Traçabilité des accès : des comptes légitimes ont suffi à extraire 678 000 dossiers
Le rapport de l’ANSSI sur la DGFiP le confirme : aucune porte forcée, des identifiants valides et des comptes aux droits trop larges. Quatre mécanismes disent qui peut lire un dossier d’étudiant, et qui l’a lu.
Entre mai et août 2026, un attaquant a lu et extrait des données dans le système d’information de la Direction générale des Finances publiques. Le communiqué n° 953 du 14 août 2026 établit la consultation et l’extraction de données concernant 678 000 particuliers et professionnels. Le 29 septembre, l’ANSSI a publié son rapport d’incident , daté du 23 septembre. Sa conclusion tient en une phrase : la compromission « n’est pas la conséquence d’une attaque sophistiquée ».
L’attaquant n’a pas forcé la porte. Il s’est servi de plusieurs dizaines d’identifiants volés à des agents de la DGFiP, puis du poste d’un partenaire extérieur. Des comptes autorisés ont suffi.
Vos dossiers d’étudiants posent le même problème. Ce sont des données personnelles en masse, lues chaque jour par des comptes qui ont le droit de les ouvrir. La question n’est donc pas seulement de savoir si l’école est protégée du dehors. C’est de savoir qui peut lire un dossier, et qui l’a lu.
Ce qui a été lu, et ce qui ne l’a pas été
Le communiqué nomme les catégories. Pour les particuliers : le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source. Pour les entreprises : la raison sociale ou le SIREN. Des données cadastrales, adresses et surfaces, ont aussi été consultées. Bercy précisait que les investigations se poursuivaient pour établir la nature, le volume et le nombre d’usagers : ces 678 000 dossiers ne forment pas un recensement définitif.
Le 17 août, selon l’AFP reprise par France 24 , la DGFiP a commencé à contacter « un peu plus de 350 000 particuliers ». La même dépêche mentionne « environ 200 000 comptes » dans les fichiers cadastraux et, citant Bercy, « moins de 250 » cas où l’attaquant a pu lire des messages entre un contribuable et l’administration, sans pouvoir agir sur le compte. Ces trois chiffres sont partiels. Ils ne remplacent pas les 678 000 dossiers.
Il n’y a pas eu de fuite de mots de passe usagers. Il y a eu lecture et extraction, avec des comptes qui avaient le droit d’ouvrir les dossiers. Les espaces des usagers ont tenu. Les sessions d’agents, non.
La DGFiP a saisi la CNIL dès l’identification des vols et annoncé le dépôt d’une plainte. Le parquet de Paris, toujours selon l’AFP, a ouvert une enquête notamment pour « extraction frauduleuse de données » et « association de malfaiteurs ».
Ce que le rapport de l’ANSSI établit
Le 17 août, selon l’AFP , Matignon avait demandé à l’ANSSI un « audit approfondi » des circonstances et des causes. Le rapport public retrace la chronologie de mai à août 2026 et nomme trois faiblesses : l’identité, l’architecture, la détection. Quatre constats vous concernent directement.
- Les identifiants. En trois mois, l’attaquant a réuni plusieurs dizaines de couples identifiant et mot de passe appartenant à des agents légitimes. Selon l’ANSSI , ils ont probablement été volés par des logiciels espions, sur des ordinateurs que la DGFiP n’administrait pas. Deux portails n’exigeaient pas d’authentification forte.
- Les droits. Les extractions sont parties de comptes sans privilège particulier. Ces comptes avaient pourtant accès, écrit l’ANSSI , à « un volume important de données ».
- La coupure. Selon la chronologie de l’ANSSI , le 24 juin à 10 h 40, le centre de supervision de la DGFiP réinitialise le mot de passe d’un compte signalé. La réinitialisation n’interrompt pas la session ouverte. L’extraction continue jusqu’au 25 juin à 2 h 31.
- Le partenaire. Pour les données cadastrales, selon le rapport , le poste compromis d’un géomètre-expert, dans un cabinet privé, a permis de contourner une double authentification par code envoyé par courriel.
Selon l’ANSSI , aucune de ces extractions n’a été détectée, ni par la supervision de la DGFiP, ni par celle de l’ANSSI. Le portail qui a servi à la première n’était pas supervisé, et aucun mécanisme n’a rapproché les signaux suspects : connexions nocturnes, volumes anormaux, adresses réputées malveillantes. Les traces existaient pourtant. L’ANSSI a reconstitué la chronologie après coup, à partir des journaux d’évènements de la DGFiP et des journaux de flux réseau fournis par le ministère de l’Éducation nationale.
Le récit du mois d’août disait autre chose. Le 14 août, Amélie Verdier, directrice générale de la DGFiP, qualifiait l’attaque de « plus sophistiquée que ce qu’on avait vu par le passé », selon le fil AFP repris par Le Dauphiné . Le rapport de l’ANSSI la contredit. Ce qui a manqué relève de réglages connus.
