Cyber · DGFiP · ANSSI · Rapport du 29 septembre 2026

Cyberattaques contre la DGFiP : l'ANSSI publie son rapport d'incident

Publié le 1er octobre 2026 · Barry Louison Audit

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié le 29 septembre 2026 son rapport d'incident relatif aux cyberattaques ayant touché la Direction générale des finances publiques (DGFiP) entre mai et août 2026. Remis au Premier ministre le 24 septembre, ce rapport documente deux exfiltrations de données revendiquées les 12 et 13 août 2026. L'ANSSI écarte l'hypothèse d'une attaque « sophistiquée » et identifie trois faiblesses : la gestion des identités, l'architecture des systèmes et la détection des intrusions. Pour les entreprises et leurs conseils, cet incident emporte des risques concrets d'usurpation d'identité et de tentatives de fraude.

Ce que dit le rapport de l'ANSSI

Le rapport publié le 29 septembre 2026 retrace la chronologie des cyberattaques ayant visé les systèmes d'information de la DGFiP au cours de l'été 2026. Il s'appuie sur les travaux de l'opération REACTIV menée par le CERT-FR (centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques) et documente les périmètres touchés, les volumes de données exfiltrées et les failles exploitées.

Deux vagues d'exfiltration distinctes

Le rapport identifie deux incidents distincts, revendiqués à quelques heures d'intervalle les 12 et 13 août 2026. Le premier incident concerne la plateforme impots.gouv.fr et touche à la fois des données de particuliers et de professionnels. Le second porte sur les données cadastrales et affecte un périmètre différent d'usagers.

Selon le point d'information publié par le CERT-FR le 30 septembre (référence CERTFR-2026-CTI-006), environ 353 000 particuliers et 252 000 professionnels sont concernés par le premier incident. Le second incident toucherait environ 434 000 usagers ayant consulté des données cadastrales. Ces chiffres restent provisoires et pourraient être affinés au fil des investigations.

Incident	Date revendication	Périmètre	Usagers concernés
Premier incident	12 août 2026	impots.gouv.fr	~353 000 particuliers, ~252 000 professionnels
Second incident	13 août 2026	Données cadastrales	~434 000 usagers

Un défaut de détection

L'un des constats les plus préoccupants du rapport tient à l'absence de détection des intrusions. Ni la supervision interne de la DGFiP ni celle de l'ANSSI n'ont repéré les exfiltrations avant leur revendication publique par les attaquants. Cette défaillance illustre les limites des dispositifs de surveillance alors en place.

L'ANSSI précise que les attaques n'étaient pas particulièrement « sophistiquées ». Elles ont exploité des failles connues et auraient dû être détectées par les outils de supervision existants. Ce constat rejoint les observations formulées par le Sénat dans son rapport sur les fragilités structurelles de la DGFiP en matière de cybersécurité.

Trois faiblesses identifiées

Le rapport de l'ANSSI identifie trois catégories de faiblesses ayant permis ou facilité les cyberattaques. Ces faiblesses recoupent en partie les constats du rapport sénatorial mais les documentent sous l'angle technique de l'incident.

• Gestion des identités : insuffisance des mécanismes d'authentification et de contrôle des accès
• Architecture des systèmes : exposition excessive des identifiants et des données sensibles
• Détection des intrusions : supervision insuffisante des applications métier

Le plan d'action proposé

Le rapport de l'ANSSI ne se limite pas au constat. Il formule un plan d'action destiné à remédier aux faiblesses identifiées et à prévenir de nouveaux incidents. Ce plan s'articule autour de quatre axes principaux.

Renforcement de l'authentification

L'ANSSI recommande le déploiement généralisé de l'authentification forte pour l'accès aux services fiscaux en ligne. Cette mesure vise à réduire le risque d'usurpation d'identité en exigeant un second facteur d'authentification au-delà du simple mot de passe. Elle s'inscrit dans les standards de sécurité actuellement préconisés pour les services publics numériques sensibles.

Réduction de l'exposition des identifiants

Le rapport préconise de limiter l'exposition des identifiants fiscaux et personnels dans les interfaces et les échanges de données. Cette mesure technique vise à réduire la surface d'attaque et à compliquer le travail des attaquants cherchant à collecter des informations exploitables pour des fraudes ultérieures.

Extension de la supervision

L'ANSSI recommande d'étendre la supervision de sécurité aux applications métier de la DGFiP. Jusqu'à présent, la surveillance portait principalement sur les infrastructures techniques. L'incident de l'été 2026 a montré que les attaques pouvaient cibler directement les applications sans déclencher d'alerte au niveau des couches sous-jacentes.

Limitation des extractions de masse

Enfin, le rapport préconise de mettre en place des mécanismes de détection et de blocage des extractions de masse. Les exfiltrations de l'été 2026 ont porté sur des volumes importants de données, ce qui aurait dû déclencher des alertes si des seuils appropriés avaient été paramétrés.

