOC. Autrement dit, le tuyau par lequel les données partaient n’était tout simplement pas regardé.

Cette séquence n’est pas un détail opérationnel. Elle décrit un modèle de défense encore trop centré sur l’entrée, pas assez sur la sortie, encore moins sur le comportement anormal d’un compte pourtant légitime. Un agent qui interroge des masses de fiches à 4 heures du matin depuis une adresse inhabituelle devrait, en théorie, faire sonner toutes les cloches. Ici, les cloches étaient mal branchées.

Le cadastre, le géomètre et le second facteur contourné

Le second vol, revendiqué le 13 août, vise le serveur professionnel de données cadastrales. L’entrée ne passe plus par un agent de Bercy, mais par le poste d’un géomètre-expert d’un cabinet privé. Le portail APEX, réservé à ces partenaires, exigeait bien un second facteur : un code envoyé par courriel. Une fois l’ordinateur du géomètre compromis, ce verrou n’a plus protégé grand-chose. Les messages arrivent sur la même machine déjà sous contrôle. Les données sortent entre le 27 juillet et le 8 août.

La revendication parle de deux millions de Français, de noms, de dates de naissance, de parcelles et de biens détenus. Le rapport ne reprend pas ce chiffre comme une vérité établie. Il recommande en revanche de bannir les appareils personnels, de généraliser une authentification multifacteur fondée sur des clés physiques ou des applications dédiées, et de plafonner le nombre de fiches consultables par compte. Le 13 août, la DGFiP a coupé l’accès de ses agents au portail ADER.

Le détail du code par courriel mérite qu’on s’y arrête. Beaucoup d’organisations croient encore qu’un second facteur est forcément robuste. Un SMS ou un e-mail n’est qu’un second canal, pas une seconde identité. Si l’attaquant possède déjà la boîte mail, il possède le code. Les clés matérielles et les applications d’authentification hors messagerie existent depuis des années. Elles n’étaient pas généralisées sur des accès qui ouvrent pourtant sur le patrimoine immobilier de millions de foyers.

L’Anssi juge et partie

Le rapport n’épargne pas l’agence qui le signe. Ses sondes surveillent les entrées et sorties du Réseau interministériel de l’État, pas les journaux applicatifs du fisc. Elles n’ont rien vu passer. Un partenaire avait signalé deux comptes compromis dès le 15 juin. La DGFiP n’a pas répondu. L’agence n’a pas relancé. Elle transmet deux adresses IP suspectes le 6 août et ne prévient Bercy que le 12 août, quelques heures après la revendication publique.

Les règles, pourtant, existaient. Depuis une circulaire de 2014, la politique de sécurité des systèmes d’information de l’État s’impose aux ministères. L’ANSSI en suit l’application. Ses guides recommandent depuis longtemps la double authentification sur les accès sensibles et l’interdiction des équipements personnels sur les réseaux professionnels. Un guide n’oblige personne. En 2026, deux portails du fisc ouvrant sur des données sensibles se contentaient encore d’un identifiant et d’un mot de passe.

Un guide n’oblige personne. Les échéances contraignantes sont arrivées après coup.

Lecture du rapport ANSSI

La feuille de route cyber de l’État publiée le 9 septembre impose désormais la double authentification aux administrateurs d’ici le 31 décembre 2026, puis aux utilisateurs des systèmes critiques d’ici le 28 février 2027. Le reste des systèmes a jusqu’en février 2028. Aucun budget supplémentaire n’accompagne ce calendrier. On demande plus de discipline sans garantir plus de moyens. C’est une habitude française, et ce n’est pas la moins coûteuse.

