Le fisc piraté par un « tiers habilité » : l'angle mort de l'identité déléguée

Une intrusion sans effraction, révélée par son auteur

Le fait empirique doit précéder son interprétation. Le 14 août 2026, dans son communiqué de presse N°953, le ministère de l'Action et des Comptes publics reconnaît des « accès illégitimes » au système d'information de la DGFiP, « intervenus en juin et juillet 2026, reposant sur des usurpations d'identifiants d'un agent de la DGFIP et d'un tiers habilité ». Un « tiers habilité » (partenaire externe autorisé par convention à interroger certaines données fiscales) n'est ni un agent ni un pirate : c'est un acteur à qui l'État a lui-même ouvert une porte, et dont l'identité numérique a été détournée. L'attaquant a obtenu un accès VPN, puis actionné un outil de recherche interne pour extraire des données en masse. Les espaces personnels des usagers, ainsi que leurs identifiants et mots de passe, n'ont pas été compromis. Le logiciel a tenu. C'est l'accès légitime qui a cédé.

Le communiqué fait un aveu rarement aussi net : « les contrôles d'accès réalisés à cette occasion n'ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l'attaque ». Autrement dit, la DGFiP a détecté et coupé les comptes compromis dès juin et juillet, sans voir que des données étaient parties. Lors de la conférence de presse du 18 août 2026, la directrice générale des finances publiques Amélie Verdier a résumé le mécanisme en indiquant que l'attaque n'avait été possible que par la combinaison de compromissions de comptes, l'attaquant s'étant appuyé sur la capacité d'un profil DGFiP à se connecter via un accès externe réputé sécurisé.

Le point le plus révélateur tient à la chronologie de la parole publique. Ce n'est pas l'administration qui a alerté, mais l'attaquant. Le 12 août 2026, un acteur sous le pseudonyme ZeroBytes revendique le vol sur un forum cybercriminel et met la base en vente. La DGFiP indique avoir appris l'existence du vol ce même 12 août, presque simultanément par une alerte de l'ANSSI et par la revendication. Le ministère communique le 13, puis le 14. Entre l'intrusion de fin juin et la reconnaissance publique, il s'est écoulé près de sept semaines, un délai que le syndicat Solidaires Finances Publiques et le cabinet RGPD Kit ont chiffré à quarante-huit jours, la notification à la CNIL n'étant intervenue selon le syndicat que le lendemain de la révélation par l'attaquant. Solidaires Finances Publiques affirme d'ailleurs avoir interpellé la directrice générale dès juin 2026, après les fuites Tchap et France Services, sur les risques de « piratage, d'usurpation d'identité ou d'hameçonnage ciblé » et sur la possibilité, « à très court terme », de nouvelles attaques.

Perrow, ou l'accident logé dans l'interface

Le mécanisme théorique éclaire ce que les faits montrent. La sociologie des organisations dispose d'un cadre taillé pour ce type d'événement : la théorie des accidents normaux de Charles Perrow. Un système à fort couplage (interdépendance étroite où une défaillance se propage vite) et à forte complexité interactive (interactions nombreuses et peu visibles entre composants) produit des accidents non pas malgré ses sécurités, mais à travers elles. L'accident ne se loge pas dans le composant défaillant, il naît de l'interaction imprévue entre des éléments réputés sûrs pris isolément.

Le système d'information fiscal correspond point par point à cette description. La DGFiP figure parmi les administrations traitant les données les plus sensibles, et ses outils se sont progressivement ouverts à d'autres administrations, dans la logique du « Dites-le nous une fois » et de la lutte contre la fraude. Chaque ouverture ajoute une interface, chaque interface un accès, chaque accès une identité à protéger. Le blindage de chaque brique (chiffrement, hébergement souverain, authentification) laisse intacte la vulnérabilité systémique : la multiplication des points d'entrée légitimes. L'attaque de 2026 est un accident normal au sens de Perrow. Elle n'a pas percé un mur, elle a franchi une porte que le système ouvre par conception, en combinant deux compromissions qu'aucun capteur ne regardait ensemble.

