Piratage DGFiP : 678 000 Francais exposes par des identifiants voles — pourquoi le zero-trust n'est plus optionnel pour votre entreprise

Le 13 aout 2026, la Direction generale des Finances publiques a confirme ce qu'un pirate operant sous le pseudonyme ZeroBytes avait revendique la veille : une intrusion dans ses systemes, conduite entre juin et juillet 2026, ayant permis l'exfiltration des donnees de 678 000 personnes. Pas une vulnerabilite zero-day, pas une injection SQL, pas une erreur de configuration cloud. Des identifiants voles. Deux comptes legitimes. Et un parcours lateral que n'importe quel auditeur SOC decrirait comme « trivial une fois les credentials en main ».

Pour les entreprises francaises, cet incident n'est pas un fait divers. C'est une demonstration grandeur nature de ce que votre propre chaine d'authentification subirait face au meme schema d'attaque. Et la reponse n'est ni un logiciel ni un budget : c'est une posture.

Chronologie de l'attaque : du ministere de l'Education a vos impots

Le Senat a reconstitue la chaine d'attaque, et elle est aussi simple qu'elle est devastatrice. ZeroBytes n'a pas commence par la DGFiP. Il a commence par un agent du ministere de l'Education nationale dont les identifiants avaient ete voles, tres probablement par un infostealer — un malware specialise dans la collecte de mots de passe, installe sur un appareil personnel.

Ces identifiants Education nationale lui ont ouvert la porte du reseau interministeriel. De la, il a accede au portail ADER (Administration en Reseau), la passerelle qui relie les ministeres entre eux. Puis il a reutilise des identifiants specifiques a la DGFiP — ceux d'un agent DGFiP et d'un tiers autorise (cabinet comptable, prestataire fiscal) — eux aussi compromis par malware sur des appareils personnels.

Le resultat : un acces qui, du point de vue des systemes, etait parfaitement legitime. Aucune alerte, aucune anomalie, aucun signal de compromission au moment de la connexion. L'attaquant s'est presente comme un utilisateur autorise, parce qu'il l'etait — avec les identifiants de quelqu'un d'autre.

Ce qui a ete vole : des donnees fiscales dont vous ne soupconnez pas la valeur

Les donnees exfiltrees ne sont ni des mots de passe ni des numeros de carte bancaire. Elles sont bien plus utiles pour un attaquant patient. Voici ce que ZeroBytes a emporte :

• Donnees fiscales : revenu de reference, quotient familial, taux de prelevement a la source — des informations que seul votre employeur ou l'administration est cense connaitre.
• Donnees professionnelles : numeros SIREN, raisons sociales — le minimum necessaire pour rediger un faux bon de commande credible.
• Donnees cadastrales : adresses postales, surfaces des proprietes — assez pour personnaliser un courrier de relance d'impots fictif qui serait indiscernable du vrai.

Un mot de passe vole se change en trente secondes. Un revenu de reference, un quotient familial, une adresse cadastrale — ces donnees sont immuables. Elles ne changent pas a la demande de la victime. Elles restent exploitables pendant des annees, et chaque campagne de phishing qui les utilise gagnera en credibilite parce que l'attaquant dispose d'informations que seul un interlocuteur legitime est cense posseder.

Septembre 2026 : un mois qui confirme que le pire accelere

Le piratage de la DGFiP ne tombe pas dans un vide. Il s'inscrit dans un mois de septembre 2026 qui ressemble a une acceleration brutale :

• Patch Tuesday de septembre 2026 : Microsoft corrige 966 failles, dont 2 zero-days activement exploitees. Neuf cent soixante-six. En un seul mardi. Si votre entreprise ne patche pas dans les 72 heures qui suivent un Patch Tuesday, elle joue a la roulette russe avec des chambres de plus en plus remplies.
• 3 septembre 2026 : Bruce Schneier publie son analyse du vecteur d'attaque llms.txt — une methode qui detourne les fichiers de configuration des LLM pour injecter des instructions malveillantes. L'IA generative n'est pas seulement un outil de productivite : c'est une nouvelle surface d'attaque, et personne n'est pret.
• Le piratage DGFiP lui-meme, qui prouve qu'un infostealer sur un appareil personnel peut traverser un reseau interministeriel entier quand le MFA est absent.

Le point commun entre ces trois evenements est le meme : les defenses perimetriques ne suffisent plus. Le pare-feu ne voit pas un identifiant vole qui entre par la porte principale. L'antivirus ne detecte pas un fichier llms.txt malveillant. Et aucun patch ne protege contre un employe qui reutilise son mot de passe sur un site compromis.

Le zero-trust pour une PME : ce que cela signifie concretement

Le terme « zero-trust » est devenu un argument marketing. Toute solution de securite se reclame du zero-trust, au point que le concept a perdu son sens. Remettons-le a plat.

Le zero-trust est un principe, pas un produit : aucun acces n'est accorde sur la seule base de l'identite declaree. Chaque demande d'acces est verifiee independamment, quel que soit l'endroit d'ou elle vient. A l'interieur du reseau de l'entreprise ou a l'exterieur : meme verification.