Pourquoi cette fuite intéresse les milieux crypto

Un nom, une date de naissance et la liste des biens immobiliers d’un foyer valent de l’or pour qui cherche une cible solvable. La France figure parmi les pays les plus touchés par les séquestrations visant des détenteurs de cryptomonnaies, ces agressions où l’on extorque des clés privées sous la menace. Aucune agression n’a, à ce stade, été reliée formellement aux fichiers du fisc. Les fuites de données ont déjà servi ailleurs à repérer des victimes. Le rapprochement n’est pas une fiction de roman noir. C’est une méthode connue.

Le calendrier fiscal aggrave le tableau. Depuis le 1er janvier 2026, la directive européenne DAC8 oblige les plateformes crypto à collecter les données de leurs clients pour les transmettre aux administrations fiscales. Identité, adresse, montants échangés : ces informations finiront sur les serveurs de la DGFiP, ceux-là mêmes dont le rapport décrit les failles. Les premiers fichiers DAC8 doivent remonter en 2027. Autrement dit, le volume de données sensibles liées aux crypto-actifs va augmenter au moment où l’on découvre que l’exfiltration a pu durer des semaines sans détection.

Il ne s’agit pas d’accuser l’impôt. Il s’agit de rappeler qu’une obligation de transparence n’a de sens que si le coffre qui reçoit les données est digne de confiance. On peut défendre la lutte contre la fraude et exiger en même temps que l’État applique à ses propres systèmes le niveau de protection qu’il réclame aux entreprises. Les deux exigences ne s’annulent pas. Elles se renforcent.

Zerobytes, l’enquête et le jeune suspect

Un suspect de 18 ans présenté comme membre de Zerobytes a été mis en examen et placé en détention provisoire à Paris début septembre. L’information, relayée notamment par France 24, ne clôt pas le dossier. Elle rappelle seulement que les groupes qui revendiquent des vols de données ne sont pas des abstractions. Derrière les communiqués, il y a des filières, des reventes, parfois des adolescents ultra-connectés et des intermédiaires plus expérimentés.

La revendication publique a joué un rôle paradoxal. Elle a forcé l’État à accélérer la communication au moment où les sondes internes n’avaient pas encore tout vu. Sans cette mise en scène, combien de semaines supplémentaires les flux auraient-ils duré ? La question est cruelle. Elle est aussi utile. Une défense qui dépend de la vanité des attaquants n’est pas une défense.

Le mythe de la forteresse administrative

Pendant des années, le discours public a opposé la lourdeur de l’État à l’agilité du privé. On a oublié une évidence plus simple : une administration qui ouvre des portails à des milliers d’agents et de partenaires privés n’est plus une forteresse. C’est un écosystème. Le maillon faible n’est plus le pare-feu central. C’est le portable du géomètre, le navigateur de l’agent qui a enregistré son mot de passe, le ticket d’alerte traité le lendemain matin.

Les entreprises du secteur financier, y compris celles qui opèrent dans les crypto-actifs, connaissent ce dilemme depuis longtemps. Elles subissent des audits, des exigences de conservation des preuves, des obligations de notification. Quand l’État collecte davantage de données sur les mêmes citoyens, il devrait au minimum s’aligner sur ces exigences. Le rapport de septembre montre l’écart entre le discours et la pratique.

Il existe une tentation, après chaque incident, de parler uniquement de « prise de conscience ». La formule est commode. Elle ne dit rien des budgets, des recrutements, de la dette technique, du nombre de comptes trop privilégiés, des applications héritées que personne n’ose éteindre. La feuille de route de septembre pose des dates. Elle ne dit pas qui paiera les clés physiques, qui formera les agents, qui auditera réellement les partenaires privés autorisés à interroger le cadastre.

Authentification forte : le retard qui coûte cher

L’authentification multifacteur n’est plus une innovation. C’est une hygiène. Les banques l’imposent. Les messageries grand public l’offrent. Les administrations critiques devraient l’exiger partout où une session ouvre sur des données personnelles. Le rapport montre que deux portails du fisc n’en étaient pas là. Le second facteur par e-mail du portail partenaires n’était, lui, qu’une illusion de contrôle dès lors que le poste était déjà perdu.

