Que révèle le rapport ANSSI sur la dgfip ?

L’ANSSI a publié le 29 septembre 2026 son rapport d’incident sur les cyberattaques ayant touché la Direction générale des finances publiques (DGFiP).[1] L’enquête retrace des activités illégitimes observées de mai à août 2026 ; le rapport avait été remis au Premier ministre le 24 septembre.

Les investigations décrivent deux périmètres d’exfiltration : la plateforme impots.gouv.fr, revendiquée le 12 août, puis des données cadastrales, revendiquées le 13 août. Il s’agit de faits concernant la DGFiP, pas d’une preuve qu’une PME serait touchée de la même manière.

Identités : où l’authentification a-t-elle cédé ?

Selon l’ANSSI, les attaquants ont utilisé des identifiants légitimes de la DGFiP récupérés après leur usage sur des équipements personnels.[1] L’absence d’authentification forte sur des portails donnant accès à des ressources sensibles a facilité cet accès.

La question utile pour une PME n’est donc pas « avons-nous le même attaquant ? », mais « quels accès sensibles restent utilisables avec un seul facteur, y compris chez nos prestataires ? ». Le responsable informatique peut fournir la liste des portails et comptes concernés, l’état réel de l’authentification multifacteur et un calendrier pour corriger les écarts. Un compte protégé sur le papier mais non sur le portail critique ne réduit pas le risque attendu.

Architecture : quelles applications permettent un rebond ?

Le rapport indique que des applications sensibles étaient exposées sur Internet ou accessibles depuis le Réseau interministériel de l’État sans cloisonnement suffisant. Cette architecture augmentait l’exposition et ouvrait une possibilité de déplacement depuis des ressources d’organismes tiers.

La transposition à une PME est une vérification de périmètre, pas un diagnostic à distance : recenser les applications sensibles, leurs voies d’accès et les relations avec les environnements de prestataires. Pour chaque accès indispensable au métier, demander quelle séparation empêche qu’un compte compromis donne accès à d’autres données ou services. La preuve attendue peut être un inventaire des accès et une revue de configuration datée.

Vérification des accès et du cloisonnement après le rapport ANSSI sur la DGFiP

Détection : les signaux auraient-ils été vus ?

L’ANSSI précise qu’aucune des deux vagues d’exfiltration n’a été détectée par la supervision de la DGFiP ou la sienne.[1] L’un des portails utilisés par l’attaquant n’était pas supervisé ; les signaux suspects n’étaient pas corrélés, et l’ANSSI n’avait pas accès aux journaux applicatifs.

Pour une PME, conserver des journaux ne suffit pas si personne ne sait quels événements examiner ni qui reçoit l’alerte. La vérification concrète porte sur les accès aux applications critiques, les changements de droits et les volumes inhabituels de données, selon les outils réellement disponibles. Le guide ANSSI sur la journalisation rappelle que les journaux servent à détecter un incident et à reconstituer son cheminement après coup.[2] Il ne prescrit pas un SIEM ou un EDR à toute PME.

Quelles décisions prendre sans copier la dgfip ?

Le rapport expose des défaillances observées dans une administration précise. La décision d’une PME doit partir de ses services, de ses données et de ses prestataires, puis des preuves fournies par ceux qui les administrent. Le tableau suivant distingue le fait publié de la vérification locale : il ne classe pas artificiellement l’entreprise en risque « élevé », « moyen » ou « faible ».

Constat du rapport Question PME Preuve à demander
Identifiants légitimes détournés et authentification forte absente sur certains portails sensibles Quels accès critiques ou prestataires restent sans authentification multifacteur ? Inventaire des comptes et contrôle effectif de l’activation.
Applications sensibles accessibles sans cloisonnement suffisant Un accès compromis permettrait-il d’atteindre d’autres services ou données ? Cartographie des accès et revue du cloisonnement.
Exfiltrations non détectées et journaux applicatifs indisponibles Quels événements sont suivis, par qui et dans quel délai ? Exemple d’alerte testée, responsable désigné et journaux exploitables.

Si une faiblesse est constatée, fixer le responsable et la date de vérification après correction. Si aucune faiblesse n’est observée, conserver les preuves du contrôle et prévoir son réexamen : le rapport DGFiP ne permet ni de déclarer une autre organisation compromise ni de la déclarer totalement à l’abri.

Que demander à son prestataire informatique ?

Un dirigeant peut demander une réponse courte et vérifiable sur trois points : les portails sensibles et l’authentification forte réellement active ; les applications exposées et leur cloisonnement ; les journaux applicatifs consultés et la personne qui traite les alertes. Pour les services externalisés, la réponse doit préciser la répartition des responsabilités entre l’entreprise et son prestataire. Ce cadrage est plus utile qu’une liste d’outils achetés sans preuve de couverture.

Ce que le rapport ne permet pas de conclure

Le communiqué ANSSI ne démontre pas qu’une PME utilise les mêmes applications, a subi une exfiltration ou doit appliquer un correctif logiciel particulier.[1] Il ne quantifie pas non plus le coût d’un incident pour une entreprise tierce. Les scénarios de fraude, de rançongiciel ou de sanctions ne doivent pas être présentés comme des conséquences établies de ces cyberattaques. Toute affirmation sur une exposition locale exige des contrôles propres à l’organisation concernée.