Traçabilité des accès : un compte légitime a suffi à extraire 678 000 dossiers

En juin et juillet 2026, un acteur malveillant est entré dans le système d’information de la Direction générale des Finances publiques. Les 12 et 13 août, il s’est vanté publiquement d’avoir réussi. Les investigations menées depuis le 12 août, consignées dans le communiqué n° 953 du 14 août 2026, établissent la consultation et l’extraction de données concernant 678 000 particuliers et professionnels.

Il n’a pas forcé la porte. Il s’est servi des identifiants d’un agent de la DGFiP — le compte avec lequel cet agent ouvrait les dossiers au quotidien — et de ceux d’un tiers déjà habilité : une personne extérieure qui avait, elle aussi, le droit de les lire. Un compte déjà autorisé a suffi.

Un dossier d’étudiant pose le même problème : des données personnelles en masse, lues chaque jour par des comptes qui ont le droit de les ouvrir. La question d’un établissement n’est donc pas « suis-je protégé du dehors ». C’est « qui peut lire quoi dans mes dossiers, et qui l’a lu ».

Ce qui a été lu, et ce qui ne l’a pas été

Le communiqué nomme les catégories. Pour les particuliers : le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source. Pour les entreprises : la raison sociale ou le SIREN. Des données cadastrales — adresses et surfaces — ont aussi été consultées. Ces 678 000 dossiers ne forment pas un recensement définitif : Bercy écrit que les investigations se poursuivent pour préciser la nature, le volume et le nombre d’usagers.

Le 17 août, selon l’AFP reprise par France 24, la DGFiP a commencé à contacter « un peu plus de 350 000 particuliers ». La même dépêche mentionne « environ 200 000 comptes » dans les fichiers cadastraux, et, citant Bercy, « moins de 250 » cas où l’attaquant a pu lire des messages entre un contribuable et l’administration, sans pouvoir agir sur le compte. Ces trois chiffres sont partiels, publiés au fil des annonces. Ils ne remplacent pas les 678 000 dossiers.

Il n’y a pas eu de fuite de mots de passe usagers. Il y a eu lecture et extraction, avec des comptes qui avaient le droit d’ouvrir les dossiers. Un dirigeant d’école qui retient « le site des impôts a fuité » rate le fait utile : les espaces des usagers n’ont pas été compromis. La session d’un agent l’a été.

La DGFiP a saisi la CNIL dès l’identification des vols. Elle a annoncé une information individuelle par courriel ou courrier, et le dépôt d’une plainte. Le parquet de Paris, toujours selon l’AFP, a ouvert une enquête notamment pour « extraction frauduleuse de données » et « association de malfaiteurs ».

La porte n’a pas été forcée

Le Figaro, le 14 août, rapporte le brief d’Amélie Verdier, directrice générale de la DGFiP : en juin, l’administration a détecté la « compromission d’un compte d’un agent ». Selon le fil AFP repris par Le Dauphiné, l’accès a été coupé immédiatement. À ce moment-là, l’administration n’avait « pas identifié que l’attaquant avait pu récupérer des données ». Verdier qualifie l’attaque de « plus sophistiquée que ce qu’on avait vu par le passé » : l’assaillant n’a pas effectué de « requêtage massif », ce volume de demandes qu’un système repère plus facilement.

Il y avait un compte d’agent, et celui d’un tiers habilité. Pour le système de détection, ces deux sessions ressemblent à du travail. C’est précisément ce qui empêche le contrôle de volume de fonctionner : une alerte calibrée sur les extractions massives ne se déclenche pas.

Ce n’est pas la première fois que cela arrive à la DGFiP. Fin janvier 2026, selon un communiqué de la DGFiP, un acteur malveillant a usurpé les identifiants d’un fonctionnaire habilité et consulté une partie du fichier FICOBA, concernant 1,2 million de comptes. C’est le même mode d’entrée : un droit d’accès, pas une faille logicielle.

On ne sait pas encore comment l’attaquant s’y est pris, techniquement. Le communiqué du 14 août ne le dit pas. Il établit déjà ceci : des identifiants valides ont ouvert des dossiers.

Sans journaux, la coupure ne dit pas ce qui est sorti

Le communiqué n° 953 décrit la suite sans détour. Dès la détection, la DGFiP a interrompu les accès des comptes utilisés. Les contrôles d’accès réalisés à cette occasion n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, « en raison de la sophistication de l’attaque ».