Les clés de sécurité physiques, les applications génératrices de codes hors messagerie, les politiques de session courte, la révocation immédiate des jetons, le plafonnement des extractions : rien de tout cela n’est magique. Tout cela est documenté. L’échec n’est pas technologique. Il est politique et managérial. On savait. On n’a pas imposé. On a ensuite constaté.

Pour un détenteur de crypto-actifs, la leçon est double. D’un côté, l’État saura bientôt davantage de choses sur vos soldes déclarés via les plateformes. De l’autre, la protection de ces fichiers n’a pas encore le niveau que justifie leur dangerosité. Entre les deux, la responsabilité individuelle ne disparaît pas. Elle devient même plus urgente : compartimenter ses accès, ne jamais réutiliser un mot de passe administratif, surveiller les fuites nominatives, réduire la surface d’exposition hors chaîne.

Infostealers, postes personnels et illusion du télétravail

Le télétravail et les outils personnels ont brouillé les frontières. Un agent peut consulter un dossier depuis chez lui. Un partenaire peut se connecter depuis un cabinet. Ces usages sont parfois indispensables. Ils deviennent dangereux dès qu’on pretend qu’un poste non administré est aussi sûr qu’un poste durci. Les infostealers prospèrent exactement dans cet intervalle : l’utilisateur croit ouvrir une page banale, le maliciel vide le coffre local, les identifiants professionnels voyagent.

Les entreprises sérieuses imposent des postes gérés, des navigateurs cloisonnés, des coffres d’entreprise, des politiques d’interdiction de sauvegarde des mots de passe. L’État peut le faire aussi. Il le fait déjà dans certains périmètres. Il ne le faisait pas assez sur des accès qui ouvraient, pourtant, sur des fichiers d’une extrême sensibilité. Le rapport recommande de bannir les appareils personnels. C’est la phrase la plus simple du dossier. C’est aussi celle qui coûtera le plus d’organisation.

Surveillance des sorties, pas seulement des entrées

On protège souvent la porte d’entrée et on oublie la fenêtre. Les 11 Go de juin et les 3 Go de juillet sont sortis par un portail que le centre de supervision ne regardait pas. Une politique moderne de détection s’intéresse aux volumes anormaux, aux horaires incohérents, aux destinations inhabituelles, aux comptes qui interrogent trop de fiches trop vite. Ces signaux existaient. Ils n’étaient pas corrélés.

Limiter le nombre de fiches consultables par compte, comme le recommande l’agence, n’empêche pas le travail légitime. Cela casse l’aspiration industrielle. Un agent de guichet n’a pas besoin d’exporter des dizaines de milliers de lignes en une nuit. Un partenaire cadastral n’a pas besoin d’un accès illimité. La granularité des droits est une défense banale. Elle reste trop rare.

Le patrimoine immobilier comme carte de cible

Le cadastre n’est pas un fichier anodin. Il dit où les gens habitent, ce qu’ils possèdent, parfois l’échelle d’un patrimoine. Croisé avec d’autres bases, il devient un outil de profilage. Dans un pays où les agressions visant des détenteurs de crypto-actifs se multiplient, cette cartographie a une valeur criminelle évidente. On n’a pas besoin d’un lien judiciaire déjà prouvé pour comprendre le risque. Il suffit de connaître le mode opératoire des groupes qui sélectionnent leurs victimes.

Les home-jackings crypto, ces intrusions au domicile destinées à obtenir des seed phrases ou des accès à des coffres, reposent sur une information préalable. Plus les fichiers publics ou administratifs fuient, plus la sélection des cibles s’affine. Le rapport de l’ANSSI ne traite pas ce sujet comme un chapitre autonome. Le calendrier français, lui, l’impose. Les lecteurs qui détiennent des actifs numériques auraient tort de le lire comme une affaire purement administrative.