L'accident normal (Charles Perrow, 1984)

Dans Normal Accidents: Living with High-Risk Technologies (Basic Books, 1984), le sociologue Charles Perrow, analysant l'accident nucléaire de Three Mile Island (1979), soutient que certaines défaillances sont « normales », c'est-à-dire inhérentes aux systèmes à la fois complexes dans leurs interactions et étroitement couplés. La sûreté ajoutée (redondances, contrôles) accroît la complexité et peut engendrer de nouveaux modes de défaillance. La leçon opératoire n'est pas qu'il faut plus de technique, mais que la robustesse d'un système se juge à ses interfaces et à son organisation, pas à la solidité de ses composants pris un à un.

L'identité déléguée, une relation d'agence non surveillée

Nommer le second mécanisme précise l'endroit exact de la faille. Le « tiers habilité » n'est pas une abstraction juridique : c'est un agent au sens de la théorie de l'agence formulée par Michael Jensen et William Meckling dans « Theory of the Firm: Managerial Behavior, Agency Costs and Ownership Structure » (Journal of Financial Economics, 1976). Une relation d'agence lie un principal (ici l'État, responsable de traitement) à un agent (le partenaire habilité) à qui il délègue une action qu'il ne peut pleinement observer. De cette asymétrie d'information naissent des coûts d'agence, dont un coût de surveillance : le principal doit dépenser pour vérifier ce que l'agent fait réellement de l'accès concédé. Quand cette surveillance est insuffisante, l'action cachée de l'agent, ou celle d'un tiers qui a usurpé son identité, devient indétectable.

L'ampleur de la délégation dépasse l'intuition. À l'échelle interministérielle, le dispositif DataPass piloté par la Direction interministérielle du numérique (DINUM) recense, selon numerique.gouv.fr, 57 000 habilitations délivrées par treize administrations, parmi lesquelles la DGFiP, l'Urssaf, la CNAM et le ministère de l'Éducation nationale. Ce chiffre agrège plusieurs opérateurs et ne mesure pas les seuls accès fiscaux, mais il donne l'ordre de grandeur d'un maillage d'accès légitimes que nul tableau de bord public ne consolide pour la seule DGFiP. La question amont, celle que l'administration ne pose pas publiquement, est arithmétique avant d'être politique : combien de tiers accèdent au système d'information fiscal, sous quel contrôle, avec quelle traçabilité ?

Que cette délégation soit le vrai point de rupture, un précédent de la même année le démontre. En février 2026, Bercy avait déjà reconnu des accès illégitimes au fichier national des comptes bancaires (FICOBA), portant sur environ 1,2 million de comptes, obtenus par l'usurpation des identifiants « d'un fonctionnaire disposant d'accès dans le cadre de l'échange d'information entre ministères ». Même organisation, même vecteur, même identité déléguée détournée, six mois plus tôt. La récurrence disqualifie la thèse de l'accident isolé et sophistiqué.

Le précédent STIC : la faille fut toujours l'accès, jamais le code

Un parallèle historique désamorce l'illusion de nouveauté radicale. Bien avant les API et le cloud souverain, l'État avait déjà été confronté à un point aveugle identique sur ses grands fichiers de police. En 2009, la Commission nationale de l'informatique et des libertés (CNIL) publiait les conclusions de son premier contrôle global du Système de traitement des infractions constatées (STIC), assorties de onze propositions portant notamment sur la nécessité de limiter le nombre d'agents autorisés à consulter le fichier et de détecter les utilisations détournées. La faille pointée n'était pas logicielle : elle tenait à la gestion des accès, à leur traçabilité et à leur détournement possible par des utilisateurs pourtant habilités.

