Piratages de la DGFiP et de l’Éducation nationale : ce que l’on sait des cyberattaques qui frappent l’État français

La France fait face depuis plusieurs mois à une série de cyberattaques visant directement ses administrations publiques. Parmi les victimes les plus importantes figurent deux institutions particulièrement sensibles : la Direction générale des Finances publiques (DGFiP) et le ministère de l’Éducation nationale.

Ces attaques ne sont pas de simples tentatives de piratage isolées. Elles révèlent une tendance plus préoccupante : les cybercriminels cherchent désormais à pénétrer les systèmes administratifs en exploitant les identifiants de personnes habilitées, les accès externes et les failles des outils utilisés quotidiennement par les agents publics.

En 2026, plusieurs incidents ont déjà entraîné la consultation ou l’exfiltration de données personnelles concernant des millions de Français. Et, dans certains cas, les autorités n’ont découvert l’ampleur réelle du vol qu’après la revendication publique des pirates.

La DGFiP au cœur de plusieurs incidents en 2026

La DGFiP constitue une cible particulièrement attractive pour les cybercriminels. L’administration fiscale dispose en effet de gigantesques volumes de données concernant les particuliers et les entreprises : identité, adresse, informations fiscales, revenus, coordonnées bancaires ou encore informations relatives au patrimoine.

Le premier incident majeur de l’année 2026 concerne le Fichier national des comptes bancaires, FICOBA.

À partir de la fin janvier 2026, un acteur malveillant a réussi à utiliser les identifiants usurpés d’un fonctionnaire d’une autre administration disposant d’un accès au système dans le cadre des échanges interministériels. Il a ainsi pu consulter une partie de la base FICOBA.

Le périmètre initialement communiqué concernait environ 1,2 million de comptes bancaires.

Les informations potentiellement consultées comprenaient notamment l’identité du titulaire, son adresse ainsi que les coordonnées bancaires de type RIB ou IBAN. En revanche, les investigations ont établi que les identifiants fiscaux n’avaient pas été consultés et que l’incident ne concernait pas les soldes bancaires ni les opérations effectuées sur les comptes.

L’incident est particulièrement intéressant sur le plan de la cybersécurité car il ne s’agissait pas, selon les informations communiquées par l’administration, d’une faille permettant directement de contourner la sécurité de l’application FICOBA. Le pirate aurait exploité l’usurpation des identifiants d’un agent habilité.

C’est précisément ce type d’attaque qui devient extrêmement difficile à détecter : lorsqu’un pirate utilise des identifiants légitimes, le système informatique peut considérer dans un premier temps qu’il s’agit d’un utilisateur parfaitement autorisé.

La DGFiP a coupé les accès externes à FICOBA dès la détection de l’incident et travaillé avec l’ANSSI afin de renforcer les dispositifs de sécurité. Les accès de partenaires ont ensuite été rétablis dans des conditions beaucoup plus restrictives.

Un nouveau piratage de la DGFiP révélé en août

Alors que l’affaire FICOBA n’était pas encore totalement sortie de l’actualité, la DGFiP a été confrontée à un nouvel incident particulièrement préoccupant.

Les 12 et 13 août 2026, un cybercriminel a revendiqué des accès illégitimes à des systèmes de la DGFiP. Les investigations menées depuis ont confirmé que des accès obtenus frauduleusement avaient permis de consulter et d’extraire certaines données concernant des particuliers et des professionnels.

La particularité de cette affaire est son mode opératoire.

L’accès initial aurait été obtenu grâce à une usurpation d’identité, puis utilisé à travers des systèmes internes ou des accès à distance. Les accès frauduleux ont été interrompus fin juin lors de contrôles de sécurité, mais l’extraction de données n’avait alors pas été détectée.

Selon les éléments communiqués après les investigations, environ 678 000 particuliers et professionnels seraient concernés par les données effectivement extraites.

Les informations concernées sont particulièrement sensibles. Pour les particuliers, certaines données fiscales ont notamment été consultées, comme le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, les informations concernées peuvent notamment comprendre la raison sociale ou le numéro SIREN. Des informations cadastrales relatives à des biens immobiliers auraient également été consultées.