Ce que les citoyens et les investisseurs peuvent faire

On ne peut pas réparer le SOC de Bercy depuis son salon. On peut réduire sa propre surface. Vérifier si l’on figure dans des notifications de fuite. Durcir les accès aux plateformes. Séparer les identités utilisées pour l’administration et celles utilisées pour la finance. Ne jamais stocker de phrases de récupération sur un appareil connecté. Considérer qu’une donnée fiscale n’est plus seulement un secret entre soi et l’État : elle peut voyager.

• Compartimenter les comptes administratifs, bancaires et crypto.
• Activer une authentification forte hors SMS et hors e-mail dès que c’est possible.
• Limiter les informations publiques qui permettent de reconstituer un patrimoine.
• Surveiller les notifications officielles et les bases de fuites connues.
• Traiter toute demande urgente de transfert comme une tentative d’extorsion jusqu’à preuve du contraire.

Ces gestes ne remplacent pas une politique publique. Ils évitent de tout attendre d’elle. Dans un écosystème où l’État collecte davantage et protège encore trop tard, l’autonomie numérique n’est plus un slogan libertarien. C’est une mesure de prudence.

Budget, calendrier et dette technique

Imposer la double authentification sans budget dédié revient à demander aux équipes existantes de faire plus avec les mêmes outils. Certaines administrations y arriveront. D’autres reculeront les échéances, multiplieront les dérogations, garderont des portails hérités « le temps d’une migration ». Le rapport de septembre est accablant précisément parce qu’il arrive après des années de doctrine écrite et trop peu d’exécution mesurable.

La dette technique n’est pas un jargon de DSI. C’est le nom que l’on donne aux applications que personne n’ose remplacer, aux comptes trop ouverts, aux journaux que l’on n’exploite pas, aux partenaires que l’on habilite sans contrôler leur poste. Chaque année sans chantier augmente le coût de la suivante. Le piratage de 2026 n’est pas une surprise statistique. C’est la facture d’un retard.

Une affaire d’État qui dépasse Bercy

Le chemin d’entrée via le ministère de l’Éducation nationale rappelle que la sécurité de l’État n’est pas une collection de châteaux séparés. C’est un réseau. Compromettre un maillon, c’est parfois ouvrir le suivant. Les sondes placées sur le RIE voient une partie du trafic. Elles ne voient pas tout ce qui se passe dans les applications métier. Sans corrélation entre les deux, on survole l’autoroute et on ignore le camion qui se vide sur l’aire de repos.

La gouvernance est donc le vrai sujet. Qui relance quand un partenaire signale deux comptes volés en juin ? Qui a le droit de couper un portail sans attendre une revendication ? Qui mesure, chaque trimestre, le taux réel d’authentification forte sur les accès critiques ? Tant que ces questions restent floues, les rapports continueront d’arriver après les faits.

Le paradoxe de la transparence fiscale

DAC8 s’inscrit dans un mouvement européen de transparence des crypto-actifs. L’intention affichée est de réduire l’évasion, d’aligner le traitement des actifs numériques sur celui d’autres patrimoines, de donner aux fiscaux une vue plus complète. Cet objectif peut se discuter politiquement. Il ne peut plus se discuter techniquement comme si les serveurs d’arrivée étaient invulnérables.

Plus l’administration sait, plus elle devient une cible. Plus elle devient une cible, plus le coût d’une faille dépasse le seul préjudice administratif. On touche ici à la vie privée, à la sécurité physique, à la confiance dans l’impôt lui-même. Un citoyen peut accepter de déclarer. Il accepte plus difficilement que sa déclaration circule pendant des semaines dans des serveurs que personne n’a vu se vider.

Ce que le rapport ne dit pas encore

Le document ne tranche pas tous les chiffres de la revendication. Il ne dresse pas la liste nominative des victimes. Il ne dit pas précisément comment chaque identifiant a été volé, poste par poste. Il ne relie pas, à ce stade, les fichiers à une vague d’agressions. Ces silences sont normaux dans un audit de quelques semaines. Ils laissent pourtant des zones d’ombre pour les personnes concernées.

