DGFiP, Éducation nationale : le scénario banal derrière les fuites de 2026, et comment s'en protéger

L'été 2026 a livré deux séries de fuites de données parmi les plus visibles jamais annoncées en France : la Direction générale des Finances publiques (DGFiP) et l'Éducation nationale. À première vue, deux mondes différents. En réalité, le même scénario, et un scénario d'une banalité déconcertante. Aucune prouesse technique, aucune faille de génie. Des identifiants volés, une authentification qui manquait ou qui a été contournée, et une intrusion repérée bien trop tard. La bonne nouvelle pour toute organisation qui lit ces lignes : les parades sont connues, éprouvées, et accessibles. Encore faut-il les avoir mises en place avant, pas après.

#Ce qui s'est vraiment passé

Rappelons les faits, en distinguant ce qui est confirmé de ce qui n'est, à ce jour, que revendiqué par les attaquants.

#La DGFiP : environ 678 000 comptes exposés

Selon les communiqués officiels de la mi-août 2026, des accès illégitimes au système d'information des impôts ont eu lieu en juin et juillet, et n'ont été découverts que plusieurs semaines plus tard, à la faveur de la revendication publique de l'attaquant. Le vecteur : l'usurpation d'identifiants. La version de la DGFiP évoque les identifiants d'un agent, puis ceux d'un tiers habilité autorisé à extraire des données fiscales ; des analyses spécialisées mentionnent un identifiant permettant d'accéder à un VPN. Les deux récits pointent la même faiblesse : un accès légitime détourné.

Le périmètre annoncé porte sur environ 678 000 comptes, soit à peu près 393 000 particuliers et 286 000 professionnels. Les données concernées relèvent de l'état civil, des coordonnées, du revenu fiscal de référence et du taux de prélèvement à la source. Point important pour ne pas céder à la panique : aucune donnée bancaire (RIB, carte) n'a été identifiée dans l'échantillon analysé, et la DGFiP indique que les espaces personnels sécurisés n'ont pas été compromis. Un second volet, visant des données cadastrales et foncières de professionnels, est revendiqué par l'attaquant mais reste, à ce stade, non confirmé officiellement.

#L'Éducation nationale : plusieurs systèmes tombés en cascade

Côté Éducation nationale, ce ne sont pas un mais plusieurs incidents distincts en 2026.

En mars, le portail de gestion des enseignants stagiaires a été touché par l'usurpation d'un compte externe. L'intrusion a été détectée quatre jours après, et a exposé les données d'environ 243 000 agents : noms, adresses postales, numéros de téléphone.

Fin juillet, un système d'information de formation des personnels a été compromis via un compte professionnel usurpé. Les données de personnels ayant exercé depuis 2001 étaient concernées, avec pour une partie d'entre eux l'adresse, le téléphone et le numéro de sécurité sociale. L'ANSSI et la CNIL ont été saisies. Le ministère a précisé que ce système ne contenait ni données bancaires, ni mots de passe, ni données d'élèves.

Un incident distinct, révélé au printemps, a par ailleurs touché un service d'accès des élèves à la suite d'une faille applicative permettant une usurpation d'identité. Un volume très important côté élèves a été revendiqué par le même acteur que la DGFiP, mais il n'est pas confirmé et fait l'objet d'une expertise. Les chiffres spectaculaires qui ont circulé correspondent à des lignes de tableur empilées, pas à un nombre de personnes.

#Le fil rouge : trois failles, toujours les mêmes

Retirez les logos et les acronymes, et il ne reste qu'un mécanisme commun, décliné à chaque fois :

1. Des identifiants volés. Agent interne, prestataire, tiers habilité, compte externe : dans chaque cas, l'attaquant n'a pas cassé une porte, il a utilisé une clé qui traînait.
2. Une authentification à plusieurs facteurs absente ou contournée. Un mot de passe volé suffit quand rien ne vient confirmer que la personne est bien celle qu'elle prétend être.
3. Une détection trop lente. Le point le plus coûteux. À la DGFiP, environ sept semaines se sont écoulées entre l'intrusion et sa découverte. Sept semaines pendant lesquelles des données sont extraites sans que personne ne s'en aperçoive.

Et un dernier point commun, contre-intuitif : aucun rançongiciel. Ces attaques ne bloquent pas les systèmes, ne demandent pas de rançon. Ce sont des vols de données silencieux. La parade classique de la sauvegarde hors ligne n'y change rien : le sujet, ici, c'est l'accès et la détection.

#Ce qui aurait changé la donne

Personne ne prétendra qu'une mesure unique rend une organisation invulnérable. Mais chacun de ces incidents partage des parades dont l'efficacité est documentée, et qui auraient fortement réduit soit la probabilité de l'intrusion, soit son ampleur. Détail parlant : la DGFiP elle-même a réagi en généralisant l'authentification renforcée à tous ses agents et en coupant l'accès Internet à certaines applications sensibles. La solution est connue. Toute la question est de l'appliquer en prévention plutôt qu'en réaction.

• Une authentification à plusieurs facteurs résistante à l'hameçonnage, partout. Y compris, et surtout, pour les prestataires et les tiers habilités, souvent le maillon oublié. Un identifiant seul ne doit jamais suffire à extraire des données sensibles.
• Une gouvernance des accès stricte. Principe du moindre privilège, revue régulière des comptes externes, accès applicatif ciblé plutôt qu'un VPN qui ouvre l'ensemble du réseau une fois franchi.
• Une détection continue. C'est la leçon des sept semaines. Un dispositif de supervision de sécurité qui corrèle les journaux repère une extraction de données anormale en quelques heures, pas en quelques mois. Sans détection, une intrusion réussie devient une fuite de grande ampleur.
• La minimisation des données. Un numéro de sécurité sociale n'a rien à faire dans un système de formation. Moins une base contient de données sensibles, moins sa compromission fait de dégâts.

#Et si c'était votre organisation ?

Voici le vrai enseignement pour une PME ou une ETI. Si un ministère doté de moyens considérables tombe pour des identifiants volés et une authentification incomplète, une entreprise sans supervision de sécurité ni gestion rigoureuse des accès n'est pas mieux protégée. Au contraire. La différence entre une grande administration et une PME ne tient pas à la sophistication de l'attaque : le vecteur est le même. Elle tient au temps de détection et à l'hygiène des accès. Et sur ces deux terrains, une PME bien accompagnée peut faire aussi bien, parfois mieux, qu'une grande structure.

C'est exactement ce que M-KIS déploie, avec des outils open source et un hébergement souverain en France :

• un SOC managé fondé sur Wazuh, pour la détection continue des accès et des extractions anormales, celle qui manquait dans ces incidents ;
• l'authentification renforcée et la gouvernance des accès dans le cadre d'une démarche ISO 27001, et un diagnostic NIS2 pour cadrer les priorités ;
• une réponse à incident si la compromission a déjà eu lieu et qu'il faut reprendre le contrôle vite et proprement.

#La bonne question à se poser

Après ces fuites, la question n'est plus « est-ce que cela peut m'arriver ». Le vecteur est banal, répandu, et il vise autant les PME que les ministères. La vraie question est : « en combien de temps le verrais-je ». Si la réponse est « je ne sais pas », c'est le point de départ d'un échange utile.

Parlons de votre exposition. Un diagnostic clair vaut mieux qu'une mauvaise surprise sept semaines trop tard.