Rapport ANSSI sur l’incident à la DGFiP : quelles leçons pour les PME ?

En septembre 2026, l’ANSSI a publié un rapport consacré aux actes malveillants observés sur le système d’information de la Direction générale des Finances publiques (DGFiP) entre mai et août 2026. L’objectif du rapport n’est pas seulement de retracer les attaques, mais surtout d’identifier les faiblesses qui ont permis aux attaquants de progresser dans le système d’information et d’exfiltrer des données.

Si les moyens et les volumes de données de la DGFiP sont sans commune mesure avec ceux d’une PME, les enseignements du rapport sont directement transposables aux entreprises : protection des identités, segmentation, supervision et capacité à réagir rapidement.

Une attaque basée sur des accès légitimes

Selon l’ANSSI, les attaquants disposaient de plusieurs identifiants légitimes compromis, probablement à la suite d’infections de postes personnels ou de systèmes qui n’étaient pas administrés par la DGFiP. Ils ont ensuite utilisé ces comptes pour accéder à différentes applications et procéder progressivement à l’exploration puis à l’exfiltration de données.

L’attaque n’était pas particulièrement sophistiquée. Elle a surtout exploité plusieurs faiblesses qui, mises bout à bout, ont permis aux attaquants de rester suffisamment longtemps dans le système pour agir.

Trois enseignements majeurs pour les entreprises

1. Un identifiant compromis peut devenir une porte d’entrée

L’ANSSI souligne l’absence ou l’insuffisance de l’authentification forte sur certains accès. Le simple fait de réinitialiser un mot de passe ne suffit pas toujours : lorsqu’un compte est compromis, il faut également analyser les accès réalisés, identifier les applications exposées et, si nécessaire, révoquer les sessions actives.

Pour une PME, cela signifie notamment protéger les comptes sensibles avec une MFA robuste et maîtriser les appareils utilisés pour accéder au système d’information.

2. La segmentation limite la progression d’un attaquant

Le rapport met également en évidence une segmentation insuffisamment fine de certains environnements. Des ressources sensibles pouvaient être accessibles depuis des infrastructures tierces, facilitant les mouvements latéraux.

Une PME doit donc limiter les communications entre ses différents environnements et appliquer le principe du moindre privilège : un utilisateur ou un équipement ne doit accéder qu’aux ressources réellement nécessaires.

3. Superviser ne suffit pas : il faut savoir corréler

Plusieurs signaux auraient pu alerter : connexions à des horaires inhabituels, adresses IP suspectes, volumes importants de données échangées ou encore nombre élevé de requêtes. Certaines applications n’étaient toutefois pas intégrées à la supervision, empêchant de croiser efficacement ces informations.

C’est un point essentiel pour les PME : disposer d’outils de sécurité ne garantit pas à lui seul la détection d’une attaque. Encore faut-il que les événements importants soient surveillés, corrélés et analysés.

Quelles mesures pour une PME ?

Le rapport de l’ANSSI recommande notamment de renforcer l’authentification, de maîtriser les postes professionnels, de généraliser la supervision, de mieux segmenter les accès et de limiter les volumes de données pouvant être consultés ou extraits.

Pour une PME, cela peut se traduire par quelques priorités concrètes :

• activer une MFA robuste sur les accès sensibles ;

• protéger et superviser les postes professionnels ;

• limiter les droits utilisateurs au strict nécessaire ;

• segmenter les réseaux et les environnements sensibles ;

• superviser les applications et les accès critiques ;

• détecter les comportements inhabituels ;

• prévoir une procédure claire en cas de compromission d’un compte.

L’avis de Pérenne’IT : la cybersécurité repose sur plusieurs couches

Pour Pérenne’IT, le principal enseignement de ce rapport est simple : la cybersécurité ne repose jamais sur un seul outil.

Antivirus, MFA, EDR, sauvegardes, segmentation ou supervision sont autant de briques qui doivent fonctionner ensemble. Une protection efficace consiste surtout à réduire les possibilités d’un attaquant, détecter rapidement les comportements anormaux et limiter son impact s’il parvient malgré tout à entrer.

Pour une PME, l’enjeu est donc moins d’empiler les solutions que de vérifier que les fondamentaux sont correctement déployés, supervisés et cohérents avec les risques de son système d’information.

Vous souhaitez évaluer le niveau de sécurité de votre système d’information ? Pérenne’IT accompagne les PME dans la sécurisation, la supervision et l’évolution de leur environnement informatique, avec une approche adaptée à leurs enjeux et à leurs contraintes.