Clermont-Ferrand, 16 août 2026
C'est la fuite de données publiques la plus commentée de l'été, et probablement la plus instructive. Le 12 août 2026, un acteur malveillant revendique publiquement un accès illégitime au système d'information de la Direction générale des Finances publiques. Le lendemain, l'administration confirme : des données fiscales ont bien été consultées et extraites. Le décompte communiqué porte sur environ 678 000 particuliers et professionnels, l'auteur revendiquant de son côté 678 438 lignes. Les personnes concernées sont informées individuellement à compter du lundi 17 août, la Commission nationale de l'informatique et des libertés est notifiée, une plainte est déposée, et le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs, confiée aux services spécialisés de lutte contre la cybercriminalité.
Pour un dirigeant d'entreprise, la tentation est de ranger l'affaire dans la catégorie « problème de l'État ». Ce serait une erreur d'analyse. Ce qui s'est passé à la DGFiP n'est pas un accident propre à l'administration fiscale : c'est le mode opératoire dominant de 2026, et il fonctionne aussi bien contre une PME de quarante salariés que contre une direction ministérielle.
Ce que l'on sait des faits
L'intrusion remonte à la fin du mois de juin 2026, avec des accès qui se sont poursuivis en juillet. Le vecteur n'est pas une vulnérabilité applicative spectaculaire mais une usurpation d'identité : celle d'un agent de la DGFiP et celle d'un tiers habilité. Avec ces identités, l'attaquant a obtenu un accès distant légitime, puis l'usage d'un outil interne de recherche permettant d'interroger aussi bien des particuliers que des professionnels. L'accès a été coupé fin juin dans le cadre des contrôles opérés, mais l'extraction avait déjà eu lieu, étalée dans le temps.
Les données concernées, pour les particuliers, comprennent notamment les nom et prénoms, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source ; pour les professionnels, la raison sociale et le numéro SIREN. L'administration a précisé que ces données ne permettent pas, en elles-mêmes, d'accéder à l'espace sécurisé du site impots.gouv.fr. Une seconde revendication, formulée le 14 août, porte sur une interface applicative liée à des données cadastrales ; d'autres organisations françaises ont par ailleurs été citées par le même acteur.
La vraie leçon : l'attaquant n'a rien cassé, il s'est connecté
Il faut insister sur ce point, parce qu'il détermine toute la stratégie de défense. Aucune faille zero-day, aucun ransomware, aucun bruit. Un identifiant valide, un accès distant légitime, un outil métier utilisé exactement comme un agent l'utiliserait. Les contrôles classiques ne voient rien : l'authentification réussit, la source est autorisée, les requêtes sont conformes au format attendu. Et l'exfiltration s'étale sur des semaines, en petites requêtes, précisément pour ne franchir aucun seuil de volume.
C'est le scénario qui met en défaut la quasi-totalité des dispositifs de sécurité fondés sur la règle et le seuil. Un pare-feu bien configuré ne bloque pas un utilisateur autorisé. Un antivirus ne détecte pas une session légitime. Un SIEM réglé sur des seuils de volume ne déclenche pas sur mille petites requêtes réparties sur six semaines. La seule chose qui trahit ce type d'attaquant, c'est la coïncidence de signaux faibles : un identifiant qui traîne dans une fuite, une connexion depuis un pays jamais vu pour ce compte, un rythme de sollicitation applicative qui ne ressemble pas aux habitudes de l'utilisateur, une destination de partage inhabituelle. Pris isolément, chacun de ces signaux est ininterprétable. Corrélés sur le même compte au même moment, ils désignent un compte volé.
Où l'attaquant trouve-t-il des identifiants valides ?
La question mérite d'être posée frontalement, parce que la réponse est industrielle. Les identifiants qui servent à ces intrusions ne sont plus arrachés un par un par du hameçonnage artisanal. Ils sont produits en masse par des infostealers — des logiciels voleurs d'informations installés sur un poste, souvent personnel, souvent hors du périmètre géré par la DSI. En quelques secondes, l'infostealer siphonne les mots de passe enregistrés dans le navigateur, les cookies de session, les jetons d'authentification, les fichiers de configuration VPN. Le résultat, appelé « log », est ensuite revendu ou diffusé sur des canaux Telegram, des forums criminels et des marketplaces spécialisées, par lots de plusieurs milliers.
