- Une note de la commission des finances du Sénat détaille les failles ayant permis le vol de données de 600 000 particuliers et professionnels.
- Les cybercriminels ont infiltré le Réseau interministériel de l’État (RIE) avant de naviguer d’une administration à l’autre grâce à des identifiants piratés.
- Les sénateurs Claude Raynal et Jean-François Husson dénoncent des vulnérabilités nées de la généralisation du télétravail et des échanges interadministratifs.
- Face à ces révélations, la directrice générale du fisc Amélie Verdier et le ministre David Amiel annoncent un durcissement des règles de connexion.
Le constat parlementaire d’une intrusion d’ampleur
L’administration fiscale française fait face à l’une de ses crises sécuritaires les plus sérieuses de ces dernières années. À la suite d’auditions menées le 1er septembre 2026, notamment celle d’Amélie Verdier, directrice générale des finances publiques, la commission des finances du Sénat a produit une note d’étape particulièrement rigoureuse. Rédigé par le président de la commission, Claude Raynal (PS), et le rapporteur général, Jean-François Husson (LR), ce document confidentiel, transmis aux sénateurs le 4 septembre, lève le voile sur le mode opératoire précis des cybercriminels qui ont réussi à s’introduire dans les serveurs de l’État. La commission des finances du Sénat a mis en lumière les dysfonctionnements majeurs ayant conduit au piratage des données de centaines de milliers de contribuables. Cette intrusion d’envergure pose la question de la résilience globale des infrastructures numériques publiques face à des menaces de plus en plus asymétriques.
Une infiltration méthodique par rebonds administratifs
L’analyse technique présentée par les parlementaires montre que l’attaque s’est déroulée en plusieurs étapes distinctes, exploitant d’abord les faiblesses d’autres ministères. Entre le 23 et le 25 juin, puis du 21 au 23 juillet, l’assaillant a d’abord usurpé les accès d’un agent de l’Éducation nationale. Cette première porte d’entrée lui a ouvert les portes du Réseau interministériel de l’État (RIE), la dorsale informatique qui connecte entre elles les différentes administrations centrales. Une fois à l’intérieur de ce réseau de confiance, le pirate informatique a utilisé des identifiants légitimes appartenant à des agents de la Direction générale des finances publiques (DGFiP), préalablement dérobés par des logiciels espions de type « infostealers ». L’attaquant a su exploiter la porosité du réseau interministériel de l’État pour s’introduire dans les serveurs de la direction générale des Finances publiques. Grâce à cette passerelle, le hacker a accédé à l’application « e-contact », siphonnant les informations personnelles de 350 000 particuliers et de 250 000 professionnels.
Des cadastres aux successions, la multiplication des brèches
L’offensive ne s’est pas arrêtée à cette première base de données. Dans un second temps, du 27 juillet au 8 août, l’assaillant a compromis le compte d’un géomètre-expert habilité à consulter les données cadastrales. Via le portail des partenaires externes de la DGFiP, il a ainsi dérobé les données relatives à 434 564 foyers français. Enfin, une troisième attaque, détectée le 17 août, a ciblé un serveur de traitement statistique gérant les dossiers de successions vacantes. Pour cette dernière opération, le pirate a exploité une vulnérabilité technique spécifique présente sur un outil développé en interne pour faciliter le déploiement applicatif. Au-delà des connexions frauduleuses, des failles logicielles internes ont permis aux pirates de cibler des données hautement spécifiques comme le cadastre et les successions. Ces attaques successives démontrent une capacité d’adaptation et une connaissance fine de l’écosystème numérique de l’État.
À lire aussi Fiscalité des entreprises : un rapport du Sénat dénonce l’instabilité législative
Le télétravail et l’interconnexion sous le feu des critiques
Le rapport sénatorial ne se contente pas de retracer les faits ; il dresse un réquisitoire contre les faiblesses structurelles de la DGFiP. Claude Raynal et Jean-François Husson pointent notamment l’incapacité des systèmes de surveillance à détecter des volumes anormaux d’extraction de données, alors même que les comptes compromis avaient été identifiés et désactivés. Selon les rapporteurs, la crise sanitaire du Covid-19 a accéléré l’ouverture des réseaux publics à travers le télétravail et la multiplication des échanges de données entre administrations publiques, créant de fait une multitude de nouvelles vulnérabilités. Pour la haute assemblée, la multiplication des points d’accès liée au travail à distance et au partage de données interadministratives fragilise la sécurité globale de l’État. Ce diagnostic pose un défi politique de taille : concilier la simplification administrative et la protection rigoureuse des données des citoyens.
La riposte de l’exécutif et les suites judiciaires
Face à ces révélations, la réaction de l’exécutif et de l’administration fiscale a été immédiate. Devant les sénateurs, la directrice générale Amélie Verdier a annoncé la fermeture de plusieurs accès jugés non indispensables pour certaines administrations partenaires, ainsi que l’interdiction formelle d’accéder aux applications professionnelles depuis des ordinateurs personnels. De son côté, le ministre de l’Action et des Comptes publics, David Amiel, a promis une généralisation rapide de la double authentification pour l’ensemble des agents et le déploiement accéléré d’outils de détection automatique des flux de téléchargement suspects. En parallèle, le volet judiciaire progresse sous l’égide de la justice française. Le gouvernement et l’administration fiscale s’engagent dans une révision urgente de leurs protocoles d’accès face à une menace cyber de plus en plus sophistiquée. À ce jour, l’enquête a déjà conduit à la mise en examen d’un jeune suspect âgé de 18 ans, mais les investigations se poursuivent pour identifier d’éventuels complices ou commanditaires.
