La fuite des impôts a commencé par un mot de passe The French tax leak started with a password

3 septembre 2026 · ~10 min de lecture · Jules Robineau 3 September 2026 · ~10 min read · Jules Robineau

Le 18 août 2026, l'État a présenté ses excuses aux contribuables. Des inconnus ont pu consulter les données fiscales de 678 000 personnes et entreprises. Le point d'entrée : des identifiants usurpés, ceux d'un agent et d'un prestataire habilité.

Pas de faille inconnue. Pas d'attaque d'État sophistiquée. Des mots de passe.

TL;DR : France Travail, la CAF, l'ANTS, puis les impôts. Aucune des grandes fuites publiques françaises n'a demandé une attaque de pointe. Les règles existaient depuis 2014, sans budget ni autorité. Et ne lis pas ça comme un problème d'État. En France, 48 % des victimes de rançongiciel recensées sont des TPE et PME. Leurs failles sont exactement les mêmes. La pression qui protège les grandes entreprises ne descend ni vers les petites, ni vers le public. L'argent n'arrive qu'après l'incident. La sécurité qui manque n'est pas complexe. Elle n'est ni financée, ni exigée.

Cet article est un REX vu de l'extérieur. Un REX est un retour d'expérience : ce qui s'est passé, pourquoi, et ce qu'on en retire. Je n'ai jamais travaillé pour ces administrations. Je sécurise des systèmes privés qui affrontent exactement les mêmes attaques.

Deux ans de fuites, une par grande administration

Mars 2024 : France Travail. La CNIL établit que les données de 36,8 millions de personnes ont été exfiltrées. Noms, numéros de sécurité sociale, coordonnées.

2024 puis 2025 : la CAF. D'abord 60 000 comptes compromis. Ensuite un fichier de 22 millions de lignes, attribué à sa sphère, circule sur les forums.

Avril 2026 : l'ANTS, l'agence qui gère les cartes d'identité et les cartes grises. 11,7 millions de comptes confirmés par le ministère de l'Intérieur. Presque un Français sur six.

Juin à août 2026 : la DGFiP, les impôts. Trois intrusions, 678 000 particuliers et professionnels touchés, données fiscales et cadastrales. Le même groupe revendique une attaque du ministère de l'Éducation nationale.

Et l'été 2026 tombe en rafale. L'INSEE en juin : 12 800 agents exposés par un annuaire interne. Bloctel en août : 3 millions de numéros de téléphone, au lendemain de la fermeture du service. Fin août, un forum revendique le piratage d'une plateforme publique de lutte contre les logements vacants. Cette dernière n'est pas encore confirmée.

Additionne ces seuls incidents : plus de 70 millions d'enregistrements, sans dédoublonner les personnes. La question n'est plus de savoir si une administration fuit. C'est laquelle, cette semaine.

Rien de tout ça n'est sophistiqué

Regarde les causes publiées, pas les volumes.

L'ANTS : une faille de type IDOR, d'après les analyses publiées. Ce genre de faille est dans le top 10 OWASP depuis des années. Ça se teste en une heure sur un endpoint.

La DGFiP : des identifiants usurpés, sans double authentification généralisée. La double authentification, le MFA, demande une deuxième preuve en plus du mot de passe. C'est la défense numéro un contre le vol d'identifiants.

Ce sont les premières choses que je cherche en pentest. Ce sont les premières défenses que je pose en mission. Aucune ne relève de la recherche. C'est le chapitre 1 de n'importe quel guide de sécurité.

Les textes existaient, l'exécution non

La France n'a pas découvert la sécurité en 2026. La PSSIE date de 2014. Le RGS impose une homologation de sécurité aux téléservices publics.

Alors pourquoi les fuites ? La Cour des comptes a répondu en 2025, avant l'incident des impôts. Son rapport décrit un pilotage interministériel sans autorité réelle, des moyens très limités, et aucune évaluation effective.

L'ANSSI conseille et alerte, mais contraint peu les administrations. Et la transposition de NIS 2 a pris du retard.

Un référentiel sans budget ni contrôle produit des homologations papier. Le document existe, la sécurité non.