On ignore encore l’étendue exacte des réutilisations possibles. Un fichier cadastral n’a pas la même valeur qu’un fichier de messagerie usagers. Un extrait d’E-Contact n’a pas la même valeur qu’une base d’identifiants encore valides. La dangerosité dépend de ce qui a vraiment voyagé, de ce qui a été chiffré, de ce qui a déjà été revendu. Ces réponses viendront, ou pas, par d’autres enquêtes.

Une leçon plus large pour le secteur numérique

Les plateformes, les courtiers, les protocoles, les conservateurs de clés : tous collectent des données. Tous promettent de la sécurité. Tous finissent par dépendre d’humains qui cliquent, d’appareils mal gérés, de seconds facteurs trop faibles. L’affaire du fisc n’est pas une exception française. C’est une illustration brutale d’un principe connu : la sophistication de l’attaque n’est pas le bon indicateur. La qualité du maillon humain l’est.

Les discours sur la décentralisation prennent ici un relief particulier. Une architecture qui réduit le nombre de coffres centraux réduit aussi, en théorie, l’intérêt d’un casse unique. Cela ne dispense personne de protéger ses propres accès. Cela rappelle seulement qu’une base administrative géante a un coût de défaillance collectif. Quand elle fuit, ce n’est pas un utilisateur qui trinque. C’est une population.

Après le rapport, l’épreuve des faits

Couper ADER le 13 août était nécessaire. Publier une feuille de route en septembre était inévitable. Le vrai test commencera quand les dates de 2026, 2027 et 2028 arriveront. Verra-t-on des clés physiques sur les comptes administrateurs ? Des plafonds d’extraction réellement actifs ? Des partenaires privés audités ? Des relances systématiques dès qu’un signalement arrive ? Ou verra-t-on, une fois encore, des exceptions, des reports, des portails « temporaires » devenus permanents ?

Les détenteurs de crypto-actifs regarderont ces échéances avec une attention particulière. Ils savent désormais que leurs données de plateforme doivent remonter vers une administration dont la surveillance applicative a montré ses angles morts. Ils savent aussi que le marché criminel des données personnelles n’attend pas les calendriers ministériels. Entre les deux, le temps perdu n’est pas neutre.

Retenir l’essentiel sans se noyer dans le jargon

L’histoire est simple, presque banalement simple. Des mots de passe ont été volés hors des murs. Des portails n’exigeaient pas assez. Un chemin réseau existait. Des volumes sont sortis la nuit. Les alarmes sont arrivées trop tard ou au mauvais endroit. Un second vol a emprunté le poste d’un partenaire. L’autorité de régulation n’a pas vu le trafic applicatif. La revendication a précédé l’alerte complète. Les recommandations étaient déjà écrites depuis des années.

Ce qui n’est pas banal, c’est le croisement avec le moment fiscal des crypto-actifs. L’État veut voir plus clair dans les soldes et les transactions. Il doit, pour cela, devenir lui-même plus clair sur sa capacité à garder un secret. Le rapport du 29 septembre 2026 n’est pas seulement un document de cybersécurité. C’est un avertissement sur la confiance publique à l’âge où l’impôt rencontre la chaîne de blocs.

On peut lire ce dossier comme une chronique administrative. On peut aussi le lire comme un rappel personnel. Les fichiers voyagent. Les identifiants aussi. Les patrimoines, même déclarés, même immobiliers, même numériques, attirent des regards qui n’ont rien d’un contrôle fiscal. Trois mois sans alarme suffisent à le démontrer. Le reste appartiendra aux juges, aux ministères, et à ceux qui, demain, devront décider s’ils continuent de confier davantage de données à des systèmes qui n’ont pas encore appris à se regarder partir.