Si la DGFiP avait applique ce principe, l'identifiant vole de l'agent de l'Education nationale aurait ete inutile sans une validation supplementaire. L'acces au portail ADER aurait exige une authentification independante. Et les identifiants DGFiP reutilises n'auraient pas suffi a ouvrir les bases fiscales.

Pour une PME francaise, le zero-trust se traduit en sept mesures concretes qui ne necessitent pas un budget a six chiffres :

1. MFA sur tous les acces critiques. Messagerie, VPN, outils financiers, ERP, CRM. Pas sur certains. Sur tous. Un TOTP ou une cle FIDO2 suffit — le SMS est insuffisant, mais il vaut mieux que rien.
2. Interdiction de la reutilisation des mots de passe. Pas une recommandation : une politique appliquee, verifiable avec un outil comme Have I Been Pwned pour vos domaines. Si un mot de passe professionnel apparait dans une fuite, il est change dans l'heure.
3. Segmentation reseau, meme basique. Votre comptabilite et votre site web ne partagent pas le meme segment reseau. Si un poste est compromis, l'attaquant n'accede pas a tout.
4. Acces a duree limitee. Les comptes de prestataires externes ne restent pas actifs indefiniment. Un prestataire qui n'intervient plus depuis six mois n'a pas a conserver son acces.
5. Surveillance des connexions inhabituelles. Un agent qui se connecte a 3 heures du matin depuis une IP jamais vue merite une verification, pas un acces automatique.
6. Inventaire des comptes a privileges. Combien de comptes administrateurs existent sur votre domaine ? La reponse spontanee est « trois ou quatre ». La reponse reelle, apres inventaire, est souvent entre dix et vingt.
7. Formation ciblee, pas generique. Vos equipes doivent savoir reconnaitre un infostealer, pas reciter une politique de securite. Un exercice de phishing interne trimestriel vaut mieux qu'un module e-learning annuel que personne ne lit.

La CNIL enquete : ce que cela implique pour les entreprises

La CNIL a ouvert une enquete sur le piratage de la DGFiP. Pour les entreprises francaises, cette enquete a une portee qui depasse le cas de la DGFiP pour deux raisons.

Premierement, le precedent juridique. Si la CNIL conclut que l'absence de MFA sur les acces compromis constitue un manquement a l'obligation de securite (article 32 du RGPD), cela creera une jurisprudence applicable a toute entreprise. Ne pas deployer le MFA sur les acces aux donnees personnelles deviendra, de fait, une faute sanctionnable.

Deuxiemement, la question des tiers. Le compte du tiers autorise compromis pose la question de la responsabilite de l'entreprise qui accorde un acces a un prestataire sans verifier ses propres mesures de securite. Si votre cabinet comptable utilise un mot de passe sans MFA pour acceder a votre ERP, et que ce mot de passe est vole, qui est responsable de la fuite ? La reponse du RGPD est claire : le responsable de traitement, c'est-a-dire vous.

Notre checklist d'audit de securite pour PME couvre specifiquement la verification des acces tiers et la conformite MFA, et constitue un bon point de depart pour evaluer votre exposition avant que la jurisprudence ne vienne la qualifier a votre place.

Ce que vous devez faire lundi matin

Nous ne sommes pas du genre a terminer un article par « restez vigilants ». Voici la liste concrete de ce que vous faites cette semaine, pas le trimestre prochain :

1. Activez le MFA partout. Partout signifie partout. Messagerie, VPN, ERP, CRM, outils de paie, portails fournisseurs. Si un outil ne supporte pas le MFA, il est temps de changer d'outil.
2. Verifiez les mots de passe de vos employes contre les bases de fuites connues. Have I Been Pwned permet une verification par domaine. Si un mot de passe professionnel apparait dans une fuite, il est compromis — pas « potentiellement compromis » : compromis.
3. Listez et nettoyez les comptes de prestataires. Chaque prestataire qui n'intervient plus depuis trois mois perd son acces. Aucune exception, aucune « au cas ou ».
4. Instaurez la regle du double canal pour les RIB. Toute modification de coordonnees bancaires est validee par un appel telephonique a un numero connu de l'entreprise. Pas le numero indique dans le courriel qui demande le changement.
5. Prevoyez un exercice de phishing interne dans les 30 prochains jours. Pas pour pieger, pour former. Notre guide en 7 etapes explique comment le conduire correctement.

Conclusion : la DGFiP n'est pas un cas isole, c'est votre miroir

Six cent soixante-dix-huit mille personnes exposees. Aucune faille logicielle. Deux identifiants voles sur des appareils personnels. Un parcours lateral trivial a travers un reseau interministeriel. Et une confirmation publique qui arrive deux mois apres les faits.

Si votre entreprise utilise des mots de passe sans MFA pour acceder a des donnees sensibles, si des comptes de prestataires inactifs conservent leurs droits, si vos employes reutilisent leurs identifiants professionnels sur des sites personnels — alors vous etes dans la meme situation que la DGFiP en juin 2026, a la difference pres que personne n'a encore essaye.

La question n'est pas si quelqu'un essaiera, mais quand. Et la reponse a cette question ne se trouve pas dans un logiciel : elle se trouve dans les sept mesures que vous mettez en place cette semaine.