Piratage du fisc: des "fragilités" et des "lacunes", déplore une note du Sénat

Le piratage massif du fisc cet été a révélé « plusieurs fragilités structurelles des systèmes d’information », selon une note du Sénat consultée mardi par l’AFP, qui fait état aussi de « lacunes dans les contrôles réalisés à la suite de ces incidents ».

Cette communication a été envoyée vendredi aux membres de la commission des Finances du Sénat par le président de cette commission Claude Raynal (PS) et le rapporteur général du Budget au Sénat Jean-François Husson (LR).

Elle résume les résultats des travaux qu’ils ont menés après les intrusions survenues fin juin et fin juillet dans les systèmes d’information de la Direction générale des finances publiques (DGFiP), ayant entraîné le vol de données d’au moins 678.000 particuliers et professionnels, selon la DGFiP.

Les deux sénateurs, qui ont notamment auditionné la directrice générale des Finances publiques Amélie Verdier, reviennent d’abord sur la chronologie des faits.

Un premier incident a conduit au vol de données fiscales par un accès frauduleux à l’application « e-contact » de l’administration fiscale, utilisée par les agents pour gérer les relations avec les usagers, résument-ils.

Deux attaques ont eu lieu dans le cadre de cet incident, du 23 au 25 juin puis du 21 au 23 juillet, en utilisant le compte d’agents. Leurs mots de passe auraient « probablement été dérobés par des logiciels malveillants présents sur leurs équipements personnels ».

Un autre incident s’est déroulé du 27 juillet au 8 août, avec une extraction de données cadastrales qui « aurait concerné 434.564 foyers ».

Puis un troisième, détecté le 17 août, a concerné « l’accès à des données relatives aux successions vacantes ».

Les sénateurs concluent à « des lacunes dans les contrôles » effectués par la suite. Les contrôles après le premier incident n’ont ainsi pas permis de détecter le vol des données, qui n’a été établi « qu’après leur revendication par l’assaillant », disent-ils.

Dans un contexte « marqué par une multiplication des cyberattaques » (7.810 détectées en 2026 à fin août), ils estiment que ces piratages ont montré « plusieurs fragilités structurelles des systèmes d’information de la DGFiP ».

Une première fragilité « tient à la multiplication des canaux d’accès aux applications et aux données de la DGFiP », écrivent-ils. Les sénateurs relèvent aussi « l’absence de dispositifs permettant de détecter automatiquement un volume anormal de consultations ou d’extractions des bases de données ».

Ces défaillances « appellent un renforcement des dispositifs de protection », soulignent-ils.