Pourquoi les grandes entreprises ont bougé avant

Ce n'est pas une question de talent. Les équipes publiques ont d'excellents ingénieurs. C'est une question de pression.

Une grande entreprise a des régulateurs qui sanctionnent et des assureurs qui exigent. Ses clients envoient des questionnaires de sécurité avant de signer. Chez mes clients grands comptes, le MFA partout, les scans en pipeline, la surveillance des accès n'arrivent pas par vertu. Ils arrivent parce qu'un contrat en dépend.

Une administration ne perd pas de clients. La CNIL sanctionne rarement l'État lui-même. Et un budget sécurité est un coût sans inauguration. Un SIEM ne vaut aucune coupure de ruban.

Mais regarde bien la suite. Cette pression ne descend pas. Elle s'arrête bien avant les petites entreprises.

Tes PME ont les mêmes failles que l'État

Il y a un piège dans l'histoire que je viens de raconter. On pourrait croire que le privé est protégé et que l'État est en retard. C'est faux. Seul le privé sous pression est protégé.

Regarde les chiffres de l'ANSSI. Dans son panorama de la menace 2025, 48 % des victimes de rançongiciel recensées sont des TPE, PME ou ETI. C'était 37 % un an plus tôt.

Les petites entreprises sont la première catégorie de victimes. Devant les collectivités. Devant les hôpitaux.

L'ANSSI mesure aussi le niveau de défense. 74 % des TPE, PME et ETI restent sous son niveau « Essentiel ». Ce niveau n'est pas de la haute sécurité. C'est le minimum que l'agence juge vital.

Cybermalveillance.gouv.fr, le guichet public d'assistance aux victimes, complète le tableau. En 2025, l'hameçonnage a bondi de 70 %. Les demandes d'aide des entreprises ont grimpé de 73 %.

Une entreprise sur six a subi un incident dans l'année. Près d'un tiers de ces incidents interrompent l'activité. Un sur cinq finit en vol de données.

Et un écart résume tout. Neuf PME sur dix se croient équipées. Une sur deux se dit préparée à une attaque.

Sur le terrain, je vois la même chose. Quand j'audite une PME, je retrouve la liste de la DGFiP. Des comptes sans MFA. Des prestataires avec trop de droits. Des services exposés. Personne qui lit les journaux. Les failles ne changent pas avec la taille. La pression, si.

La pression s'arrête aux grandes entreprises

Reprends les trois moteurs du chapitre précédent : régulateurs, assureurs, clients. Aucun des trois n'atteint une entreprise de vingt personnes.

Côté règles, NIS 2 montre le trou. La directive fait passer la France d'environ 500 entités régulées à 15 000. C'est un vrai progrès. Mais le ticket d'entrée reste la moyenne entreprise : 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires. En dessous, tu es hors champ.

La France compte environ 4 millions de TPE et PME. Les 15 000 entités de NIS 2 en représentent moins d'une sur deux cents.

Et même ce périmètre réduit attend toujours sa loi. L'échéance européenne était fixée au 17 octobre 2024. La loi française de transposition, dite loi Résilience, n'était toujours pas promulguée à l'été 2026. Deux ans de retard sur des obligations déjà votées à Bruxelles.

Côté assurance et clients, même logique. Les questionnaires de sécurité arrivent avec les gros contrats. Les audits de conformité arrivent avec les grands comptes. Une PME qui vend à d'autres PME ne croise jamais personne qui exige du MFA.

Une seule mécanique commence à ruisseler : la chaîne d'approvisionnement. NIS 2 oblige les entités du périmètre à sécuriser leurs fournisseurs. Si ton client est assujetti, il viendra te demander des garanties, parfois un audit. C'est la première pression qui descend jusqu'aux petites entreprises.

Résultat : l'État et les petites entreprises partagent le même angle mort. Personne ne les force. Et comme la sécurité ne se voit pas, personne ne la demande.

L'argent non plus n'arrive pas avant l'incident

Deuxième moitié de la question : pourquoi on n'y met pas d'argent ?

Des aides existent. Regarde leur échelle. France Relance a mis 136 millions d'euros sur la cybersécurité en 2021. Son cœur, les parcours de sécurisation, a accompagné 945 entités en quatre ans. Des collectivités, des hôpitaux, des établissements publics. 945, quand la France compte à elle seule plus de 34 000 communes.

