Cyberattaque de la DGFiP : le vol d’identifiants rappelle l’urgence de renforcer la protection anti-phishing

Les 12 et 13 août 2026, un acteur malveillant a revendiqué plusieurs accès illégitimes au système d’information de la Direction générale des Finances publiques, la DGFiP.

Les investigations ont confirmé que des accès frauduleux avaient eu lieu en juin et juillet 2026 en utilisant les identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité. Avant leur interruption, ces accès ont permis la consultation et l’extraction de données concernant environ 678 000 particuliers et professionnels.

Cet incident majeur rappelle une réalité devenue incontournable pour les entreprises, collectivités et administrations : la protection des identités numériques et de la messagerie électronique est aujourd’hui un élément central de la cybersécurité.

Une cyberattaque reposant sur des identifiants légitimes compromis

Contrairement à l’image classique du pirate informatique exploitant nécessairement une faille logicielle complexe, l’attaque contre la DGFiP s’est notamment appuyée sur des comptes disposant d’identifiants valides.

Pour un système d’information, ce type d’attaque est particulièrement difficile à identifier : l’attaquant ne cherche pas forcément à « forcer la porte », il tente de se connecter en utilisant les accès d’un utilisateur légitime.

Les accès compromis ont rapidement été désactivés, mais les investigations menées à ce moment-là n’avaient pas permis d’identifier l’extraction des données. La DGFiP a indiqué que la sophistication de l’attaque avait rendu cette détection particulièrement difficile.

L’affaire a depuis donné lieu à une enquête judiciaire. Un jeune homme de 18 ans, soupçonné d’appartenir au groupe ZeroBytes et d’avoir participé aux attaques visant la DGFiP, a notamment été mis en examen et placé en détention provisoire.

Le phishing est-il à l’origine de la cyberattaque de la DGFiP ?

A ce jour, aucun élément officiel ne permet d’affirmer que les identifiants utilisés lors de l’attaque ont été récupérés à la suite d’un email de phishing.

Les autorités parlent d’identifiants « usurpés » ou « compromis », sans détailler précisément leur méthode d’obtention. Une compromission peut avoir différentes origines : phishing, logiciel malveillant de type infostealer, réutilisation d’un mot de passe compromis, vol de session ou autre technique.

Il est donc important de ne pas présenter cette cyberattaque comme une attaque par phishing tant que l’enquête ne l’a pas établi.

Pour autant, cet incident illustre parfaitement le risque représenté par le vol d’identifiants, qui constitue justement l’un des principaux objectifs des campagnes de phishing modernes.

Cybermalveillance.gouv.fr indique que l’hameçonnage est l’un des principaux modes opératoires utilisés par les cybercriminels pour dérober des données personnelles, des identifiants et des mots de passe. En 2025, le phishing représentait même environ un tiers des demandes d’assistance tous publics confondus reçues par la plateforme.

Une fuite de données qui peut alimenter de nouvelles campagnes de phishing

L’autre enseignement essentiel de cette cyberattaque concerne les conséquences du vol de données.

Les informations susceptibles d’avoir été consultées comprennent notamment l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques ainsi que différentes informations relatives à la situation fiscale des personnes concernées.

Pour un cybercriminel, ces informations constituent une matière première particulièrement précieuse.

Un email frauduleux mentionnant le nom d’une personne, son adresse, certaines informations fiscales ou faisant référence à une démarche administrative réelle sera évidemment beaucoup plus crédible qu’un phishing générique envoyé au hasard.

C’est précisément l’une des conséquences identifiées par la DGFiP : les données dérobées peuvent être utilisées pour réaliser des tentatives d’hameçonnage ou des fraudes par manipulation beaucoup plus convaincantes.

Nous entrons ainsi dans une logique de spear phishing, c’est-à-dire un phishing personnalisé et ciblé, dans lequel l’attaquant dispose déjà d’informations lui permettant de construire un scénario crédible.