Le pirate avait initialement affirmé disposer d’un volume beaucoup plus important de données. Il convient toutefois de distinguer les déclarations d’un cybercriminel du périmètre confirmé par les autorités.

Une première publication mise en vente sur un forum cybercriminel comportait un peu plus de 600 000 entrées, selon les éléments rapportés par Le Monde.

Les investigations restent importantes car la valeur d’une telle base ne réside pas uniquement dans les informations fiscales prises séparément.

Pourquoi les données fiscales sont-elles aussi recherchées ?

Pour un cybercriminel, une adresse électronique ou un numéro de téléphone peuvent déjà avoir une certaine valeur. Mais une combinaison comprenant identité, adresse, revenus et informations fiscales permet de construire des attaques beaucoup plus crédibles.

Un escroc pourrait par exemple se faire passer pour une banque, une administration, un conseiller financier ou un organisme public en utilisant des informations personnelles réellement détenues par la victime.

Le phishing devient alors beaucoup plus difficile à identifier.

Un message indiquant simplement « votre dossier fiscal nécessite une vérification » peut sembler suspect. En revanche, un message contenant le nom exact du contribuable, une référence administrative crédible et une information fiscale réelle peut convaincre beaucoup plus facilement son destinataire.

Le risque est donc que les données volées servent de matière première à de futures campagnes d’arnaques et d’usurpation d’identité.

C’est également pour cette raison que les informations cadastrales peuvent présenter un intérêt pour les cybercriminels. La connaissance d’une adresse, d’un propriétaire et de caractéristiques d’un bien peut permettre de cibler certaines personnes avec une précision beaucoup plus importante.

L’Éducation nationale également frappée à plusieurs reprises

Le ministère de l’Éducation nationale constitue lui aussi une cible privilégiée.

Il concentre des données concernant des millions d’élèves, leurs familles, les enseignants, les personnels administratifs et les agents de l’institution.

En 2026, plusieurs incidents importants ont été officiellement reconnus.

Le premier concerne les personnels de l’Éducation nationale et le système COMPAS, utilisé notamment pour la gestion des stagiaires des premier et second degrés.

Le ministère a indiqué qu’un accès frauduleux réalisé le 15 mars 2026, à la suite de l’usurpation d’un compte externe, avait conduit à l’exfiltration de données concernant environ 243 000 agents, stagiaires ou titulaires.

Les informations dérobées comprenaient notamment des données d’identité et des informations liées à la situation professionnelle des personnes concernées.

Le ministère a indiqué avoir alerté ses équipes de sécurité dès la découverte de la diffusion non autorisée des données, puis engagé les mesures nécessaires pour sécuriser le système.

Des données d’élèves également exposées

Quelques semaines plus tard, l’Éducation nationale a confirmé une autre cyberattaque ciblant cette fois des données liées aux élèves.

L’incident trouve son origine dans l’usurpation de l’identité d’un personnel habilité, survenue à la fin de l’année 2025. Cette usurpation a permis un accès frauduleux à un service de gestion des comptes élèves associé à ÉduConnect.

Une vulnérabilité présente dans ce service avait été identifiée en décembre 2025 et corrigée par le ministère. Toutefois, elle aurait été exploitée avant sa résolution.

Les informations concernées sont particulièrement sensibles puisqu’elles peuvent comprendre le prénom, le nom, l’identifiant ÉduConnect, l’établissement fréquenté, la classe, une adresse électronique lorsqu’elle était renseignée et, dans certains cas, un code d’activation pour les comptes qui n’avaient pas encore été activés.

Le nombre exact de victimes devait encore être évalué au moment de la communication officielle du ministère.

Il est important de ne pas confondre cet incident avec certaines estimations beaucoup plus importantes circulant sur Internet. Les chiffres avancés par des sources non officielles peuvent correspondre au nombre potentiel de personnes présentes dans une base et non au nombre de personnes dont les données ont effectivement été exfiltrées.

Une nouvelle intrusion révélée fin juillet

La série ne s’est pas arrêtée au printemps.

