Cyberattaque à la DGFiP : en trois jours, l’État est passé de l’attaque " sophistiquée " à l’aveu de ses " faiblesses "

Par Arnaud Franchini, recouvrement de créances et analyse RGPD.

Le 15 août 2026, le ministre chargé des Comptes publics, David Amiel, qualifiait sur X la fuite de données de la Direction générale des Finances publiques de cyberattaque "particulièrement sophistiquée". Le 18 août, en conférence de presse à Bercy, le même ministre présentait ses excuses aux quelque 700 000 personnes concernées et concédait : "Nos systèmes d'information comportent des faiblesses."

Entre ces deux déclarations, les faits de l'attaque n'avaient pas changé. Le récit officiel, lui, s'était déplacé. Et ce glissement, en apparence anodin, désigne le véritable terrain sur lequel se jouera cette affaire.

Ce que le mot "sophistiquée" laisse entendre

Qualifier une attaque de sophistiquée, c'est en faire une prouesse. C'est suggérer un adversaire d'un niveau tel que les défenses, si robustes fussent-elles, ne pouvaient tenir. Le message implicite est rassurant pour celui qui le prononce : si l'ennemi était hors norme, la faute n'est pas vraiment de son côté.

Or ce que l'on sait publiquement du mode opératoire ne dessine pas une prouesse technique contre les défenses de l'administration. Selon le communiqué de la DGFiP du 14 août, l'accès a reposé sur l'usurpation des identifiants de deux comptes légitimes : celui d'un agent, puis celui d'un tiers habilité. L'attaquant n'a pas percé un système : il s'est connecté avec des accès valides qui ne lui appartenaient pas. Par la porte, avec les clés d'un autre.

Soyons précis, car la prudence est ici la meilleure alliée de la rigueur : on ignore comment ces identifiants ont été obtenus, et cette étape a pu, elle, demander un travail élaboré. Le mot "sophistiquée" n'est donc pas nécessairement faux. Il est simplement hors sujet. Car en droit, la sophistication de l'attaque ne décide de rien.

Pourquoi le droit ne retient pas ce mot

Le règlement général sur la protection des données impose au responsable d'un traitement - ici l'État - de mettre en œuvre des mesures de sécurité "appropriées" au risque (article 32). Cette obligation ne s'apprécie pas au regard du talent de l'attaquant, mais au regard des mesures de défense effectivement déployées : robustesse de l'authentification, cloisonnement des accès, limitation des privilèges, journalisation, détection des extractions anormales, contrôle des tiers habilités.

Autrement dit, la question juridique n'est pas "l'attaque était-elle sophistiquée ?" mais "les données étaient-elles protégées à la hauteur du risque ?". Un adversaire brillant peut réussir malgré des mesures adaptées ; un adversaire ordinaire qui exploite des accès insuffisamment sécurisés pose, lui, directement la question du manquement. La sophistication est un décor ; la sécurité est le sujet.

Ce que l'aveu du 18 août change - et ce qu'il ne change pas

En reconnaissant que "nos systèmes d'information comportent des faiblesses", le ministre a, de lui-même, ramené le débat sur son vrai terrain. Ce n'est plus la ruse de l'assaillant qui est en cause, c'est l'état des défenses. Le discours officiel a rejoint, en trois jours, la question que pose le droit.

Il faut cependant se garder d'un raccourci. Des excuses en conférence de presse ne sont pas une reconnaissance de responsabilité opposable devant un juge. "Nos systèmes comportent des faiblesses" est un aveu politique, non une qualification juridique : il nourrit le débat probatoire, il ne le tranche pas. La responsabilité de l'État, si elle est un jour recherchée, se démontrera pièce par pièce, au regard notamment des exigences de sécurité de l'article 32 et du régime de responsabilité de l'article 82 - et, s'agissant du caractère approprié des mesures de sécurité, la charge de la preuve pèse sur le responsable du traitement : c'est à lui d'établir que ses mesures étaient appropriées, non à la victime de reconstituer la défaillance technique.

Un dernier chiffre, avancé par la DGFiP elle-même, mérite d'être retourné : l'administration dit avoir détecté 6 972 attaques en 2025. Si une administration fait face chaque année à des milliers d'attaques, alors une attaque n'est pas un événement imprévisible : c'est un risque quotidien, connu, documenté. Et plus le risque est connu, plus le niveau de sécurité que l'on est en droit d'attendre s'élève. Le nombre censé illustrer l'ampleur de la menace mesure aussi, en creux, l'exigence qui pesait sur les défenses.

Le mot qui détourne le regard

La leçon de cette séquence tient en peu de mots. Tant que l'on parle de sophistication, on regarde l'attaquant. Dès que l'on parle de faiblesses, on regarde l'administration. Le premier récit invite à la fatalité ; le second, à la responsabilité.

L'État a lui-même effectué ce déplacement, et il faut le porter à son crédit. Mais il en découle une conséquence qu'aucune excuse ne suffit à solder : la vraie question n'a jamais été de savoir si le pirate était habile. Elle est de savoir si les données que l'État exige de chaque contribuable, sous peine de sanction, étaient gardées comme elles devaient l'être. À cette question, le mot "sophistiquée" ne répond pas. Le droit, lui, l'attend.

Les faits cités reposent sur les communiqués de la DGFiP des 14 et 18 août 2026, les déclarations publiques du ministre chargé des Comptes publics des 15 et 18 août 2026, et les dispositions du règlement (UE) 2016/679. Cette tribune constitue une analyse juridique générale et non une consultation.