Introduction
Le 12 août 2026, un acteur malveillant opérant sous le pseudonyme ZeroBytes a mis en vente sur un forum cybercriminel une base de données appartenant à la Direction générale des Finances publiques. C'est par cette annonce — et non par ses propres systèmes de surveillance — que la DGFiP a découvert être compromise. L'intrusion remontait à juin, soit plusieurs semaines plus tôt. Ce délai dit tout.
Ce qui a été dérobé
La brèche concerne directement 678 000 particuliers et professionnels. Les données exposées incluent les revenus fiscaux de référence, le quotient familial, le taux de prélèvement à la source, des informations cadastrales, ainsi que les noms et numéros SIREN d'entreprises. Un second volet, lié à la plateforme d'accès aux données cadastrales pour les professionnels, étend potentiellement l'impact à deux millions de propriétaires. La DGFiP a précisé que les espaces personnels et mots de passe des usagers n'avaient pas été compromis, mais que ces informations facilitent des tentatives de phishing très ciblées.
L'attaque n'a exploité aucune faille applicative. Elle repose intégralement sur la compromission d'identifiants légitimes : ceux d'un agent DGFiP et ceux d'un prestataire externe disposant d'un accès autorisé aux systèmes. Deux vecteurs d'entrée, zéro alerte pendant des semaines.
L'angle mort de la surveillance statique
Ce silence opérationnel est le vrai sujet. Les journaux d'activité ont enregistré ces connexions : les identifiants étaient valides, les accès formellement autorisés. Un SIEM configuré autour de règles statiques n'y voit rien d'anormal.
C'est précisément ce que cherchent à corriger les systèmes d'analyse comportementale des utilisateurs et entités — les outils UEBA. Plutôt que de comparer chaque action à une bibliothèque de signatures malveillantes connues, ils construisent un profil de comportement normal pour chaque compte : volumes de requêtes habituels, horaires de connexion, catégories de données consultées, origine géographique des sessions. Toute déviation significative, même avec des identifiants valides, génère une alerte.
Les modèles de machine learning sous-jacents s'entraînent sur les historiques comportementaux réels de l'organisation et s'ajustent en continu. Plusieurs éditeurs proposent ces capacités en extension native de leurs SIEM ou directement au sein de plateformes XDR. Appliqués à ce scénario, des volumes de consultation inhabituels ou des séquences d'extraction atypiques auraient vraisemblablement suffi à déclencher une investigation bien avant que l'attaquant ne publie sa base à la vente.
Le risque tiers, toujours sous-estimé
La compromission des identifiants du prestataire externe illustre une réalité structurelle que l'on retrouve dans les organisations publiques comme dans le secteur privé. Les accès accordés aux tiers — intégrateurs, éditeurs, sous-traitants, cabinets d'audit — échappent souvent aux cycles de revue habituels et bénéficient d'une surveillance moins granulaire que les comptes internes. Leur périmètre d'action peut pourtant être très étendu.
Pour les équipes IT et RSSI, les principes sont bien connus mais insuffisamment déployés : moindre privilège pour tout compte externe, gestion des accès à privilèges (PAM) avec sessions tracées et limitées dans le temps, révision périodique des droits accordés aux prestataires inactifs. L'analyse comportementale est le complément naturel de ces dispositifs — elle agit là où les règles statiques demeurent aveugles.
Ce que les entreprises concernées doivent anticiper
Pour les organisations dont les données SIREN et informations fiscales figurent dans la base volée, le risque immédiat est l'ingénierie sociale ciblée. Un interlocuteur qui connaît la situation fiscale d'une entreprise, ses dirigeants ou sa situation foncière gagne considérablement en crédibilité. La sensibilisation des équipes à ces tentatives de phishing enrichi — y compris au niveau de la direction générale — est une mesure à prendre sans attendre la notification officielle de la DGFiP.
La CNIL, l'ANSSI et le parquet de Paris, via l'Office anti-cybercriminalité, sont impliqués dans les suites judiciaires et réglementaires de l'affaire. Pour les DSI et RSSI, la leçon dépasse le seul secteur public : la détection ne peut plus reposer uniquement sur des règles rédigées avant que l'attaque ne soit connue. C'est précisément le rôle que l'analyse comportementale portée par le machine learning devait occuper ici — et ne l'a pas fait.