Le second contrôle, mené fin 2012 et début 2013 au moyen de vingt-trois vérifications sur place et soixante et une sur pièces, dresse un constat accablant de continuité. La CNIL relève que « les défaillances observées en 2009 n'ont pas connu d'améliorations notables ». Sa présidente Isabelle Falque-Pierrotin faisait alors état d'environ 40 % de fiches comportant des erreurs, contre 83 % lors du contrôle de 2009. Les recommandations de traçabilité et de restriction des accès, formulées quatre ans plus tôt, étaient restées lettre morte, malgré des annonces techniques comme le recours étudié à la biométrie pour authentifier les policiers. Le schéma est structurellement identique à celui de 2026 : l'appareil institutionnel documente le risque d'accès, promet des correctifs techniques, et laisse le maillon des habilitations en l'état. D'autres épisodes s'inscrivent dans la même lignée, des consultations indues de fichiers par des agents aux accès non maîtrisés relevés dans divers organismes publics, mais le cas STIC est le plus proche parce qu'il isole exactement la même cause : l'accès légitime mal gouverné, jamais le composant.

Le bilan chiffré, entre communiqué et revendication

Le communiqué N°953 du 14 août 2026 fait état d'un total de 678 000 particuliers et professionnels dont des données ont été consultées et extraites. Lors de la conférence du 18 août, la DGFiP a précisé un périmètre d'environ 350 000 particuliers et 250 000 comptes professionnels, en signalant des doublons dans le décompte revendiqué. L'attaquant, via la plateforme de veille FrenchBreaches, revendique 678 438 lignes et une ventilation de 392 867 particuliers et 285 570 professionnels, dont 26 805 déclarant un revenu fiscal de référence supérieur ou égal à 100 000 euros. Un volet cadastral distinct concernerait au maximum 433 485 particuliers. Les chiffres de l'attaquant ne sont pas confirmés indépendamment et doivent être lus comme une revendication, non comme un décompte officiel.

Ce que le discours officiel place hors-champ

L'angle mort institutionnel se lit dans la répartition de la parole. La communication de crise a insisté sur l'aval (vigilance des usagers face à l'hameçonnage, réflexes de sécurité, information individuelle) et sur des réponses techniques amont (déploiement de la double authentification pour les agents, refonte des dispositifs de détection, recours à l'IA pour des simulations offensives). Le ministre David Amiel a certes réclamé un réexamen de « l'ensemble des accès aux données de la DGFiP, directs ou via des partenaires » et la généralisation des « quotas d'accès » pour les professionnels habilités, comme cela avait été fait pour FICOBA. Mais l'essentiel demeure formulé comme un problème de détection et d'outillage, non comme une défaillance de gouvernance des tiers.

Trois silences méritent d'être nommés, en restant loyal aux faits. Le premier est juridique. Le 7° du III de l'article 20 de la loi du 6 janvier 1978 exclut « les cas où le traitement est mis en œuvre par l'État » du champ des amendes administratives de la CNIL, plafonnées à dix millions d'euros pour les autres responsables de traitement. Une entreprise privée dans la situation de la DGFiP encourrait une sanction pécuniaire lourde. L'État, non. La CNIL, saisie et qui indiquait le 24 août 2026 que « les vérifications sont en cours », conserve ses pouvoirs de rappel à l'ordre, de mise en conformité et de contrôle, mais son levier financier ne s'applique pas au responsable public.

Le deuxième silence est réglementaire. La directive européenne NIS2, qui impose précisément des exigences renforcées sur la sécurité de la chaîne d'approvisionnement et la gestion des accès, n'était toujours pas transposée en droit français à l'été 2026. Le projet de loi de résilience, adopté par le Sénat en mars 2025 puis amendé par la commission spéciale de l'Assemblée le 10 septembre 2025, n'avait jamais été inscrit en séance publique depuis, la Commission européenne ayant décidé le 8 juillet 2026 de saisir la Cour de justice de l'Union européenne contre la France pour défaut de notification des mesures de transposition. L'ANSSI, dont les recommandations sur les accès à privilèges accordés à des tiers existent depuis mai 2021, publie une doctrine que rien n'oblige encore à appliquer.