Entre le vol de l'identifiant et son utilisation dans une intrusion, il s'écoule en général plusieurs semaines, parfois plusieurs mois. C'est cette fenêtre qui constitue l'unique occasion de gagner la partie avant qu'elle ne commence. Une organisation qui surveille en continu l'apparition de ses noms de domaine, de ses adresses professionnelles et de celles de ses dirigeants dans ces canaux peut réinitialiser un compte compromis avant que quiconque ne s'en serve. Une organisation qui ne les surveille pas découvre le problème lorsque l'attaquant le lui annonce publiquement.
La réponse de l'État : un plan réel, mais qui ne couvre pas votre entreprise
Le gouvernement n'est pas resté inactif. La stratégie annoncée par le Premier ministre mobilise 200 millions d'euros pour financer les investissements dans les applications, les outils de détection et la cryptographie post-quantique, et crée une nouvelle autorité numérique de l'État, ARIANE, rattachée directement à Matignon, chargée d'homogénéiser et de sécuriser les infrastructures numériques ministérielles. Un plan d'urgence d'actions prioritaires a été imposé à l'ensemble des ministères, avec un suivi trimestriel. L'ensemble s'inscrit dans la Stratégie nationale de cybersécurité 2026-2030, qui assume de dépasser l'approche strictement technique pour installer la cybersécurité comme politique de résilience globale.
Ce plan est nécessaire, et son ampleur est à saluer. Mais il faut en mesurer la portée exacte : il protège l'État, pas les entreprises. Et il ne remet pas dans la boîte les données déjà sorties. Les 678 000 dossiers exposés vont alimenter, dans les semaines et les mois qui viennent, des campagnes de hameçonnage d'une crédibilité inédite. Un message qui cite votre revenu fiscal de référence exact, votre quotient familial et votre taux de prélèvement à la source ne ressemble pas à une escroquerie : il ressemble à l'administration. Côté professionnel, la combinaison raison sociale, SIREN et données fiscales est un carburant direct pour la fraude au faux fournisseur, la fraude au président et l'usurpation d'identité d'entreprise auprès des banques et des partenaires.
Ce que SYLink met concrètement en face
Notre conviction est simple : contre ce mode opératoire, il faut couvrir les trois temps de l'attaque — avant l'intrusion, en surveillant les identifiants qui fuient ; pendant, en corrélant les signaux faibles d'un compte détourné ; après, en confinant et en documentant. C'est exactement le découpage de notre offre.
SYLink Leaks — la veille darkweb, en amont de l'intrusion
SYLink Leaks surveille en continu l'exposition de votre organisation sur le surface web, le deep web, le darkweb et les marketplaces criminelles. La détection s'appuie sur des crawlers souverains (Tor, I2P), sur des partenariats avec des fournisseurs de threat intelligence européens et sur des agents ciblés déployés sur les canaux Telegram et IRC où circulent les logs d'infostealers. Trois niveaux couvrent les différents degrés de maturité : Basic (12 modules, surveillance email, domaine et marque, restitution hebdomadaire) pour les TPE et petites structures ; Enterprise (28 modules, ajout des identifiants compromis, des IOC et des marketplaces, restitution quotidienne) pour les PME et ETI ; VIP (58 modules, ajout de la protection des dirigeants, de la détection d'usurpation de marque et du deep web ciblé, alertes en temps réel) pour les grands comptes, les OIV et les entités gouvernementales. Point déterminant : la qualification finale est humaine. Nos analystes français valident chaque alerte et lui attribuent un niveau de criticité avant transmission. Le principe assumé est celui du zéro alerte poubelle — une équipe noyée sous les faux positifs finit par ne plus rien lire.
La surveillance infostealer — retrouver le compte volé avant l'attaquant
C'est le module qui répond directement au scénario DGFiP. Nous croisons en continu les identifiants apparaissant dans les diffusions de logs d'infostealers avec vos périmètres : noms de domaine et sous-domaines de l'entreprise, URL de vos applications exposées, adresses professionnelles, et — sur demande explicite du client — les adresses personnelles des comptes à privilèges, puisque c'est très souvent le poste personnel qui est la source de la fuite. Chaque correspondance déclenche une alerte d'exposition d'identifiants assortie d'un plan de remédiation immédiat : réinitialisation du compte dans l'annuaire ou dans le tenant Microsoft 365, révocation des sessions actives et des jetons, contrôle des accès distants ouverts avec cette identité. Par conception, les mots de passe ne sont jamais stockés en clair chez nous : seules des empreintes cryptographiques sont conservées, avec une durée de rétention limitée, conformément au RGPD.