Pour les entreprises, MonAideCyber offre un diagnostic gratuit d'une heure et demie. C'est un bon premier pas. Ce n'est pas un audit, encore moins un chantier de sécurisation. Le dispositif Cyber PME de France 2030 ajoute un accompagnement, récent et encore peu connu.

Compare avec l'électrochoc de l'État : 200 millions débloqués en quelques semaines, après les fuites. L'argent existe donc. Il arrive juste toujours après.

Pourquoi ? Trois raisons. Aucune n'est technique.

Un : la sécurité est une dépense invisible. Elle ne produit rien qu'on puisse montrer. Un budget marketing rapporte des clients. Un budget sécurité rapporte des incidents qui n'ont pas eu lieu. Personne ne fête un incident évité.

Deux : le coût de la fuite ne tombe pas sur celui qui décide du budget. Quand une entreprise fuit, ses clients paient les premiers. Leurs données circulent, leurs comptes sont attaqués. Les économistes appellent ça une externalité : un coût que tu crées et que d'autres paient. Tant que la fuite coûte moins cher à l'entreprise qu'à ses victimes, le calcul pousse à ne rien faire.

Trois : imposer des règles aux petites entreprises a un coût politique. Chaque obligation nouvelle est vécue comme une charge administrative de plus. Alors on régule les grands, on subventionne des diagnostics, et on attend.

C'est la même mécanique qui a laissé la PSSIE sans budget pendant douze ans. L'État et les PME, ce ne sont pas deux histoires. C'est la même.

2026, l'électrochoc qui installe enfin le standard

Le plan est arrivé en trois temps. Et il ressemble à ce que le privé sérieux fait déjà.

Mi-avril 2026, un décret d'application de la loi SREN passe une recommandation en obligation. Les données les plus sensibles de l'État doivent être hébergées sur des clouds qualifiés SecNumCloud. SecNumCloud est la qualification ANSSI des hébergeurs de confiance. Environ 360 exigences, jusqu'à l'immunité face aux lois extraterritoriales comme le CLOUD Act.

Fin avril 2026, après l'ANTS : nouvelle gouvernance et 200 millions d'euros débloqués. Chaque ministère devra réserver 5 % de son budget numérique à la cybersécurité dès 2027. Plus une doctrine : exercices d'auto-attaque, MFA généralisée, sécurisation des accès.

Mi-août, après les impôts : MFA pour tous les agents de la DGFiP d'ici fin 2026. Des quotas de consultation sur les fichiers sensibles. Une détection renforcée des comportements anormaux. Un bug bounty sur les plateformes de l'État. Et un audit supervisé par l'ANSSI.

Mesure le paradoxe. La France avait déjà la norme d'hébergement la plus exigeante d'Europe. Mais pas de MFA généralisée pour ses agents. Le datacenter était blindé, le compte restait ouvert.

Traduis en langage d'ingénieur : la sécurité entre dans le process, avec un budget et des contrôles. C'est la définition du DevSecOps. Pas un outil ajouté à la fin, une exigence à chaque étape.

Il aura fallu 70 millions de lignes pour y arriver.

Ce que ce REX donne pour ton système

Tu n'as pas le SI de l'État. Les leçons se transposent quand même.

Et tue tout de suite le mythe du « trop petit pour intéresser ». Les attaquants ne choisissent pas des noms, ils scannent des plages d'adresses entières. Un rançongiciel ne vise pas ta marque. Il vise une porte ouverte.

Le MFA d'abord, partout, prestataires habilités compris. L'attaque des impôts est passée par un compte de tiers. Ton périmètre inclut les comptes que tu délègues.

Ensuite, des quotas et des alertes de volume. Un compte qui consulte 678 000 dossiers doit sonner bien avant le millième. Pas besoin d'IA pour commencer : un seuil suffit.

Teste l'IDOR sur chaque endpoint qui porte un identifiant. Une heure de test, des années d'embarras évitées.

Et le bug bounty vient en dernier. Payer des chercheurs pour découvrir l'absence de MFA coûte plus cher que le MFA.

