Publié le 8 octobre 2026 à 05:00 · Publication originale
ATTO I
7 octobre 2026.
Le Figaro revient ce matin sur les failles cyber de l'État.
Le rapport publié par l'ANSSI sur les attaques contre la DGFiP permet d'aller beaucoup plus loin.
Entre mai et août, deux périmètres ont été compromis: impots.gouv.fr et des données cadastrales.
L'attaque n'a pas commencé par un exploit spectaculaire.
Les assaillants ont utilisé des identifiants légitimes volés à des utilisateurs de la DGFiP, récupérés après usage sur des équipements personnels.
Certains accès sensibles n'imposaient pas d'authentification forte.
Puis l'architecture a fait le reste.
ATTO II
Des applications métier sensibles étaient accessibles depuis Internet ou depuis le Réseau interministériel de l'État sans cloisonnement suffisant.
L'ANSSI documente même un risque de latéralisation depuis des ressources d'organismes tiers, notamment le ministère de l'Éducation nationale.
C'est un point d'architecture majeur.
Un identifiant compromis peut devenir une passerelle lorsque identité, segmentation réseau et politiques d'accès ne limitent pas suffisamment son rayon d'action.
Puis vient le troisième échec: la détection.
Aucune des deux vagues d'exfiltration n'a été identifiée par les moyens de supervision de la DGFiP ou de l'ANSSI.
Un portail utilisé pour sortir des données n'était pas supervisé. Aucun mécanisme ne corrélait les signaux suspects.
La sécurité avait donc des contrôles.
Elle ne possédait pas encore une chaîne suffisamment cohérente entre IAM, MFA, segmentation et observabilité.
ATTO III
Le calendrier réglementaire rend le sujet plus piquant.
La directive européenne sur la résilience des entités critiques devait être transposée avant le 17 octobre 2024.
La Commission a saisi la Cour de justice contre la France en mai 2026 et réclame au minimum 14,557 millions d'euros, avec une astreinte pouvant atteindre 336.804,48 euros par jour après jugement en cas de non-conformité persistante.
NIS2 reste également en attente de transposition nationale, même si l'ANSSI a déjà publié son référentiel ReCyF.
Voilà une fonction de VOCE: relier l'incident technique à l'architecture institutionnelle qui devait justement réduire sa probabilité.
Une fuite de données révèle alors IAM, réseau, détection, gouvernance et calendrier réglementaire dans le même système.
FINALE
Dans "Otello", Iago n'enfonce pas les portes.
Il exploite la confiance déjà accordée.
La cybersécurité moderne possède la même faiblesse fondamentale.
Une identité reconnue peut devenir plus dangereuse qu'une intrusion visible.