Le phishing moderne ne ressemble plus forcément à un mauvais email rempli de fautes

Les techniques d’hameçonnage ont considérablement évolué.

Les attaquants sont aujourd’hui capables de reproduire précisément l’identité visuelle d’une administration, d’une banque, d’un fournisseur ou d’un service Microsoft 365. Les données issues de précédentes fuites leur permettent également de personnaliser fortement leurs messages.

L’intelligence artificielle générative facilite encore la création de contenus convaincants, correctement rédigés et adaptés au contexte de la victime.

La sensibilisation des utilisateurs reste indispensable, mais elle ne peut donc plus constituer la seule ligne de défense.

Une organisation doit être capable de détecter et bloquer le message avant même qu’il n’arrive dans la boîte de réception de l’utilisateur.

Une solution anti-spam et anti-phishing est devenue indispensable

La messagerie reste au coeur de l’activité quotidienne des organisations et constitue logiquement une cible privilégiée pour les cybercriminels.

Mettre en place une passerelle de sécurité dédiée permet d’ajouter une couche de protection entre Internet et le serveur de messagerie de l’entreprise.

Cette protection doit aujourd’hui aller beaucoup plus loin qu’un simple filtrage basé sur quelques mots-clés ou sur l’adresse de l’expéditeur.

Elle doit analyser simultanément la réputation des adresses IP et des domaines, l’identité de l’expéditeur, les mécanismes SPF, DKIM et DMARC, le contenu du message, les pièces jointes, les URL présentes dans le courrier ainsi que différents signaux permettant d’identifier une usurpation ou un comportement inhabituel.

Aucune technologie ne peut garantir à elle seule une protection de 100 %. La sécurité doit rester multicouche, notamment avec l’authentification forte, la protection des postes de travail, le contrôle des accès et la sensibilisation des utilisateurs.

Mais une protection anti-phishing dédiée constitue aujourd’hui une barrière de sécurité indispensable pour toute organisation exposée à Internet.

MailSecure : une protection française de la messagerie contre le phishing

C’est précisément l’objectif de MailSecure, la solution française de sécurisation des messageries professionnelles développée et opérée par Promatec.

MailSecure agit comme une passerelle de sécurité entre Internet et votre infrastructure de messagerie afin d’analyser les messages entrants avant leur distribution.

La solution combine plusieurs technologies complémentaires : filtrage anti-spam et anti-phishing, analyse SPF, DKIM et DMARC, moteurs antivirus, analyse de réputation, contrôle des URL et intelligence artificielle.

MailSecure dispose également de ses propres systèmes de réputation RBL et RHSBL, permettant d’identifier et de bloquer des adresses IP ou des domaines associés à des comportements malveillants.

Cette approche propriétaire vient compléter les différentes sources de Threat Intelligence exploitées par la plateforme.

MailSecure IA+ : analyser le contexte, pas seulement le message

Face à des attaques de plus en plus ciblées, la détection ne peut plus uniquement reposer sur des signatures techniques.

Avec MailSecure IA+, MailSecure ajoute une couche d’analyse intelligente permettant d’étudier le contexte du message, son contenu, les liens présents et différents signaux de risque.

Le moteur Mail Analyser participe à l’identification des messages suspects et fournit une analyse contextualisée du niveau de risque.

Le Link Analyzer analyse les liens présents dans les emails et complète la protection contre les URL malveillantes ou les sites utilisés dans les campagnes de phishing.

Le système peut également s’appuyer sur la réécriture des URL afin de renforcer le contrôle des liens au moment de leur utilisation.

MTI : mieux identifier les tentatives d’usurpation

MailSecure intègre également son propre référentiel de Threat Intelligence, MailSecure Threat Intelligence ou MTI.

Ce référentiel permet notamment de corréler l’identité affichée dans un email avec les domaines d’expédition, les adresses utilisées, les domaines présents dans les liens et différents éléments contextuels.

