Le 29 septembre 2026, l'ANSSI a rendu public son rapport sur la cyberattaque ayant visé la Direction générale des finances publiques. Résultat : 350 000 contribuables voient leurs données cadastrales, successorales et fiscales exfiltrées (source : ANSSI, rapport d'incident, 29 septembre 2026). Ce qui retient l'attention n'est pas le chiffre, mais l'analyse : l'agence identifie trois domaines de faiblesse opérationnelle, et aucun n'est spécifique à l'administration publique.
Ce que le rapport décrit
L'ANSSI ne caractérise pas l'attaque comme sophistiquée. Elle la décrit comme une exploitation de faiblesses dans trois domaines : l'identification, la détection et l'architecture informatique. Cette distinction est importante. Les attaques sophistiquées sont rares et difficiles à prévenir. Les faiblesses d'identification, de détection et d'architecture sont communes, répertoriées, et corrigibles.
Le rapport souligne en particulier le volume de comptes pour lesquels l'attaquant disposait de couples identifiants/mot de passe valides. L'agence précise que ce volume indique une exposition prolongée à des campagnes d'hameçonnage ou à des bases de données de crédentiels compromis. Ce n'est pas un accès initial sophistiqué. C'est une réutilisation de mots de passe récupérés ailleurs, sans barrière d'authentification supplémentaire.
Deuxième constat du rapport, formulé directement par l'ANSSI : « Le volume cumulé de requêtes que l'attaquant a dû générer aurait dû déclencher des alertes. » Ce n'est pas une hypothèse théorique. C'est un constat d'absence : les requêtes ont eu lieu, les volumes étaient anormaux, les alertes n'ont pas été générées.
Les trois angles morts en détail
Le premier angle mort concerne l'identification. L'attaquant a utilisé des crédentiels valides. La détection comportementale post-authentification, qui surveille ce qu'un compte fait une fois connecté plutôt que s'il a le droit de se connecter, n'était pas en place ou pas calibrée. L'absence d'authentification multifacteur systématique sur l'ensemble des applicatifs a abaissé la barrière d'entrée.
Le deuxième angle mort porte sur la détection. L'ANSSI pointe une supervision insuffisante et des accès excessifs aux ressources métier. Les deux sont liés : quand les droits d'accès sont larges, le bruit de fond est élevé, et les activités malveillantes se noient dans les activités légitimes. Configurer des seuils d'alerte pertinents suppose d'abord de réduire la surface d'accès jusqu'au principe de moindre privilège.
Le troisième angle mort touche à l'architecture. Le rapport mentionne une cartographie insuffisante des flux au sein du réseau. Un réseau insuffisamment segmenté ne contient pas les mouvements latéraux d'un attaquant ayant obtenu un premier accès. L'exfiltration peut traverser plusieurs systèmes sans que les flux ne soient reconnus comme anormaux, précisément parce qu'aucune référence de flux normal n'a été établie.
Pourquoi vos entités NIS2 partagent ces angles morts
Depuis le 1er août 2026, 99 violations de données ont été portées à la connaissance de l'ANSSI, dont 67 confirmées et 32 en cours de traitement (source : ANSSI, point de situation du 30 septembre 2026). Ce volume, sur deux mois, indique que le problème de la DGFiP n'est pas isolé.
Les mêmes faiblesses reviennent dans les incidents instruits par l'ANSSI et les autorités de contrôle européennes : crédentiels compromis utilisés sans alerte, détection réactive plutôt que comportementale, droits d'accès non révisés depuis des mois. Ce sont des dettes techniques et organisationnelles qui s'accumulent, pas des vulnérabilités zero-day.
Pour vos équipes NIS2, la question n'est pas « sommes-nous plus sécurisés que la DGFiP ? ». Elle est : est-ce que nos contrôles de détection couvrent les mêmes angles morts que ceux identifiés dans ce rapport ? Si votre SIEM n'a pas de règle de corrélation sur les volumes anormaux de requêtes, si votre MFA n'est pas déployé sur la totalité des applicatifs métier, si votre cartographie des flux n'a pas été mise à jour depuis le dernier changement d'architecture significatif, la réponse est probablement non.
Trois vérifications concrètes à mener maintenant
La première vérification porte sur votre couverture MFA. Listez tous les applicatifs qui accèdent à des données sensibles ou à des fonctions d'administration. Pour chacun, vérifiez si l'authentification multifacteur est active pour tous les comptes, y compris les comptes de service et les comptes de prestataires. Les exceptions sont les premières exploitées.
La deuxième vérification concerne vos règles de détection. Demandez à votre équipe SOC ou à votre prestataire de surveillance si des règles de corrélation existent pour les scénarios suivants : volume anormal de requêtes authentifiées depuis un même compte sur une courte période, accès depuis des horaires ou des géolocalisations inhabituels, téléchargement massif de fichiers depuis un accès distant. Si ces règles n'existent pas, c'est précisément ce que le rapport ANSSI identifie comme ayant manqué à la DGFiP.
La troisième vérification porte sur vos droits d'accès. Combien de comptes ont accès à des données métier sensibles sans que cet accès soit strictement nécessaire à leur fonction ? Une revue semestrielle des droits d'accès, documentée et tracée, est une exigence explicite du ReCyF v2.5 de l'ANSSI, renforcée dans la mise à jour de septembre 2026. Cette revue doit couvrir à la fois les comptes utilisateurs actifs et les comptes de service, qui sont fréquemment oubliés des programmes de moindre privilège.
Ce que la CNIL annonce en parallèle
La CNIL a annoncé qu'un contrôle auprès de la DGFiP suivra le vol de données. Pour les entités soumises à la fois à NIS2 et au RGPD, ce scénario, un incident de cybersécurité déclenchant simultanément un contrôle NIS2 et une investigation RGPD, est celui que vos procédures doivent anticiper. La coordination entre les deux régimes n'est pas automatique : les délais diffèrent, les destinataires diffèrent, et les informations à produire ne se recoupent que partiellement.
Les modalités pratiques de cette double procédure sont détaillées dans l'analyse RGPD et NIS2 : un incident, deux notifications. La DGFiP n'est pas une entité NIS2, mais le scénario qu'elle illustre est exactement celui que vos équipes risquent de rencontrer.
Ce que ce rapport impose à votre programme
Un rapport post-incident de l'ANSSI publiquement disponible devient une référence pour vos contrôleurs. Si votre programme NIS2 n'intègre pas les leçons des incidents majeurs instruits par l'agence, vous aurez des difficultés à justifier que vos mesures sont appropriées à l'état de la menace réel, au sens de l'article 21 de la directive.
Ce n'est pas une obligation formelle de reprendre point par point les recommandations de chaque rapport ANSSI. C'est une contrainte pratique : quand un rapport identifie des faiblesses systémiques dans l'écosystème français, les contrôleurs regardent naturellement si les mêmes faiblesses existent chez les entités qu'ils inspectent.
Les trois angles morts identifiés ici, identification par MFA insuffisant, détection comportementale absente, droits d'accès non maîtrisés, sont précisément les éléments que votre contrôleur NIS2 vérifiera en priorité. Vos prochaines actions n'ont pas à être nombreuses. Elles doivent être ciblées sur ces trois domaines, documentées, et datées.