Après le piratage DGFiP, ce que la résilience opérationnelle impose aux établissements financiers

Ce qui s'est passé

Le 14 août 2026, le ministère de l'Économie et des Finances a annoncé, dans son communiqué de presse n°953, que le système d'information de la Direction générale des Finances publiques (DGFiP) avait fait l'objet d'accès illégitimes. Les mercredi 12 et jeudi 13 août 2026, un acteur malveillant a revendiqué ces accès, obtenus par l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, lors d'intrusions survenues en juin et juillet 2026.

Selon le communiqué officiel, la DGFiP avait interrompu les accès des comptes concernés dès la détection initiale des intrusions, mais les contrôles réalisés à cette occasion n'avaient pas permis d'identifier, en raison de la sophistication de l'attaque, que ces accès avaient servi à consulter et extraire des données. Ce n'est qu'à la suite d'investigations approfondies, menées à partir du 12 août 2026, que l'ampleur du vol de données a été établie : 678 000 particuliers et professionnels concernés, avec des données fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale pour les entreprises) et des données cadastrales (adresses, surfaces de biens immobiliers). Les identifiants et mots de passe des usagers, ainsi que leurs espaces personnels sur les sites des Finances publiques, n'ont pas été compromis.

La DGFiP a saisi la Commission nationale de l'informatique et des libertés (CNIL), qui l'a confirmé dans son propre communiqué du 18 août 2026 : les personnes concernées n'ont pas à déposer de plainte individuelle, la CNIL étant déjà saisie du dossier, sauf si elles disposent d'éléments utiles aux investigations en cours. La CNIL indique qu'elle pourra mener des vérifications sur pièces ou sur place afin de contrôler la conformité des mesures de sécurité à l'état de l'art, et qu'elle est susceptible de prononcer des sanctions en cas de manquement au RGPD ou à la loi Informatique et Libertés.

Le fil des faits confirmés à la source

Un cas d'école — à condition de ne pas se tromper de régime

La tentation, dans un cabinet de conseil réglementaire, est d'aller vite : « incident cyber majeur, détection tardive, tiers impliqué → DORA ». Ce raccourci est inexact et il faut le dire clairement à tout client qui poserait la question : la DGFiP est une administration publique, elle n'entre pas dans le champ d'application du règlement (UE) 2022/2554 (DORA), qui s'applique aux entités financières au sens de son article 2 — établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique, assurances, etc.

L'intérêt de ce dossier pour un établissement financier n'est donc pas réglementaire mais méthodologique : c'est un cas réel, documenté à la source, de détection tardive d'une exfiltration de données consécutive à un abus d'accès privilégié et à la compromission d'un tiers. Ce sont précisément les deux angles morts que le règlement DORA — et, en miroir, le RGPD pour la protection des données — cherchent à combler par des obligations de détection rapide et de notification encadrée dans le temps.

Ce que DORA aurait exigé si la DGFiP avait été un établissement financier

Le règlement DORA est applicable depuis le 17 janvier 2025, sans période transitoire supplémentaire. Il impose aux entités financières un dispositif de classification et de notification des incidents liés aux technologies de l'information et de la communication (TIC), précisé par deux textes d'application entrés en vigueur le 17 janvier 2025 : le règlement délégué (UE) 2024/1772 (critères de classification et seuils de matérialité) et le règlement délégué (UE) 2025/301, complété par le règlement d'exécution (UE) 2025/302 (contenu, modèles et délais de notification).

La classification en incident « majeur »

Un incident TIC est classé comme majeur lorsque le critère « services critiques affectés » est rempli et que l'un des deux éléments suivants est également constaté : un accès non autorisé de nature malveillante aux réseaux et systèmes d'information, ou le franchissement des seuils de matérialité définis pour au moins deux autres critères (clients/opérations affectés, impact réputationnel, durée, étendue géographique, pertes de données, impact économique).

Sur la base des éléments rendus publics par le ministère — accès non autorisés via des identifiants usurpés, exfiltration avérée de données concernant 678 000 personnes et entités, durée de plusieurs semaines avant détection complète — un incident de cette nature, survenu chez un établissement financier, franchirait vraisemblablement le seuil de l'incident majeur au sens de ces critères.