Le 31 juillet 2026, le ministère de l’Éducation nationale a annoncé avoir été victime d’une nouvelle intrusion frauduleuse dans l’un de ses systèmes d’information.

Cette intrusion aurait pu conduire à l’exfiltration de données personnelles concernant un nombre important d’agents. Le ministère précisait alors que les investigations se poursuivaient afin de déterminer précisément le périmètre de l’incident.

Cette nouvelle affaire est particulièrement préoccupante car elle intervient seulement quelques mois après les incidents concernant COMPAS et les comptes élèves.

Elle montre surtout que les attaques ne ciblent pas nécessairement un seul logiciel ou une seule base de données. Les pirates cherchent les points d’entrée les plus accessibles et exploitent ensuite les droits associés aux comptes compromis.

Le véritable problème : l’usurpation d’identité numérique

Le point commun entre plusieurs de ces affaires est particulièrement important.

Dans différents incidents, les attaquants ne semblent pas avoir eu besoin de « casser » directement un système informatique extrêmement sécurisé.

Ils ont cherché à devenir un utilisateur légitime.

Cette technique peut prendre différentes formes : vol de mot de passe, phishing, récupération de sessions, compromission d’un compte professionnel ou encore exploitation d’un compte externe bénéficiant de droits d’accès.

Une fois authentifié, le pirate bénéficie potentiellement des mêmes privilèges que la personne dont l’identité a été compromise.

C’est un changement majeur dans la cybersécurité.

La question n’est plus seulement : « Comment empêcher quelqu’un d’entrer ? »

Elle devient également : « Comment déterminer qu’une personne pourtant correctement authentifiée n’est pas réellement celle qu’elle prétend être ? »

Le phishing reste une menace majeure

Le hameçonnage constitue précisément l’un des moyens les plus efficaces pour obtenir ces identifiants.

L’Éducation nationale a d’ailleurs organisé en mars 2026 l’opération Cactus, une vaste campagne pédagogique destinée à sensibiliser élèves, parents et personnels.

L’opération a concerné environ 9,2 millions de personnes, dont 3,5 millions de collégiens et lycéens, près de 5 millions de parents et plus de 500 000 personnels enseignants et administratifs. Plus d’un million de personnes ont cliqué sur le lien du message de simulation.

Cette opération illustre une réalité : même dans un environnement institutionnel, le facteur humain reste l’un des principaux points faibles.

Les pirates n’ont pas nécessairement besoin d’exploiter une faille technique complexe lorsqu’ils peuvent convaincre un utilisateur de transmettre volontairement son mot de passe ou de valider une connexion frauduleuse.

Quelles conséquences pour les Français ?

Pour les personnes potentiellement concernées par ces différentes fuites, le principal danger n’est pas forcément un vol d’argent immédiat.

Le risque peut apparaître plusieurs semaines ou plusieurs mois après l’attaque.

Une base de données volée peut être conservée, revendue, croisée avec d’autres fichiers puis utilisée ultérieurement.

Une personne dont le nom, l’adresse, le téléphone et les informations fiscales sont connus peut devenir la cible d’une arnaque extrêmement personnalisée.

Les particuliers doivent donc se méfier des appels, SMS et courriels qui utilisent des informations personnelles exactes.

Un escroc connaissant votre nom, votre adresse et certains éléments fiscaux n’est pas nécessairement un agent de l’administration.

Au contraire, ces informations peuvent précisément provenir d’une fuite de données.

Comment réagir en cas de message suspect ?

La première règle consiste à ne jamais cliquer directement sur un lien reçu par SMS ou par courriel lorsqu’il concerne les impôts, une banque ou un service public.

Il est préférable de se connecter soi-même au site officiel en utilisant son adresse habituelle ou une application officielle.

Il faut également éviter de communiquer par téléphone un mot de passe, un code de validation ou des informations bancaires à une personne qui prétend représenter une administration.

Une administration peut disposer de certaines informations vous concernant sans pour autant avoir besoin que vous lui communiquiez vos codes secrets.

Il est également recommandé d’utiliser des mots de passe différents pour les services importants et d’activer systématiquement l’authentification à deux facteurs lorsqu’elle est disponible.