Enfin, chiffre ce que ça coûte vraiment. Le MFA est inclus dans la plupart des suites que tu paies déjà. Les quotas et les alertes de volume, c'est quelques jours de développement. Un SIEM open source comme Wazuh tourne sur un serveur modeste : j'en héberge un moi-même. Le prix des bases se compte en jours de travail, pas en licences. Le chantier paraît hors de portée. Il ne l'est pas. Ce mythe-là aussi entretient l'inaction.

La checklist à transposer

Pour un SI public comme pour une PME.

MFA partout, agents et prestataires habilités compris
Un inventaire des comptes de tiers, avec revue et expiration
Des quotas de consultation et une alerte de volume sur les données sensibles
Un test IDOR sur chaque endpoint qui expose un identifiant
Un SIEM qui centralise les journaux, et quelqu'un qui les regarde
Un exercice d'auto-attaque par an, résultats montrés à la direction
Un budget sécurité en pourcentage du budget IT, sanctuarisé
Une personne avec l'autorité de dire non à une mise en production
Fournisseur d'une entité soumise à NIS 2 ? Prépare les garanties qu'on va te demander
Tu pars de zéro ? Commence par le diagnostic gratuit MonAideCyber

Ce qu'il faut retenir

La sécurité n'est pas de la complexité. C'est du bon sens, financé et imposé. L'État vient de payer pour l'apprendre : ses textes dataient de 2014, ses 200 millions sont arrivés après les fuites.

Les PME n'auront ni électrochoc national, ni plan à 200 millions. La seule pression qui descend vers elles, c'est la chaîne d'approvisionnement : les clients soumis à NIS 2 qui exigent des garanties de leurs fournisseurs. Ça ruisselle, lentement.

Alors n'attends ni la loi, ni l'aide. Le MFA, les quotas, les alertes de volume, le test IDOR : tout ça se met en place en semaines, pas en années. Les 200 millions coûtaient moins cher avant. Ta remise à niveau aussi.

Tu veux savoir ce qu'un attaquant verrait de ton système avant qu'il ne te le montre ? Parlons-en.

On 18 August 2026, the French state apologized to its taxpayers. Unknown actors had been able to read the tax records of 678,000 people and businesses. The entry point: stolen credentials, from one agency employee and one authorized third party.

No zero-day. No sophisticated state attack. Passwords.

TL;DR: France Travail, the family-benefits agency, the national ID agency, then the tax administration. None of the big French public-sector breaches needed an advanced attack. The rules had existed since 2014, with no budget and no authority. And do not read this as a state problem. In France, 48% of recorded ransomware victims are micro and small companies. Their flaws are exactly the same. The pressure protecting big companies reaches neither the small ones nor the public sector. Money only arrives after the incident. The missing security is not complex. It is neither funded nor demanded.

This article is an outside post-mortem. I have never worked for these agencies. I secure private systems that face exactly the same attacks.

Two years of leaks, one per major agency

March 2024: France Travail, the national employment agency. The CNIL, France's data protection authority, established that data of 36.8 million people was exfiltrated. Names, social security numbers, contact details.

2024 then 2025: the CAF, the family-benefits agency. First 60,000 compromised accounts. Then a 22-million-row file, attributed to its ecosystem, circulated on forums.

April 2026: the ANTS, the agency behind national ID cards and vehicle registration. 11.7 million accounts confirmed by the Interior Ministry. Almost one French person in six.

June to August 2026: the DGFiP, the tax administration. Three intrusions, 678,000 individuals and businesses affected, tax and land-registry data. The same group claims an attack on the national education ministry.

And the summer of 2026 came in bursts. INSEE in June: 12,800 staff exposed through an internal directory. Bloctel in August: 3 million phone numbers, the day after the service shut down. In late August, a forum post claimed the hack of a public housing-vacancy platform. That one is not confirmed yet.

Add up these incidents alone: over 70 million records, without even deduplicating people. The question is no longer whether an agency leaks. It is which one, this week.

None of it is sophisticated

Look at the published causes, not the volumes.