Le troisième silence est stratégique et rejoint un constat déjà posé par la Cour des comptes, qui a dénoncé une dépendance de l'État à ses prestataires et l'absence de stratégie consolidée de souveraineté de ses systèmes d'information civils. La souveraineté a été pensée comme une question d'hébergement et de matériel, pas comme une question de maîtrise des identités et des habilitations. L'audit confié à l'ANSSI sur les causes de l'attaque, dont les premières conclusions étaient annoncées pour septembre 2026 et une transmission aux commissions des finances de l'Assemblée et du Sénat, n'était pas public à la date de rédaction.

Conclusion : la porte reste ouverte, la question aussi

Le titre annonçait un angle mort et une identité déléguée. Les deux se rejoignent dans une même proposition : l'État a blindé ses murs et concédé ses clés. Tant que la sécurité se pensera comme une propriété de composants (le cloud qualifié, le chiffrement, le matériel souverain) et non comme une propriété d'interfaces au sens de Perrow, l'accident normal se reproduira à l'endroit exact où le principal ne surveille pas son agent. La délégation d'identité n'est pas un défaut technique à corriger, c'est un choix d'architecture à gouverner.

Cette lecture débouche sur une hypothèse vérifiable. Si le diagnostic proposé ici est juste, l'instruction de la CNIL devrait retenir un défaut de maîtrise des accès et des habilitations de tiers comme facteur causal, et non seulement un phishing en aval ou une intrusion sophistiquée. L'indicateur est observable sans information interne : la publication, sur les sites de la CNIL ou de Légifrance, d'une décision, d'un rappel à l'ordre ou d'un rapport visant explicitement la gestion des accès de tiers, à un horizon de douze mois, soit avant août 2027. Un second indicateur, plus précoce, est la transmission aux commissions des finances de l'Assemblée et du Sénat des conclusions de l'audit ANSSI, attendue à partir de septembre 2026, et la place qu'elles réserveront, ou non, à la gouvernance des habilitations. Si ces textes s'en tiennent à la détection et à la double authentification, l'angle mort n'aura pas été nommé, seulement contourné.

---

Note méthodologique

Cet article s'appuie sur les sources primaires vérifiées : le communiqué N°953 du 14 août 2026 du ministère de l'Action et des Comptes publics, la publication de la CNIL du 24 août 2026, l'article 20 de la loi du 6 janvier 1978 sur Légifrance, les rapports de la CNIL et de la Cour des comptes, et les concepts de Perrow (1984) et de Jensen et Meckling (1976) vérifiés dans leurs références exactes. Plusieurs chiffres relèvent de la revendication de l'attaquant relayée par FrenchBreaches (678 438 lignes, ventilation particuliers/professionnels, seuils de revenu) et sont présentés comme tels, distincts du périmètre officiel d'environ 350 000 particuliers et 250 000 professionnels. Le décompte de « 48 jours » et l'écart de sept semaines sont des estimations concordantes de la presse et du syndicat Solidaires Finances Publiques. Le chiffre de 57 000 habilitations DataPass est interministériel et ne se rapporte pas à la seule DGFiP : il est mobilisé comme ordre de grandeur, non comme mesure des accès fiscaux, aucun décompte des seuls tiers habilités DGFiP n'étant publié à ce jour. Le concept central retenu est celui de Perrow, préféré à une lecture purement contractuelle, parce qu'il éclaire mieux la localisation de l'accident dans l'interface. Le parallèle historique développé est le contrôle CNIL du STIC (2009 et 2013), retenu pour sa proximité structurelle avec le cas, l'épisode FICOBA de février 2026 étant traité comme récurrence immédiate et non comme précédent historique. L'audit ANSSI n'étant pas public à la date de rédaction, aucune de ses conclusions n'est présentée comme acquise.