La DGFiP a justement renforcé ce type de protection : un deuxième facteur d’authentification est notamment utilisé pour la connexion des particuliers à leur espace fiscal depuis 2025.

Des attaques qui dépassent largement le simple vol de données

Ces événements doivent également être replacés dans un contexte plus large.

Les administrations publiques françaises sont aujourd’hui dépendantes de centaines de systèmes informatiques interconnectés. Impôts, éducation, santé, collectivités, justice, sécurité et prestations sociales reposent sur des infrastructures numériques indispensables au fonctionnement quotidien du pays.

Une cyberattaque réussie peut donc provoquer deux types de dommages.

Le premier est le vol de données personnelles.

Le second est la perturbation du service public.

Dans le cas de l’Éducation nationale, une attaque contre les ENT ou les outils numériques peut empêcher temporairement des établissements de fonctionner normalement.

Le ministère rappelle d’ailleurs que les établissements scolaires font face depuis plusieurs années à des attaques ciblant leurs espaces numériques de travail et leurs outils de vie scolaire.

Une prise de conscience indispensable

Les attaques contre la DGFiP et l’Éducation nationale montrent qu’aucune administration ne peut considérer son système informatique comme définitivement sécurisé.

Les technologies évoluent, mais les méthodes des cybercriminels évoluent également.

La cybersécurité doit donc être considérée comme un processus permanent : authentification renforcée, surveillance des connexions, limitation des privilèges, segmentation des réseaux, mises à jour, sauvegardes, détection des comportements anormaux et surtout formation des utilisateurs.

Le facteur humain doit être placé au même niveau que la technologie.

Les investissements dans les infrastructures sont indispensables, mais ils ne suffisent pas si un compte disposant de droits importants peut être compromis par une simple campagne de phishing.

Ce qu’il faut retenir des piratages de 2026

Les différentes affaires révélées depuis le début de l’année présentent des caractéristiques différentes, mais plusieurs enseignements communs apparaissent.

La première leçon est que les identifiants sont devenus une cible prioritaire.

La deuxième est que les données administratives ont une valeur considérable pour les cybercriminels.

La troisième est que la découverte d’une intrusion ne signifie pas nécessairement que l’on connaît immédiatement l’ampleur de la fuite.

Enfin, les attaques montrent que la cybersécurité des administrations concerne directement chaque citoyen.

Un compte compromis dans une administration peut potentiellement donner accès à des informations concernant des milliers, voire des centaines de milliers de personnes.

La multiplication des incidents concernant la DGFiP et l’Éducation nationale ne signifie pas pour autant que tous les systèmes publics français sont compromis. Elle démontre cependant que les administrations sont devenues des cibles privilégiées et que la protection des données publiques doit rester une priorité absolue.

Pour les particuliers, le meilleur réflexe reste donc la vigilance : ne jamais considérer qu’un message est fiable simplement parce que l’expéditeur semble connaître des informations personnelles.

À l’heure où les cybercriminels disposent de bases de données toujours plus précises, la prudence face aux courriels, SMS, appels téléphoniques et demandes de connexion devient une véritable mesure de sécurité.

À retenir

En 2026, la DGFiP a été confrontée à plusieurs incidents majeurs, dont l’accès illégitime à FICOBA concernant environ 1,2 million de comptes et une nouvelle affaire révélée en août concernant des données de particuliers et de professionnels.

De son côté, l’Éducation nationale a connu plusieurs incidents touchant notamment les données d’environ 243 000 agents dans le système COMPAS, les comptes d’élèves associés à ÉduConnect et, plus récemment, un nouveau système d’information dont le périmètre était encore en cours d’investigation fin juillet.

Ces événements rappellent une réalité simple : la cybersécurité n’est plus uniquement une question informatique. Elle est devenue un enjeu majeur de protection des citoyens, des entreprises et du fonctionnement même des services publics.

*Article actualisé au 18 août 2026. Les investigations étant toujours en cours pour certains incidents, les chiffres et périmètres peuvent encore évoluer. Les déclarations de cybercriminels ne sont pas considérées comme des données officiellement confirm