Après la révélation, le 13-14 août 2026, du piratage du système d'information de la DGFiP (678 438 contribuables concernés), le ministère de l'Économie et des Finances a présenté le 19 août un plan de réponse combinant mesures techniques immédiates — dont un programme de bug bounty — et mesures structurelles à horizon fin 2026. Ce plan se déploie alors même qu'une enquête pénale, ouverte par le parquet de Paris pour extraction frauduleuse de données et association de malfaiteurs, est en cours. Ce calendrier illustre, à l'échelle d'une administration, les arbitrages qu'un établissement financier doit conduire en parallèle lorsqu'un incident cyber majeur déclenche à la fois son plan de continuité d'activité et une procédure judiciaire.
Un plan de riposte annoncé sous pression médiatique et politique
Le 19 août 2026, le ministre chargé des Comptes publics a détaillé un ensemble de mesures destinées à renforcer la sécurité du système d'information de la DGFiP, quelques jours après la confirmation officielle du piratage. Trois axes structurent ce plan :
- Un programme de bug bounty, ouvrant la détection de vulnérabilités sur les services numériques de la DGFiP à des chercheurs en sécurité rémunérés pour tout signalement de faille ;
- La généralisation de la double authentification à l'ensemble des agents de la DGFiP, avec un objectif affiché de fin d'année 2026, accompagnée d'une revue complète des accès des partenaires externes et de quotas d'accès aux données ;
- Un audit du système d'information confié à l'ANSSI (Agence nationale de la sécurité des systèmes d'information), dont les conclusions sont attendues en septembre 2026, complété par le déploiement de capteurs de détection précoce sur l'ensemble des systèmes et l'intensification des campagnes de simulation de phishing en interne.
Le plan intervient dans un contexte où trois intrusions distinctes ont été recensées entre fin juin et le 17 août 2026, touchant le système fiscal, le serveur cadastral (SPDC) et le portail des successions vacantes — ce qui a conduit plusieurs commentateurs spécialisés à qualifier la réponse initiale de communication en demi-teinte, plus que de dispositif de gestion de crise pleinement abouti.
Une procédure judiciaire ouverte en parallèle
Le parquet de Paris a ouvert une enquête confiée à la section J3 (lutte contre la cybercriminalité) et à l'Office anti-cybercriminalité (Ofac). Les investigations portent notamment sur l'extraction frauduleuse de données contenues dans un système de traitement automatisé mis en œuvre par l'État, ainsi que sur la participation à une association de malfaiteurs en vue de la préparation d'un délit puni d'au moins cinq ans d'emprisonnement. L'enquête a été déclenchée après la revendication publique du vol par un acteur se présentant sous le pseudonyme « ZeroBytes », le 12 août 2026, sur un forum spécialisé — revendication ayant elle-même précédé de quelques heures l'alerte transmise à l'ANSSI.
Cette coexistence entre plan de remédiation technique et enquête pénale en cours n'a rien d'exceptionnel : c'est la configuration normale de toute gestion d'incident cyber significatif touchant une entité soumise à des obligations de sécurité renforcées. Mais elle impose une discipline particulière, que le dossier DGFiP illustre par la négative autant que par la positive.
Le bug bounty, la revue d'accès et l'audit ANSSI constituent des actions correctives légitimes et nécessaires. Elles ne doivent cependant pas être engagées sans coordination avec l'autorité judiciaire saisie : toute intervention technique sur les systèmes concernés — correction de vulnérabilité, purge de logs, changement de configuration — est susceptible d'affecter des éléments de preuve utiles à l'enquête pénale en cours. Un plan de réponse à incident doit prévoir, en amont, un point de contact formalisé avec les enquêteurs avant toute action corrective sur le périmètre compromis.
Ce que cela signifie pour les plans de continuité DORA
Pour un établissement financier soumis au règlement DORA, ce scénario est directement transposable à l'exercice de test de résilience opérationnelle numérique. Trois enseignements opérationnels s'en dégagent.
Premièrement, le recours à un programme de bug bounty ou à des tests d'intrusion externes s'inscrit dans les outils de détection et de remédiation que DORA attend des entités financières dans le cadre de leur programme de tests de résilience — mais son déclenchement, en pleine gestion de crise, doit être séquencé pour ne pas interférer avec une procédure judiciaire ou de notification réglementaire déjà engagée.
Deuxièmement, la généralisation d'un contrôle d'accès renforcé (authentification forte, quotas d'accès, revue des accès tiers) après incident illustre une mesure corrective classique, mais aussi un aveu implicite : ces contrôles, une fois durcis en urgence, auraient dû figurer dans le dispositif de sécurité permanent. Pour un établissement financier, l'enseignement est préventif : la cartographie des accès privilégiés et des accès tiers doit être revue en amont d'un incident, non en réaction à celui-ci.
Troisièmement, le recours à un audit externe indépendant (ici l'ANSSI) après la survenance d'un incident majeur fait écho à l'obligation, pour les entités financières importantes au sens de DORA, de conduire des tests avancés fondés sur la menace (TLPT) et des audits indépendants de leur dispositif de résilience opérationnelle numérique — un exercice que le calendrier de l'affaire DGFiP illustre a posteriori plutôt qu'en amont.
Points de vigilance pour la fonction risque opérationnel
- Formaliser, avant tout incident, la séquence de coordination entre équipe de réponse à incident (CSIRT/SOC), fonction juridique et autorité judiciaire éventuellement saisie, afin d'éviter tout arbitrage improvisé entre remédiation technique urgente et préservation des preuves.
- Distinguer, dans la communication de crise, les mesures immédiates de confinement des mesures structurelles à moyen terme — la confusion des deux registres, observée dans la communication initiale de la DGFiP, a nourri la perception d'un plan de riposte peu convaincant.
- Vérifier que les programmes de bug bounty ou de tests d'intrusion externes s'inscrivent dans le périmètre déjà couvert par le programme de tests de résilience DORA, plutôt que d'être improvisés en réponse à un incident déjà survenu.
Ministère de l'Économie et des Finances / DGFiP, communiqués et annonces des 13, 14, 18 et 19 août 2026 ; parquet de Paris, communication relative à l'ouverture d'enquête (section J3 / Ofac), août 2026 (faits confirmés par recoupement de plusieurs sources de presse spécialisées : Silicon.fr, Mac4ever, Echos Plus, Clubic, Europe1). Cadre réglementaire DORA : règlement (UE) 2022/2554, articles relatifs aux tests de résilience opérationnelle numérique — le rattachement précis des tests avancés fondés sur la menace (TLPT) au périmètre exact d'une entité comme la DGFiP n'a pas pu être revérifié à la source dans cette session et est présenté ici à titre de mise en perspective, non comme une qualification juridique arrêtée. Sources consultées le 4 septembre 2026.
Recevez nos prochaines publications par email — France-Europe et/ou Zone UEMOA.