UniSOC — la détection du compte légitime détourné
Lorsque l'identifiant a échappé à la surveillance amont, il reste la détection en vol. UniSOC, notre plateforme SOC souveraine opérée conjointement par SYLink Technologie et Unitel, corrèle en un seul point les journaux SIEM, les agents EDR (Windows, macOS, Linux), les sondes DPI, les événements d'authentification et les signaux de threat intelligence, dont les alertes d'exposition d'identifiants issues de SYLink Leaks. Le moteur de détection ne raisonne pas en seuils absolus mais en écarts au comportement habituel de chaque compte : accès depuis un pays jamais observé pour cet utilisateur, volume sortant anormal rapporté à sa propre base de référence, et surtout nombre de sollicitations applicatives hors norme — la signature exacte du goutte-à-goutte, mille petites requêtes qu'aucun seuil de volume ne verra jamais. La concordance de plusieurs de ces axes sur un même compte fait franchir le seuil d'alerte à des signaux qui, isolés, seraient restés muets. Au-delà, l'escalade est opérée par des analystes français, avec un objectif de moins de quinze minutes entre une détection critique et la première action de confinement, l'isolement réseau d'un poste ou la désactivation d'un compte. L'infrastructure est hébergée en France, certifiée HDS V2, sans aucune requête sortante vers un service tiers : les journaux de nos clients ne quittent pas le territoire, et l'analyse par intelligence artificielle s'exécute sur nos propres GPU, en local.
Cinq mesures à prendre dès cette semaine
1. Inventorier les accès distants et les comptes à privilèges. La question à poser à votre DSI ou à votre prestataire n'est pas « avons-nous un VPN sécurisé » mais « quelles identités peuvent, aujourd'hui, ouvrir un accès distant, et laquelle a été utilisée pour la dernière fois depuis un pays inhabituel ». Tout accès distant sans authentification multifacteur matérielle doit être traité comme un accès public.
2. Vérifier votre exposition existante. Vos identifiants circulent peut-être déjà. Un premier rapport d'exposition sur vos domaines, vos adresses professionnelles et vos dirigeants se produit en quelques jours et donne une base factuelle, chiffrée, à la discussion budgétaire qui suivra.
3. Traiter le poste personnel comme une surface d'attaque. Le collaborateur qui enregistre son mot de passe professionnel dans le navigateur de son ordinateur familial crée une porte que votre pare-feu ne verra jamais. Politique claire, gestionnaire de mots de passe fourni par l'entreprise, et surveillance des adresses personnelles des comptes sensibles avec leur accord.
4. Prévenir vos équipes exposées au risque de hameçonnage fiscal. Comptabilité, paie, direction financière : ces services vont recevoir, dans les mois qui viennent, des messages exploitant des données fiscales exactes. La règle doit être formalisée : aucune modification de coordonnées bancaires, aucun paiement exceptionnel, aucune transmission de pièce fiscale sans validation par un canal distinct de celui de la demande.
5. Basculer d'une logique de seuil à une logique de corrélation. C'est le changement de fond. Tant que la détection repose sur des règles absolues, un compte légitime détourné restera invisible. C'est précisément la fonction d'un SOC : rapprocher des signaux que personne ne regarde ensemble.
Ce qu'il faut retenir
L'incident DGFiP ne dit pas que l'administration fiscale est mal protégée ; il dit que la protection périmétrique, aussi solide soit-elle, ne suffit plus lorsque l'attaquant se présente avec des clés valides. Les entreprises françaises sont exposées au même schéma, avec des moyens de détection très inférieurs et, souvent, sans aucune visibilité sur les identifiants de leurs collaborateurs déjà en circulation. La bonne nouvelle est que la fenêtre existe : entre le vol de l'identifiant et son exploitation, il s'écoule des semaines. Elle ne profite qu'à ceux qui la surveillent.
SYLink Technologie est un éditeur français indépendant, fondé à Clermont-Ferrand, dont l'intégralité du code, de l'hébergement, du support et des équipes est en France. Pour évaluer votre exposition, les équipes SYLink sont joignables via sylink.fr/contact, et un diagnostic cyber gratuit, restitué sous 48 heures par un expert, est accessible depuis la page d'accueil. La page SYLink Leaks détaille les trois niveaux de surveillance, et la page supervision SOC présente l'architecture de détection et les engagements de service.