L’objectif est notamment d’identifier les tentatives d’usurpation de marques et de services particulièrement ciblés par les cybercriminels : administrations françaises, Microsoft 365, services bancaires, opérateurs, plateformes de paiement, transporteurs ou acteurs du commerce électronique.

Cette approche devient particulièrement importante face au spear phishing, dans lequel un message peut techniquement sembler légitime tout en tentant d’usurper l’identité d’une organisation connue.

La souveraineté des outils de cybersécurité devient également stratégique

La protection d’une messagerie professionnelle implique nécessairement le traitement de données potentiellement sensibles.

Le choix de la solution utilisée ne doit donc pas uniquement reposer sur ses capacités techniques. La localisation des infrastructures et la maîtrise des données deviennent elles aussi des critères de cybersécurité.

MailSecure est une solution anti-spam française, développée et opérée en France, avec des infrastructures et des traitements IA hébergés en France.

Cette approche permet aux entreprises, collectivités et organismes publics de renforcer la protection de leurs messageries tout en conservant une approche souveraine de leurs données.

Cyberattaque de la DGFiP : un rappel pour toutes les organisations

La cyberattaque ayant touché la DGFiP ne doit pas être considérée comme un incident isolé réservé aux grandes administrations.

Le vol d’un identifiant, la compromission d’un compte ou un simple clic sur un email frauduleux peuvent constituer le point de départ d’une attaque beaucoup plus importante.

Et lorsqu’une fuite de données intervient, les informations dérobées servent régulièrement à préparer de nouvelles attaques encore plus ciblées.

La protection de la messagerie doit donc être envisagée comme une composante essentielle de la stratégie de cybersécurité.

Avec MailSecure, les organisations disposent d’une solution française combinant filtrage anti-spam, protection anti-phishing, Threat Intelligence propriétaire, RBL, analyse des liens et intelligence artificielle IA+ afin de renforcer leur protection face aux menaces qui ciblent quotidiennement leurs utilisateurs.

Protégez votre messagerie avec MailSecure

Entreprises, collectivités, établissements publics et organisations peuvent tester MailSecure avant sa mise en production.

Protégez vos utilisateurs avant que le message malveillant n’atteigne leur boîte de réception.

FAQ : cyberattaque DGFiP et phishing

La cyberattaque de la DGFiP a-t-elle été provoquée par un phishing ?
Ce n’est pas établi à ce jour. Les autorités ont confirmé l’utilisation d’identifiants compromis appartenant à un agent de la DGFiP et à un tiers habilité, mais n’ont pas indiqué publiquement comment ces identifiants avaient été récupérés.

Combien de personnes ont été concernées par le vol de données de la DGFiP ?
Le communiqué du ministère de l’Economie et des Finances fait état d’environ 678 000 particuliers et professionnels dont certaines données ont été consultées ou extraites.

Pourquoi cette fuite augmente-t-elle le risque de phishing ?
Les cybercriminels peuvent utiliser les données personnelles récupérées pour personnaliser leurs messages et rendre leurs tentatives d’hameçonnage plus crédibles. La DGFiP alerte elle-même sur ce risque.

Comment protéger une entreprise contre le phishing ?
La protection doit combiner sensibilisation, authentification forte, sécurisation des postes et filtrage avancé de la messagerie. Une passerelle comme MailSecure analyse les emails en amont afin d’identifier les expéditeurs suspects, les domaines malveillants, les URL dangereuses et les tentatives d’usurpation.

Pour les sources à intégrer éventuellement en bas de l’article, je privilégierais le communiqué officiel de Bercy, la FAQ DGFiP et Cybermalveillance.gouv.fr plutôt que des articles de presse secondaires. Communiqué officiel du ministère de l’Economie et des Finances Informations et recommandations de la DGFiP Dossier phishing de Cybermalveillance.gouv.fr