Le cas n’est pas isolé. Fin janvier 2026, selon un communiqué de la DGFiP , un acteur malveillant avait usurpé les identifiants d’un fonctionnaire habilité pour consulter une partie du fichier FICOBA, soit 1,2 million de comptes. Même entrée : un droit d’accès, pas une faille logicielle.
Quatre mécanismes à vérifier dans votre école
Un dossier fiscal et un dossier d’étudiant ne contiennent pas les mêmes informations. Ils exposent au même risque. Dans une école, les lecteurs légitimes sont nombreux : un responsable pédagogique, un intervenant, la scolarité, un prestataire, un agent IA qui prépare une tâche. Chacun a un compte, et chaque compte devient une porte le jour où ses identifiants circulent.
Des droits par rôle, les mêmes pour les humains et les agents IA
L’ANSSI recommande que chaque compte n’accède qu’aux informations « dont il doit avoir connaissance pour assurer sa fonction », avec des plafonds de consultation. Plus un droit est large, plus un compte volé ressemble à du travail. Un intervenant n’a pas besoin du dossier financier d’un étudiant. Un prestataire n’a pas besoin d’un export complet « au cas où ».
La règle vaut aussi pour les agents IA. Un agent qui lit des dossiers est un lecteur de plus. S’il échappe au modèle de droits des humains, il sort aussi de vos revues de droits. Vérifiez qu’un seul modèle de permissions couvre les deux.
Un journal qui porte l’auteur, l’objet et l’heure
À la DGFiP, les sessions d’extraction n’ont levé aucune alerte, alors que l’attaquant a dû ouvrir autant de pages que de fiches lues. Un journal qui s’arrête à la connexion dit qu’un compte est entré. Il ne dit pas ce que ce compte a lu.
Le journal utile porte trois informations pour chaque action : qui l’a faite, sur quel dossier, à quelle heure. Une lecture est une action, au même titre qu’une modification.
Un accès de prestataire qu’on révoque vraiment
À la DGFiP, un mot de passe réinitialisé n’a pas fermé la session déjà ouverte, et l’extraction a continué près de seize heures encore. L’ANSSI en tire une règle : une réinitialisation doit révoquer les sessions actives sur tous les applicatifs.
Un prestataire pose la même question, en plus difficile. Son poste n’est pas le vôtre, et l’ANSSI rappelle qu’un changement de mot de passe ne vaut que si l’appareil compromis est aussi nettoyé, ce qu’on ne peut pas garantir chez un tiers. Le jour où son contrat s’arrête, ou le jour où son compte fuit, son accès doit tomber en entier, sessions comprises. Demandez à chaque fournisseur combien de temps sépare la décision de couper et la dernière lecture possible.
Un journal qu’on sait extraire après la coupure
Couper un accès ferme la porte. Cela ne dit pas ce qui est déjà sorti. Selon le communiqué n° 953, les contrôles d’accès réalisés au moment de la coupure « n’ont pas permis de détecter » les vols. Il a fallu la revendication publique de l’attaquant, le 12 août, pour mesurer l’extraction.
L’ANSSI demande désormais qu’une réinitialisation s’accompagne d’une analyse de l’activité du compte depuis la date supposée de sa compromission. Cette analyse suppose un journal que votre équipe sait extraire elle-même, pour un compte et une période donnés, le jour même. Sans lui, vous refermez l’accès sans savoir ce qui est parti. Avec lui, vous avez une liste.
Ce que Subrequest pose dans l’architecture
Chez Subrequest, ces mécanismes relèvent du Socle, pas d’une option. Son pilier « Les accès » dit qui voit quoi, humains comme agents IA. Chaque compte voit l’école entière ou seulement ses campus, et, dans ce périmètre, les permissions se donnent une par une. Le cadre publié sur le site ajoute le reste :
- Données cloisonnées. Une plateforme par école. Aucune donnée ne circule entre établissements.
- Hébergement européen. Vos données sont stockées dans l’Union européenne.
- Traçabilité. Chaque action est journalisée avec son auteur, son objet et son heure. Les preuves sortent quand l’audit les demande.
- Aucun entraînement tiers. Aucun modèle tiers ne s’entraîne sur vos données.
- Humain décisionnaire. Sur toute décision qui engage une personne, un humain garde le dernier mot.
Ce que l’AI Act demandera aux écoles, et à quelle date, est traité dans AI Act : ce que le report de décembre 2027 ne reporte pas.
Aucun de ces mécanismes n’aurait empêché le vol d’un mot de passe. Tous décident de ce que vous pourrez dire le lendemain, quand l’entrée s’est faite par un compte légitime : qui pouvait lire, et qui a lu.
Quatre mécanismes prouvent qui peut lire un dossier, et qui l’a lu
Une école prouve qui peut lire un dossier d’étudiant, et qui l’a lu, avec quatre mécanismes : des droits par rôle, agents IA compris ; un journal de chaque lecture ; une révocation qui ferme les sessions ; un journal qu’elle sait extraire. À la DGFiP, selon l’ANSSI , des comptes autorisés ont suffi pour extraire les données de 678 000 particuliers et professionnels .
Écrivez-nous si vous voulez vérifier ces quatre mécanismes chez Subrequest avant de nous confier vos dossiers.