Piratage du fisc : Lecornu réunit une cellule de crise et commande un audit à l'ANSSI

Une semaine après la confirmation officielle du piratage de la DGFiP, le gouvernement change de registre. Le Premier ministre Sébastien Lecornu a présidé lundi 17 août une cellule interministérielle de crise consacrée à l'incident, et a demandé à l'ANSSI de mener un audit approfondi de la sécurisation des systèmes fiscaux. Les conclusions opérationnelles sont attendues en septembre.

Ce qui s'est passé

Le dossier s'était ouvert le 12 août avec la revendication d'un individu se présentant sous le pseudonyme ZeroBytes, puis avait basculé le 13 août dans la confirmation officielle par Bercy (voir notre article sur la revendication et notre article sur la confirmation ministérielle). Le 17 août, l'exécutif franchit une nouvelle étape en convoquant une cellule interministérielle de crise.

Selon Bercy, les intrusions reposent sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, survenues fin juin puis fin juillet 2026. Les accès frauduleux avaient été interrompus après détection, mais les contrôles menés à l'époque n'avaient pas permis d'identifier l'exfiltration de données — le ministère attribue ce défaut de détection à la sophistication de l'attaque.

Le périmètre s'est précisé : au-delà des 678 000 particuliers et professionnels déjà annoncés, environ 200 000 comptes liés aux fichiers fonciers (adresses et surfaces de biens immobiliers) sont concernés. Pour les particuliers, sont exposés le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Pour les entreprises, la raison sociale et le numéro SIREN. La DGFiP précise en revanche que les espaces personnels et professionnels sur impots.gouv.fr n'ont pas été compromis, pas plus que les identifiants et mots de passe des contribuables.

La CNIL a été saisie, l'ANSSI participe aux investigations et le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs.

Pourquoi c'est important

Cette réunion de crise marque le passage d'une gestion technique et communicationnelle de l'incident à un pilotage politique assumé au niveau de Matignon. C'est un signal rare : la dernière fois qu'un Premier ministre s'était impliqué aussi directement sur un incident cyber touchant l'administration, c'était après le piratage de l'ANTS en avril 2026, où Sébastien Lecornu avait déjà débloqué 200 millions d'euros pour la cybersécurité de l'État.

Sur le plan RGPD, l'affaire illustre concrètement les obligations posées par les articles 33 et 34 : notification à la CNIL sous 72 heures et information individuelle des personnes concernées lorsque le risque pour leurs droits est élevé. Notre guide sur la gestion d'une violation de données détaille la procédure à suivre étape par étape — un processus que la DGFiP est précisément en train de dérouler à grande échelle, avec la coordination de l'information individuelle des 678 000 personnes concernées comme l'un des points de la cellule de crise.

L'incident confirme aussi un défaut récurrent dans les grandes intrusions étatiques de 2026 : l'usurpation d'identifiants légitimes plutôt qu'une faille technique classique. C'est le même schéma qui avait permis l'accès frauduleux au fichier national des comptes bancaires Ficoba quelques mois plus tôt. Un attaquant qui détourne des accès habilités contourne la plupart des dispositifs de détection périmétrique classiques — d'où l'écart de plusieurs semaines entre l'intrusion et sa détection.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cet épisode invite à réexaminer trois points concrets. D'abord, la surveillance des comptes à privilèges et des accès tiers habilités : la détection d'anomalies comportementales sur ces comptes reste souvent le maillon faible, y compris dans des administrations dotées de moyens importants. Ensuite, le délai entre intrusion et détection interroge la robustesse des dispositifs de logging et d'alerte — un point que l'audit ANSSI devra objectiver d'ici septembre. Enfin, la coordination de la notification individuelle à grande échelle (678 000 personnes) est un cas d'école pour toute organisation appelée à documenter, en amont, un plan de communication de crise conforme à l'article 34.

L'affaire s'inscrit également dans le plan de renforcement de la cybersécurité de l'État annoncé fin avril : 200 millions d'euros d'investissements supplémentaires et l'obligation, dès 2027, pour chaque ministère de consacrer 5 % de son budget numérique à la cybersécurité. Les conclusions de l'audit ANSSI, attendues en septembre, seront un indicateur clé de la vitesse à laquelle ce plan se traduit en mesures opérationnelles.

Ce que Leto pense de cette décision

Convoquer une cellule de crise interministérielle une semaine après la confirmation publique n'est pas un exercice de communication : c'est la reconnaissance que l'incident dépasse le seul périmètre de Bercy. Ce qui nous semble le plus instructif, ce n'est pas le montant de données exposées — déjà connu — mais le choix de faire auditer ses propres systèmes par l'ANSSI plutôt que de se contenter d'une enquête interne. Pour les organisations privées comme publiques, le message est clair : la maturité attendue en 2026 ne se limite plus à notifier dans les délais, elle suppose un audit indépendant et documenté de la chaîne de détection elle-même.

Sources : INCYBER NEWS — Cyberattaque DGFiP : Matignon convoque une cellule de crise, France Info — Après le piratage du fisc, la cellule interministérielle de crise livre ses conclusions