Cyberattaque de la DGFiP : l'Anssi lance Reactiv, le Sénat pointe les limites des accès partagés
Demandée mi-août par Sébastien Lecornu après la cascade de fuites de données visant l'État, la force d'intervention rapide de l'Anssi a été officialisée le 7 septembre 2026 sous le nom de Reactiv. La commission des finances du Sénat a de son côté livré une première analyse de la cyberattaque de la DGFiP, tandis que la justice procédait à une première mise en examen.
© Adobe stock
Le 7 septembre 2026, l'Anssi a annoncé la création de Reactiv, acronyme de "Réponse et action interministérielle face aux violations de données", répondant ainsi à une demande du Premier ministre, à la suite des attaques subies par la DGFiP cet été (voir notre article du 31 août 2026).
La main sur la communication
Le communiqué annonce "un basculement immédiat des efforts opérationnels de l'agence" vers les ministères touchés par une compromission de comptes ou une violation de données. En clair, ce n'est pas une "nouvelle" force mais un redéploiement de moyens, en complément de ce dont disposent déjà les ministères. L'agence ne fournit d'ailleurs aucun chiffre sur le contingent susceptible d'être mobilisé, notamment en cas d'attaques sur plusieurs fronts.
En revanche, les prérogatives de ces agents seront étendues. L'agence pourra désormais imposer aux administrations, dans des délais contraints, les mesures de protection qui s'imposent, et centralisera la communication technique de crise. Reactiv est annoncé comme un "complément" à la feuille de route 2026-2027 de la sécurité numérique de l'État, dont l'exécution doit être "accélérée". L'articulation avec Ariane, la future autorité numérique associant Dinum et DITP, attendue pour 2027, reste également à préciser.
La multiplication des accès en cause
Si l'audit confié à l'Anssi est toujours en cours, on en sait un peu plus sur les attaques ayant affecté la DGFiP via une note reprise par plusieurs médias dont Public Sénat. Signée du président de commission des finances du Sénat, Claude Raynal (PS), et de son rapporteur, Jean-François Husson (LR), elle s'appuie notamment sur une audition d'Amélie Verdier, directrice générale des finances publiques.
La note pointe plusieurs "fragilités structurelles" du système d'information de la DGFiP et en particulier une multiplication des accès tiers, autrement dit par des personnes qui ne sont pas des agents de la DGFiP. Ainsi, lors de la première attaque, ce sont les identifiants d'un agent de l'Éducation nationale qui ont été exploités pour entrer sur le réseau interministériel de l'État. Ceux des agents de la DGFiP, utilisés pour s'authentifier sur Ader, un portail applicatif du fisc, auraient été récupérés via un logiciel espion (infostealer). L'intrusion sur le cadastre a également transité par le compte usurpé d'un géomètre-expert, celle sur les successions exploitant une faille logicielle. Les sénateurs plaident pour un "meilleur équilibre entre la circulation des données et la sécurisation des accès", et relèvent l'absence de tout dispositif détectant les extractions massives, comme l'absence de double authentification sur un compte pourtant couvert par le secret fiscal.
En réponse, la DGFiP a indiqué que l'accès à Ader avait été restreint, notamment pour les applications les plus sensibles. L'application e-contact, à l'origine de la première fuite, sera dotée d'une double authentification et le fisc élargira le recours aux hackers éthiques. La note révèle enfin l’intensification de la menace : la DGFiP a détecté :
- 2.579 cyberattaques en 2023,
- 6.972 en 2025,
- et déjà 7.810 à fin août 2026.
Arrestations, plaintes et possibles sanctions
Sur le volet judiciaire, le parquet de Paris a annoncé le 4 septembre la mise en examen et l'incarcération d'un homme de 18 ans, membre présumé du groupe ZeroBytes, déjà poursuivi pour d'autres cyberattaques. Un second suspect, mineur, a été relâché, son matériel informatique étant analysé.
La Cnil mène de son côté sa propre enquête. Cependant, on peut d'ores et déjà s'interroger sur les suites qui seront données à ses investigations, au-delà des rappels et recommandations prévisibles. La loi interdit en effet à l'autorité indépendante de prononcer des sanctions financières contre l'État. Il reste à savoir ce que décideront les juges administratifs. Une action indemnitaire coordonnée contre l'État a en effet été lancée par un avocat. Elle revendiquait fin août environ un millier de plaignants.