La coupure a fermé la session. Elle n’a pas dit ce qui était déjà parti. Selon Verdier, c’est lorsque l’attaquant s’est vanté publiquement, le 12 août, que les services ont repéré certaines activités, et notamment l’extraction. Entre la coupure de juin et cette date, l’administration savait qu’un compte avait été compromis. Elle ne savait pas, d’après son propre récit, que 678 000 dossiers avaient été lus.

Le 17 août, à l’issue d’une cellule interministérielle de crise, Matignon a demandé à l’ANSSI, toujours selon l’AFP, de conduire un « audit approfondi » des circonstances et des causes, en complément de l’enquête judiciaire. Cet audit est demandé. Il n’est pas rendu.

Un journal d’accès qui ne permet pas, après coup, de dire qui a lu quoi, n’est pas un journal. Le contrôle de volume ne détecte pas une extraction qui ressemble au travail quotidien d’un agent.

Un dossier d’étudiant pose le même problème

Un dossier fiscal et un dossier d’étudiant ne contiennent pas les mêmes informations. Ils exposent au même risque : des données personnelles en masse, lues chaque jour par des agents habilités — un chargé d’admissions, un responsable pédagogique, un intervenant, un prestataire de scolarité, un outil qui prépare une décision. Les lecteurs légitimes sont nombreux : lire ces dossiers est leur métier.

La question n’est donc pas de savoir si « quelqu’un de l’extérieur » peut entrer. Dans l’incident DGFiP, l’attaquant s’est présenté avec des identifiants internes. Voici ce qu’il faut pouvoir répondre :

1. Qui, dans votre établissement, peut ouvrir un dossier — et jusqu’où ?
2. Qui l’a ouvert, quel jour, pour quelle action ?
3. Pouvez-vous le prouver dans six mois, quand un candidat, un diplômé ou une autorité vous le demandera ?

Un tableur partagé, un export par mail, un accès prestataire jamais révoqué : chacun de ces gestes crée un lecteur de plus, souvent sans trace. Le jour où un compte est usurpé, ou simplement prêté, vous refermez l’accès. Vous ne savez pas ce qui est sorti. C’est exactement ce que le communiqué n° 953 décrit, à l’échelle de l’État.

Sécuriser l’entrée depuis l’extérieur reste nécessaire. Cela n’aurait pas suffi ici. Le compte était le bon. Ce qui manquait, au moment de la coupure, c’était la preuve de la lecture.

Qui peut lire un dossier, et qui l’a lu

Ni les droits ni les journaux ne suffisent seuls.

Les droits fins limitent ce qu’un compte peut ouvrir. Un chargé d’admissions n’a pas besoin de la scolarité de toute la promotion. Un intervenant n’a pas besoin du dossier financier. Un prestataire n’a pas besoin d’un export complet « au cas où ». Plus le droit est large, plus l’usurpation ressemble à du travail, et plus l’extraction passe inaperçue.

Les journaux d’accès disent ensuite qui a lu, quoi, quand. Ils servent le lendemain de la coupure, quand il faut mesurer ce qui est sorti. Sans eux, vous ignorez ce qui est sorti. Avec eux, vous avez une liste.

Droits et journaux ne suffisent que si vous pouvez les montrer après coup. Un journal que personne ne peut extraire, un droit que personne n’a revu depuis la rentrée, un accès partagé à trois : rien de tout cela ne résiste à un audit, ni à une contestation.

C’est aussi ce que l’AI Act demandera aux écoles qui déploient un système à haut risque sur l’admission ou l’évaluation : tracer, superviser, informer. Le calendrier, et ce qu’un report ne reporte pas, figure déjà dans AI Act : ce que le report de décembre 2027 ne reporte pas. Il n’y a pas à le refaire ici. La supervision humaine et la trace y sont prévues dès la conception du système. L’incident DGFiP le montre autrement : la trace qui protège naît au moment de la lecture, pas au moment de la crise.

Chez Subrequest, cette exigence se prouve, point par point, dans la façon dont la plateforme est conçue. Chaque établissement a sa propre plateforme : vos données ne croisent jamais celles d’un autre. Elles sont stockées et traitées en Europe par défaut. Chaque traitement est journalisé : qui, quoi, quand. Auditable à tout moment. Les dossiers étudiants travaillent pour vous, pas pour l’IA des autres. Sur toute décision qui engage un étudiant, un humain garde le dernier mot.

Aucune de ces phrases n’aurait empêché quelqu’un de voler un mot de passe. Toutes décident de ce que vous pouvez encore dire, le lendemain, quand l’entrée s’est faite par un compte légitime. Une fois l’accès refermé, il reste une question : qui pouvait lire, et qui a lu.

Le périmètre que nous couvrons pour l’enseignement supérieur est décrit sur la page éducation.