Le Premier ministre demande à l'Anssi de réaliser un "audit approfondi" après le piratage à grande échelle dont a été victime l'administration fiscale

Le Premier ministre Sébastien Lecornu a présidé hier une cellule interministérielle de crise (CIC), en "visioconférence sécurisée", selon Matignon, sur le piratage informatique à grande échelle ayant visé l'administration fiscale.

Le système d'information du fisc a été victime fin juin d'un "accès illégitime", permettant "la consultation et l'extraction de données concernant des particuliers et des professionnels" au nombre de 678 000 au total, a annoncé jeudi dernier Bercy dans un communiqué.

Sur ces près de 700 000 usagers, environ 350 000 sont des particuliers.

A l'issue de la cellule interministérielle de crise, M. Lecornu a demandé à l'Agence nationale de la sécurité des systèmes d'information (Anssi) de réaliser un "audit approfondi pour établir précisément les circonstances et les causes de l'incident ayant affecté la DGFiP, en complément de l'enquête judiciaire en cours", a indiqué Matignon.

Le Premier ministre a également demandé "que chaque Français concerné par cet incident soit informé individuellement dans les meilleurs délais, avec le détail des données susceptibles d'avoir été exposées et les mesures de vigilance à adopter".

Il a également demandé l'accélération du plan de sécurisation des systèmes d'information de l'État annoncé fin avril, selon la même source.

"Mercredi, un acteur malveillant a revendiqué un accès illégitime au système d'information de la Direction générale des Finances publiques (DGFiP), intervenu fin juin 2026, après une usurpation d'identité", avait expliqué Bercy la semaine dernière : "les premières investigations confirment que cet accès, qui avait été coupé fin juin dans le cadre du contrôle opéré, a néanmoins permis la consultation et l'extraction de données concernant des particuliers et des professionnels".

Il s'agit d'une opération "plus sophistiquée" que "par le passé", a déploré la directrice générale des finances publiques Amélie Verdier.

Pour les particuliers, les données dérobées concernent notamment les noms et prénoms, le quotient familial, le revenu fiscal de référence, et le taux de prélèvement à la source.

Ces données "ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr" a toutefois voulu rassurer le fisc, précisant que les usagers concernés sont contactés depuis hier soir, notamment pour les avertir des risques d'usurpation d'identité.

Pour les entreprises, il s'agit de "données moins sensibles que les particuliers", notamment le numéro de Siren, l'adresse de l'entreprise, du mandataire, des données publiques ou facilement accessibles.

En juin, les services de Bercy ont détecté la compromission du compte d'un agent par un tiers et ont immédiatement coupé ses accès.

A cette date, l'administration n'avait pas identifié que l'assaillant était parvenu à extraire des données personnelles.

L'assaillant avait réussi à contourner la double authentification, une mesure de sécurité qui permet d'accéder à un compte avec deux moyens d'identification distincts. Cette méthode n'est pas généralisée à tous les agents de la DGFiP, et "nous sommes en train de voir comment accélérer ce déploiement".

L'auteur est ensuite parvenu à tromper la vigilance en récupérant un important volume de données mais sans générer une activité anormale qui aurait pu alerter les services, et il a seulement été identifié au moment de la revendication de l'attaque, le 12 août.

Il n'a par exemple pas effectué de "requêtage massif", qui consiste à envoyer un important volume de demandes à un système informatique. Il est parvenu à extraire de petits volumes de données, parfois de manière automatisée sans éveiller l'attention, "un comportement qui en premier niveau ne paraissait pas atypique".

Les deux attaques ont été revendiquées sur un forum de revente de données du darkweb par "ZeroBytes", qui se présente, selon l'Agence France-Presse qui dit avoir échangé avec eux, comme un duo français.

Ces derniers disent avoir vendu leur butin à "deux personnes", pour une somme se chiffrant en "milliers d'euros", une information à ce stade invérifiable, précise l'AFP.

"Les données sont toujours en vente", ajoutent-ils, une même base pouvant être copiée et cédée à plusieurs clients. Avant de s'en prendre au fisc, ZeroBytes avait déjà revendiqué sur des forums du dark web des piratages visant les supermarchés Intermarché et la Fédération française de handball.

Le groupe a également affirmé pendant l'été avoir volé des données à un grand opérateur téléphonique français et à un groupe hôtelier. Ces deux attaques n'ont pas été confirmées par les entreprises concernées