The ANTS: an IDOR-type flaw, according to published analyses. That kind of flaw has been in the OWASP top 10 for years. It takes an hour to test on an endpoint.

The DGFiP: stolen credentials, with no generalized second factor. Multi-factor authentication, MFA, asks for a second proof besides the password. It is the number one defense against credential theft.

These are the first things I look for in a pentest. These are the first defenses I deploy on a mission. None of them is research. This is chapter 1 of any security guide.

The rules existed, the execution did not

France did not discover security in 2026. The PSSIE dates from 2014. The RGS framework requires a security accreditation for public online services.

So why the leaks? France's supreme audit court answered in 2025, before the tax incident. Its report describes interministerial steering without real authority, very limited means, and no effective evaluation.

ANSSI advises and alerts, but rarely compels other administrations. And the transposition of NIS 2 fell behind schedule.

A framework without budget or control produces paper accreditations. The document exists, the security does not.

Why big companies moved first

This is not about talent. Public teams have excellent engineers. It is about pressure.

A big company has regulators that fine and insurers that demand. Its customers send security questionnaires before signing. At my enterprise clients, MFA everywhere, pipeline scans and access monitoring do not happen out of virtue. They happen because a contract depends on them.

An administration loses no customers. The CNIL rarely fines the state itself. And a security budget is a cost with no ribbon to cut. A SIEM earns no inauguration.

But watch what comes next. That pressure does not trickle down. It stops well before small companies.

Your SMEs have the same flaws as the state

There is a trap in the story I just told. You could believe the private sector is protected and the state is behind. That is wrong. Only the pressured private sector is protected.

Look at the numbers from ANSSI. In its 2025 threat panorama, 48% of recorded ransomware victims are micro, small or mid-sized companies. It was 37% a year earlier.

Small companies are the first category of victims. Ahead of local governments. Ahead of hospitals.

ANSSI also measures the defense level. 74% of these companies sit below its "Essential" baseline. That level is not high security. It is the minimum the agency considers vital.

Cybermalveillance.gouv.fr, the public assistance desk for victims, completes the picture. In 2025, phishing jumped 70%. Assistance requests from companies climbed 73%.

One company in six suffered an incident during the year. Nearly a third of those incidents halt the activity. One in five ends in stolen data.

And one gap sums it all up. Nine SMEs out of ten believe they are equipped. One out of two says it is prepared for an attack.

In the field, I see the same thing. When I audit an SME, I find the DGFiP list again. Accounts without MFA. Third parties with too many rights. Exposed services. Nobody reading the logs. The flaws do not change with size. The pressure does.

The pressure stops at big companies

Take the three drivers from the previous chapter: regulators, insurers, customers. None of the three reaches a twenty-person company.

On the rules side, NIS 2 shows the hole. The directive moves France from about 500 regulated entities to 15,000. Real progress. But the entry ticket remains the medium company: 50 employees, or more than 10 million euros in revenue. Below that, you are out of scope.

France counts about 4 million micro and small companies. The 15,000 NIS 2 entities are less than one in two hundred of them.

And even that reduced scope is still waiting for its law. The European deadline was 17 October 2024. The French transposition bill, the Résilience law, was still not enacted by the summer of 2026. Two years late on obligations already voted in Brussels.

Insurance and customers follow the same logic. Security questionnaires come with big contracts. Compliance audits come with large accounts. An SME selling to other SMEs never meets anyone who demands MFA.

One mechanism is starting to trickle down: the supply chain. NIS 2 forces in-scope entities to secure their suppliers. If your customer is covered, they will come asking you for guarantees, sometimes an audit. It is the first pressure reaching small companies.

The result: the state and small companies share the same blind spot. Nobody forces them. And since security is invisible, nobody asks for it.

Money does not arrive before the incident either

Second half of the question: why does nobody put money in?

Aid exists. Look at its scale. France Relance put 136 million euros into cybersecurity in 2021. Its core program, the security pathways, supported 945 entities in four years. Local governments, hospitals, public bodies. 945, when France alone counts more than 34,000 municipalities.

For companies, MonAideCyber offers a free ninety-minute diagnosis. A good first step. Not an audit, let alone a hardening project. The Cyber PME program of France 2030 adds support, recent and still little known.