---

Sources

Sources primaires institutionnelles

Ministère de l'Action et des Comptes publics, communiqué de presse N°953, « Accès illégitimes au système d'information de la Direction générale des Finances publiques », 14 août 2026, https://presse.economie.gouv.fr/?p=182374

CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 24 août 2026, https://www.cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours

Ministère de l'Économie, communiqué « Accès illégitimes au fichier national des comptes bancaires (FICOBA) », 18 février 2026, https://presse.economie.gouv.fr/?p=171314

DGFiP, FAQ « Accès illégitimes au système d'information de la DGFiP », economie.gouv.fr, août 2026, https://www.economie.gouv.fr/actualites/acces-illegitimes-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques-consulter-la-faq

Légifrance, article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822794/2019-06-01

DINUM, « Simplifier les démarches administratives grâce aux API » (DataPass, 57 000 habilitations, 13 administrations), numerique.gouv.fr, https://www.numerique.gouv.fr/offre-accompagnement/expertise-api-donnees/

Rapports officiels et contrôles

CNIL, rapport de contrôle du fichier STIC, janvier 2009, et rapport sur les fichiers d'antécédents STIC/JUDEX/TAJ, 2013

Cour des comptes, « Les enjeux de souveraineté des systèmes d'information civils de l'État », https://www.ccomptes.fr/fr/publications/les-enjeux-de-souverainete-des-systemes-dinformation-civils-de-letat

ANSSI, « Recommandations relatives à l'administration sécurisée des systèmes d'information » (R59 à R71 sur les accès de tiers), mai 2021, https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-admin*securisee*si*ad*v1-0%20(3).pdf

Cadres théoriques

Charles Perrow, Normal Accidents: Living with High-Risk Technologies, Basic Books, 1984

Michael C. Jensen, William H. Meckling, « Theory of the Firm: Managerial Behavior, Agency Costs and Ownership Structure », Journal of Financial Economics, vol. 3, n° 4, 1976, p. 305-360, https://ideas.repec.org/a/eee/jfinec/v3y1976i4p305-360.html

Parallèles historiques

Franceinfo, « Fichiers de police STIC : la Cnil pointe des défaillances », 2013

Next, « Fichiers de police : la CNIL tique encore sur les bugs du STIC », 2013, https://www.nextinpact.com/article/6824/80545-fichiers-police-cnil-tique-encore-sur-bugs-stic

Presse spécialisée

FrenchBreaches, « Fuite de données de la DGFiP : ce que révèlent les données de 678 000 personnes », https://frenchbreaches.com/blog/fuite-de-donnees-de-la-dgfip-ce-que-revelent-les-donnees-de-678-000-personnes

Toutsurmesfinances, « Piratage de la DGFiP : comment le fisc a laissé passer le vol de données », https://www.toutsurmesfinances.com/actualites/a/piratage-de-la-dgfip-comment-le-fisc-a-laisse-passer-le-vol-de-donnees

Acteurs Publics, « Données fiscales dérobées : la DGFiP face à une crise de confiance », https://acteurspublics.fr/articles/apres-la-cyberattaque-de-la-dgfip-des-mesures-durgence-mais-des-questions-qui-demeurent/

Solidaires Finances Publiques Paris, « Cyberattaque à la DGFiP : interpellation du directeur régional », https://sections.solidairesfinancespubliques.info/750/1020-cyberattaque-a-la-dgfip-interpellation-du-directeur-regional.html

Archimag, « DGFiP piratée : la cybersécurité de l'État sous pression », 20 août 2026, https://www.archimag.com/vie-numerique/2026/08/20/dgfip-piratee-cybersecurite-etat-sous-pression

Incyber, « Transposition de NIS2 : l'examen à l'Assemblée nationale reporté », https://incyber.org/article/transposition-nis2-examen-assemblee-nationale-reporte-plus-tot-septembre-2026/