Les risques pour les entreprises

L'exfiltration de données fiscales et cadastrales emporte des risques concrets pour les entreprises et les professionnels dont les informations ont été compromises. Ces risques ne sont pas théoriques : les données volées peuvent être exploitées pour des tentatives de fraude ciblées.

Nature des données exfiltrées

Le premier incident concerne des données issues de la plateforme impots.gouv.fr. Pour les professionnels, les informations exfiltrées comprennent notamment le numéro SIREN, la dénomination sociale, l'adresse et des éléments relatifs aux demandes effectuées auprès de l'administration fiscale. Il ne s'agit pas de la liasse fiscale complète, mais ces informations suffisent à crédibiliser une tentative de fraude.

Le second incident porte sur des données cadastrales : références de parcelles, identité des propriétaires, adresses des biens. Ces informations peuvent être utilisées pour des escroqueries immobilières ou pour usurper l'identité de propriétaires dans des démarches administratives.

Le risque d'usurpation et de fraude

Les données exfiltrées permettent à des escrocs de se faire passer pour l'administration fiscale avec un niveau de crédibilité accru. Un appel téléphonique, un courriel ou un SMS qui cite le revenu fiscal de référence, le numéro SIREN ou une référence cadastrale de la cible peut sembler légitime, alors qu'il s'agit d'une tentative de fraude.

La DGFiP ne demande jamais de mot de passe, de RIB « de régularisation » ni de code de validation par téléphone. Toute demande de ce type doit être considérée comme suspecte et vérifiée en se connectant directement sur impots.gouv.fr, sans cliquer sur un lien reçu par message.

Bonnes pratiques pour les professionnels

Dans ce contexte, les entreprises et leurs conseils doivent redoubler de vigilance sur plusieurs points. La sensibilisation des collaborateurs aux risques de fraude par ingénierie sociale est primordiale. Les procédures de validation des demandes de virement ou de modification de coordonnées bancaires doivent être renforcées.

• Ne jamais transmettre de code : l'administration ne demande pas de code par téléphone
• Vérifier dans l'espace professionnel : se connecter soi-même, pas via un lien reçu
• Signaler les tentatives : informer les équipes et les clients des modes opératoires
• Sécuriser les accès : mots de passe robustes, authentification forte si disponible

Ce que ce rapport ne change pas

L'incident documenté par l'ANSSI ne modifie pas les obligations fiscales et réglementaires des entreprises. Plusieurs points méritent d'être clarifiés pour éviter les confusions.

Pas de nouveau délai fiscal

Le rapport de l'ANSSI ne prévoit aucun report des échéances déclaratives. Les obligations fiscales restent à leurs dates habituelles. Les entreprises ne doivent pas attendre un éventuel aménagement qui n'est pas annoncé. Les services en ligne de la DGFiP continuent de fonctionner normalement.

La facturation électronique reste à date

Le calendrier de mise en œuvre de la facturation électronique n'est pas affecté par cet incident. Les recommandations de la CNIL sur la protection des données dans le cadre de la facturation électronique restent d'actualité. Un incident affectant l'administration ne dispense pas les entreprises de sécuriser leurs propres accès et leurs propres systèmes.

Pas de redépôt de déclaration

Le rapport de l'ANSSI ne justifie pas, en lui-même, le redépôt de déclarations fiscales. Les entreprises doivent suivre les messages publiés dans leur espace professionnel sur impots.gouv.fr et non les courriels non sollicités qui pourraient exploiter cet incident pour des tentatives de phishing.

Articulation avec d'autres travaux

Le rapport de l'ANSSI s'inscrit dans un contexte plus large de préoccupations relatives à la sécurité des systèmes d'information publics et à la lutte contre la fraude.

Le rapport du Sénat

Le rapport du Sénat sur les fragilités structurelles de la DGFiP en matière de cybersécurité a été publié avant celui de l'ANSSI. Il analyse la gouvernance et les moyens alloués à la sécurité informatique de l'administration fiscale. Les deux documents se complètent : le Sénat a audité la gouvernance, l'ANSSI documente l'incident de l'été 2026.

Les recommandations de la CNIL

La CNIL a publié des recommandations sur la protection des données dans le cadre de la facturation électronique. Ces recommandations restent pertinentes pour les entreprises qui doivent sécuriser leurs propres systèmes, indépendamment des incidents affectant l'administration.

La lutte contre la fraude

Le rapport Tracfin 2025 souligne la montée des fraudes aux finances publiques et le rôle croissant des moyens numériques dans les circuits de blanchiment. L'exfiltration de données fiscales peut alimenter ces circuits en fournissant aux fraudeurs des informations crédibilisantes pour leurs tentatives d'escroquerie.

Foire aux questions