Les délais de notification : 4 heures, 24 heures, 72 heures, un mois

C'est le point sur lequel l'écart avec le cas DGFiP est le plus instructif. Selon le dispositif DORA applicable en France sous supervision de l'ACPR (établissements bancaires et assurances) ou de l'AMF (entreprises d'investissement), une fois l'incident classé comme majeur, l'entité financière doit :

• transmettre une notification initiale dans un délai de 4 heures après la classification de l'incident comme majeur, et en tout état de cause au plus tard 24 heures après la détection de l'incident ;
• transmettre un rapport intermédiaire dans un délai de 72 heures, documentant l'évolution de la gestion de l'incident ;
• transmettre un rapport final dans un délai d'un mois, incluant l'analyse des causes profondes et les mesures correctives mises en œuvre.

Dans le cas DGFiP, plusieurs semaines se sont écoulées entre les premières intrusions (juin 2026) et l'identification effective du vol de données (à partir du 12 août 2026), la détection initiale des accès frauduleux n'ayant pas permis, selon le communiqué officiel, d'identifier l'exfiltration en raison de la sophistication de l'attaque. C'est précisément le scénario que les seuils DORA et l'obligation de reclassification continue de l'incident cherchent à raccourcir : un établissement financier ne peut pas attendre la confirmation certaine d'une exfiltration de données pour démarrer l'horloge de notification — la classification doit intervenir dès que les critères de matérialité sont susceptibles d'être atteints, quitte à être complétée par les rapports intermédiaire et final.

La gouvernance des accès privilégiés et des tiers, angle mort classique

Le détail le plus significatif du communiqué officiel n'est pas le volume de données mais l'origine de l'intrusion : des identifiants usurpés appartenant à un agent de la DGFiP et à un tiers habilité. C'est un scénario que le règlement DORA (chapitre V, gestion du risque lié aux prestataires tiers de services TIC) et les orientations de l'ACPR sur l'externalisation traitent spécifiquement : un tiers disposant d'un accès légitime aux systèmes constitue une extension de la surface d'attaque de l'établissement, et doit être couvert par les mêmes exigences de gestion des accès, d'authentification renforcée et de surveillance que les comptes internes.

Pour un établissement financier, ce point se traduit par des questions concrètes à documenter dans le registre des prestataires tiers TIC : quels tiers disposent d'un accès direct aux systèmes critiques ? Cet accès est-il soumis à authentification forte et à une revue périodique des habilitations ? Les journaux d'accès des comptes tiers sont-ils inclus dans le périmètre de détection des anomalies au même titre que les comptes internes ?

Checklist opérationnelle pour les établissements financiers

• Vérifier que la procédure interne de classification des incidents TIC permet de déclencher une notification à l'ACPR/l'AMF dans les 4 heures suivant la classification, sans attendre la confirmation certaine d'une exfiltration de données
• Vérifier que les comptes des tiers habilités (prestataires, partenaires, agents externes) sont soumis aux mêmes contrôles d'authentification forte et de journalisation que les comptes internes
• S'assurer que le registre des prestataires tiers TIC identifie clairement les accès à privilèges élevés et leur date de dernière revue
• Vérifier l'articulation opérationnelle entre l'équipe qui notifie l'ACPR/l'AMF au titre de DORA et celle qui notifie la CNIL au titre du RGPD, pour éviter une notification incomplète ou tardive sur l'un des deux régimes
• Tester, au travers d'un exercice de simulation, le délai réel entre la détection d'un accès anormal et la capacité à confirmer ou infirmer une exfiltration de données — c'est ce délai qui a fait défaut dans le cas DGFiP
• Documenter, pour chaque incident classé majeur, le rapport intermédiaire à 72 heures même en l'absence d'éléments nouveaux significatifs, afin de sécuriser la preuve de conformité au calendrier réglementaire

Ce que ce dossier ne permet pas d'affirmer

Par souci de rigueur, il convient de préciser les limites de cette analyse : le volume exact de personnes concernées, la nature exacte de la faille technique exploitée pour l'usurpation d'identifiants, et l'issue de la plainte pénale annoncée par la DGFiP n'étaient pas connus à la date de rédaction. Aucun élément public ne permet à ce stade d'établir un lien entre cet incident et un établissement financier particulier ; la portée de cette analyse est strictement pédagogique et comparative.