Rapport du Sénat sur la DGFiP : la leçon pour les PME

7 810 cyberattaques détectées à la DGFiP entre janvier et fin août 2026. Plus que sur toute l’année 2025. Et pourtant, l’administration n’a appris le vol de ses données fiscales que le 12 août, le jour où les attaquants l’ont revendiqué.

Le chiffre vient de la communication écrite que Claude Raynal, président de la commission des finances du Sénat, et Jean-François Husson, rapporteur général, ont adressée à leurs collègues le 4 septembre. La presse l’a qualifiée de rapport « au vitriol ». Le texte, lui, reste administratif : il parle de « fragilités structurelles dans la sécurité des systèmes d’information de la DGFiP », notamment « dans la sécurisation des accès et la détection des usages anormaux ». C’est cette sobriété qui rend la liste dérangeante.

Le document n’est pas public et ne figure pas sur senat.fr. Ce que nous en savons vient de sa reprise par Le Monde, franceinfo, Public Sénat et Acteurs publics. Nous n’avons pas lu la note.

Un mode opératoire sans génie

L’attaquant récupère d’abord les identifiants d’un agent de l’Éducation nationale, volés par un infostealer installé sur un équipement personnel. Ils ouvrent le Réseau interministériel de l’État. De là, des codes d’agents de la DGFiP donnent accès à un portail réservé aux partenaires, puis à l’application « e-contact ». Deux vagues, du 23 au 25 juin puis du 21 au 23 juillet. Entre les deux, les comptes compromis ont été bloqués, sans que personne comprenne que des données étaient sorties. Deux autres intrusions ont suivi : un compte de géomètre-expert menant au serveur des données cadastrales, puis une faille dans un outil statistique, détectée le 17 août.

Les manquements que la note pointe sont d’un ordinaire déprimant :

• Pas d’authentification à double facteur sur « e-contact », alors que les données consultables relevaient du secret fiscal.
• Aucun mécanisme de détection des volumes anormaux de consultation ou d’extraction. Personne ne voyait partir les fichiers.
• Des accès distants hérités du Covid jamais refermés, y compris depuis des ordinateurs personnels.
• Une multiplication des canaux ouverts aux partenaires extérieurs, pensée pour fluidifier le travail, qui a élargi d’autant la surface d’attaque.

La trajectoire des attaques, elle, est nette : 2 579 détectées en 2023, 6 972 en 2025, environ +170 % en deux ans. Les décomptes de victimes bougent selon la source. La note évoque environ 350 000 particuliers et 250 000 professionnels pour le volet fiscal, et 434 564 foyers pour le volet cadastral. Dans notre article du 28 août, nous citions 678 000 contribuables, chiffre issu de la plainte de l’association AC!! Anticorruption. Ces comptages ne portent pas sur les mêmes fichiers et ne se contredisent donc pas. Mais un mois après, personne ne sait dire combien de personnes sont touchées.

L’IA n’a pas ouvert la porte. Elle exploite ce qui est sorti

Soyons exacts : rien dans ce que nous avons lu des travaux du Sénat n’attribue l’intrusion à l’intelligence artificielle. Le vecteur d’entrée est un mot de passe volé sur un ordinateur familial, la panne d’hygiène numérique la plus banale qui soit.

L’IA intervient en aval. Un fichier contenant revenu fiscal, adresse et taux de prélèvement alimente des campagnes d’hameçonnage rédigées à la machine, personnalisées une par une, sans faute de français. Le rapport ne change pas ce constat : il explique comment le carburant a fui du réservoir.

Elle intervient aussi du côté défensif, et son absence est justement ce que les sénateurs reprochent. « Détecter les usages anormaux », c’est le travail d’un système qui apprend à quoi ressemble une journée normale et signale ce qui s’en écarte. Bercy annonce vouloir accélérer ces dispositifs, étendre la double authentification et interdire les connexions depuis du matériel personnel. L’ANSSI a annoncé le 7 septembre le dispositif REACTIV, qui lui permet d’imposer aux ministères des mesures immédiates dans des délais contraints. Tout cela arrive après.

Ce qu’une PME devrait en faire

L’administration fiscale a un budget informatique, des équipes de sécurité, l’ANSSI en soutien. Elle n’a pas activé la double authentification sur une application donnant accès au secret fiscal. La question n’est pas « sommes-nous aussi bien équipés que Bercy », mais : sur quelles applications de votre entreprise un mot de passe seul suffit-il encore ?

Deux inventaires valent leur coût.

Le premier liste qui peut atteindre vos données depuis l’extérieur : anciens salariés, prestataires, comptable, éditeur logiciel, accès de dépannage ouverts un jour et jamais refermés. C’est la faille que le Sénat désigne chez Bercy, et elle est plus fréquente encore dans une structure de vingt personnes où personne ne tient ce registre.

Le second porte sur ce que vous verriez partir. Si quelqu’un exportait ce soir votre fichier clients complet, quelle alerte se déclencherait ? Dans beaucoup de PME, aucune. C’était la situation de la DGFiP entre juin et août.

Reste le maillon que ni le pare-feu ni la double authentification ne couvrent : la personne devant l’écran. L’identifiant volé par un infostealer l’a été parce qu’un logiciel a été installé sur un poste. Sujet de formation, pas d’outillage. Notre page cybersécurité présente nos modules sur ce terrain ; ils se règlent sur fonds propres, DTJ Training n’étant pas certifié Qualiopi à ce jour.

L’ANSSI peut contraindre un ministère. Personne ne contraindra votre entreprise, et aucun rapport parlementaire ne dressera la liste de vos accès oubliés. Cette liste, il faut l’écrire soi-même, avant la revendication.

Sources

• franceinfo, « Piratage du fisc : une note du Sénat détaille la méthode des hackers pour siphonner les données personnelles », septembre 2026.
• Public Sénat, « Piratage du portail des impôts : un contrôle du Sénat relève des “fragilités structurelles” dans le système », 7 septembre 2026.
• Acteurs publics, « Cyberattaque de la DGFiP : l’accès à distance et l’absence de double authentification mis en cause par les sénateurs ».
• ZDNet, « Piratage de la DGFiP : le rapport au vitriol du Sénat sur les failles de Bercy ».
• ANSSI, « Cyberattaques : l’ANSSI met en place une capacité renforcée de réaction dédiée aux services de l’État », cyber.gouv.fr, 7 septembre 2026.