DGFiP : le tiers habilité, cet angle mort que partagent toutes les PME

La Direction générale des finances publiques a confirmé à la mi-août 2026 des accès illégitimes à son système d'information. Deux intrusions distinctes ont été revendiquées publiquement. La première porte sur 678 438 lignes de données fiscales, dont environ 285 570 concernent des professionnels et des entreprises. La seconde, revendiquée fin juillet sur un serveur de données cadastrales, porterait sur plus de deux millions de propriétaires.

L'affaire est spectaculaire par son ampleur. Elle est surtout instructive par sa banalité technique, et par les trois questions très concrètes qu'elle pose à n'importe quel dirigeant d'entreprise.

Le point d'entrée n'était pas une faille, c'était un compte

Selon les éléments confirmés par l'administration, l'accès initial repose sur l'usurpation des identifiants de deux comptes parfaitement légitimes : celui d'un agent, et celui d'un tiers habilité disposant d'un accès au système.

Il n'y a eu ni logiciel malveillant, ni exploitation d'une vulnérabilité, ni intrusion au sens spectaculaire du terme. Quelqu'un s'est connecté avec des identifiants valides, a rejoint le réseau interne, et a utilisé un outil métier pour ce qu'il sait faire : chercher des informations.

C'est précisément ce qui rend l'affaire universelle. Une administration de cette taille dispose de moyens qu'aucune PME n'aura jamais. Et le vecteur reste celui que l'on retrouve dans la majorité des incidents que je rencontre en audit : un accès légitime, entre les mains de quelqu'un qui n'aurait pas dû l'avoir.

Première question : qui, hors de votre entreprise, a un accès ?

Prenez trente secondes et essayez de répondre de tête.

Votre prestataire informatique, évidemment. Mais aussi, probablement : l'éditeur de votre logiciel métier, qui prend la main à distance pour les mises à jour. Le cabinet comptable, qui accède à votre outil de facturation. Le prestataire de paie. L'installateur de la vidéosurveillance. Le développeur qui a fait le site il y a quatre ans. Le stagiaire de l'été dernier. L'ancien salarié parti en mars.

Dans la quasi-totalité des PME que j'audite, cette liste n'existe nulle part. Ce n'est pas de la négligence, c'est le résultat naturel de dix ans d'accumulation : chaque accès a été ouvert pour une bonne raison, et personne n'a jamais eu pour mission de les refermer.

Un accès que personne ne surveille est un accès que personne ne retirera. Et un accès que personne ne retire finit toujours par survivre à la raison qui l'a créé.

La bonne nouvelle est que ce chantier ne coûte rien d'autre que du temps. Établir la liste, la confronter à la réalité, fermer ce qui n'a plus lieu d'être. C'est souvent la mesure la plus rentable d'un plan de sécurité, et c'est presque toujours la dernière traitée.

Deuxième question : que vaut cette fuite pour un escroc ?

Les données extraites lors de la première intrusion couvrent l'identité des contribuables, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source. Aucun mot de passe n'a été compromis, et l'administration a précisé qu'aucun accès direct aux comptes en ligne n'était possible.

Il serait tentant d'en conclure que le risque est faible. Ce serait une erreur de raisonnement.

Ces informations ne servent pas à se connecter quelque part. Elles servent à rendre un message crédible. Un escroc qui connaît votre revenu fiscal de référence, votre situation familiale et votre adresse n'a plus besoin d'écrire un message générique. Il écrit un message qui vous ressemble, adressé à la bonne personne, au bon moment.

Pour une entreprise, cela se traduit directement en risque de fraude au virement. Le mécanisme est toujours le même : un message qui reprend un dossier en cours, un changement de coordonnées bancaires au dernier moment, une pression sur le délai. La seule parade qui fonctionne n'est pas technique, c'est une règle écrite : aucun changement de coordonnées bancaires n'est appliqué sans un rappel téléphonique sur un numéro déjà connu, jamais sur celui indiqué dans le message.

Si cette règle n'existe pas chez vous, c'est le chantier le plus urgent de cette liste.

Troisième question : sauriez-vous notifier en 72 heures ?

C'est le volet le plus inconfortable du dossier.

La première intrusion date de fin juin. La seconde du 29 juillet. La revendication publique est intervenue le 12 août, la confirmation par l'administration les 13 et 14, l'enquête du parquet de Paris le 15, et la notification des personnes concernées à partir du 17 août. La CNIL a ouvert ses vérifications, et le délai écoulé entre les faits et l'information du public fait déjà débat au regard des obligations du RGPD.

Si une administration disposant d'équipes dédiées met plusieurs semaines à qualifier un incident et à notifier, la question mérite d'être posée franchement à toute entreprise : combien de temps vous faudrait-il ?

Ce n'est pas une question rhétorique, parce qu'il existe deux horloges bien réelles.

• /Le RGPD impose de notifier une violation de données à la CNIL dans les 72 heures après en avoir pris connaissance.
• /La loi LOPMI, en vigueur depuis avril 2023, conditionne l'indemnisation par votre assureur au dépôt de plainte dans les 72 heures suivant la connaissance de l'infraction. À défaut, l'assureur peut invoquer la déchéance de garantie.

Autrement dit, un incident mal géré dans les trois premiers jours peut vous coûter deux fois : une sanction d'un côté, une indemnisation refusée de l'autre. Et ces 72 heures ne se décrètent pas le jour venu. Elles se préparent : qui qualifie l'incident, qui décide, qui dépose plainte, qui contacte l'assureur, avec quelles pièces.

Ce que je retiendrais, à la place d'un dirigeant

Trois actions, dans cet ordre, et aucune ne demande d'investissement.

• /Écrire la liste des accès externes. Qui, pour quoi, depuis quand, et est-ce encore justifié. Une feuille de calcul suffit pour commencer.
• /Formaliser la règle de vérification bancaire. Une phrase, diffusée à toutes les personnes qui peuvent déclencher un paiement, et appliquée sans exception y compris quand c'est le dirigeant qui demande.
• /Poser la procédure des 72 heures. Qui fait quoi, dans quel ordre, avec quels contacts. Une page, imprimée, pas seulement dans un fichier auquel personne n'accèdera si le système est bloqué.

L'affaire de la DGFiP ne raconte pas une prouesse technique. Elle raconte un accès légitime mal surveillé, une détection tardive, et une notification difficile. Ces trois faiblesses ne sont pas propres à l'administration. Elles sont, dans mon expérience d'audit, la configuration par défaut de la plupart des entreprises.