Now compare with the state's wake-up call: 200 million unlocked within weeks, after the leaks. So the money exists. It just always arrives after.

Why? Three reasons. None of them technical.

One: security is an invisible expense. It produces nothing you can show. A marketing budget brings customers. A security budget brings incidents that did not happen. Nobody celebrates an avoided incident.

Two: the cost of a leak does not fall on whoever decides the budget. When a company leaks, its customers pay first. Their data circulates, their accounts get attacked. Economists call this an externality: a cost you create and others pay. As long as leaking costs the company less than its victims, the math says do nothing.

Three: imposing rules on small companies carries a political cost. Every new obligation reads as one more administrative burden. So we regulate the big ones, subsidize diagnoses, and wait.

It is the same mechanism that left the PSSIE unfunded for twelve years. The state and the SMEs are not two stories. They are the same one.

2026, the wake-up call that finally sets the standard

The plan came in three waves. And it looks like what the serious private sector already does.

Mid-April 2026, an implementing decree of the SREN law turned a recommendation into an obligation. The state's most sensitive data must now sit on SecNumCloud-qualified clouds. SecNumCloud is ANSSI's qualification for trusted hosting providers. Around 360 requirements, up to immunity from extraterritorial laws like the CLOUD Act.

Late April 2026, after the ANTS: new governance and 200 million euros unlocked. Each ministry must reserve 5% of its digital budget for cybersecurity from 2027. Plus a doctrine: self-attack exercises, generalized MFA, hardened access.

Mid-August, after the tax leak: MFA for all tax-administration staff by the end of 2026. Consultation quotas on sensitive files. Stronger anomaly detection. A bug bounty on state platforms. And an audit supervised by ANSSI.

Measure the paradox. France already had the strictest hosting standard in Europe. But no generalized MFA for its own staff. The datacenter was armored, the account stayed open.

Translate it into engineering terms: security enters the process, with a budget and controls. That is the definition of DevSecOps. Not one more tool at the end, a requirement at every step.

It took 70 million rows to get there.

What this post-mortem gives your own system

You do not run the state's IT. The lessons transpose anyway.

And kill the "too small to matter" myth right away. Attackers do not pick names, they scan entire address ranges. Ransomware does not target your brand. It targets an open door.

MFA first, everywhere, authorized third parties included. The tax attack came through a third-party account. Your perimeter includes the accounts you delegate.

Then quotas and volume alerts. An account reading 678,000 files should ring an alarm long before the thousandth. No AI needed to start: a threshold is enough.

Test for IDOR on every endpoint that carries an identifier. One hour of testing, years of embarrassment avoided.

And the bug bounty comes last. Paying researchers to discover your missing MFA costs more than the MFA.

Finally, price the work honestly. MFA is included in most of the suites you already pay for. Quotas and volume alerts are a few days of development. An open source SIEM like Wazuh runs on a modest server: I host one myself. The cost of the basics is counted in days of work, not in licenses. The project looks out of reach. It is not. That myth feeds the inaction too.

The checklist to transpose

For a public system or a small company alike.

MFA everywhere, staff and authorized third parties included
An inventory of third-party accounts, with review and expiry
Consultation quotas and volume alerts on sensitive data
An IDOR test on every endpoint exposing an identifier
A SIEM centralizing the logs, and someone who reads them
One self-attack exercise per year, results shown to leadership
A security budget as a percentage of the IT budget, protected
One person with the authority to say no to a release
Supplier of a NIS 2 entity? Prepare the guarantees you will be asked for
Starting from zero? Begin with the free MonAideCyber diagnosis

What to remember

Security is not complexity. It is common sense, funded and enforced. The state just paid to learn it: its rules dated from 2014, its 200 million arrived after the leaks.

SMEs will get no national wake-up call and no 200 million plan. The only pressure trickling down to them is the supply chain: NIS 2 customers demanding guarantees from their suppliers. It trickles, slowly.

So do not wait for the law or the subsidy. MFA, quotas, volume alerts, the IDOR test: all of it deploys in weeks, not years. The 200 million was cheaper before. So is your cleanup.

Want to know what an attacker would see in your system before they show you? Let's talk.