Graves failles de sécurité des systèmes d'information de la DGFiP

Question

M. Matthieu Bloch alerte M. le ministre de l'action et des comptes publics sur les graves failles de sécurité ayant récemment affecté les systèmes d'information de la direction générale des finances publiques (DGFiP). La DGFiP a reconnu que des accès frauduleux à ses systèmes d'information avaient permis la consultation et l'exfiltration de données concernant plusieurs centaines de milliers de particuliers et de professionnels. Ces données sont particulièrement sensibles puisqu'elles peuvent notamment concerner l'identité et les coordonnées des contribuables ainsi que différents éléments relatifs à leur situation fiscale. Cette nouvelle atteinte à la sécurité des données intervient quelques mois seulement après l'accès frauduleux au fichier national des comptes bancaires (FICOBA), rendu public en février 2026. Dans cette précédente affaire, l'usurpation des identifiants d'un fonctionnaire avait permis à un acteur malveillant d'accéder à des informations relatives à environ 1,2 million de comptes bancaires, comprenant notamment des coordonnées bancaires, l'identité et l'adresse de leurs titulaires. La répétition, en quelques mois, d'incidents reposant notamment sur la compromission ou l'usurpation d'identifiants de personnes habilitées soulève de sérieuses interrogations quant au niveau de sécurisation des accès aux systèmes d'information de la DGFiP. Elle interroge également sur les mesures effectivement mises en œuvre à la suite de l'incident FICOBA et sur leur capacité à empêcher la répétition de telles intrusions. L'administration fiscale collecte et conserve, par obligation légale, certaines des informations personnelles et patrimoniales les plus sensibles concernant les Français. Ces derniers sont donc en droit d'attendre de l'État un niveau particulièrement élevé de protection de ces données. En conséquence, il lui demande de préciser quelles mesures de sécurisation des accès aux systèmes d'information de la DGFiP ont été décidées et effectivement déployées depuis l'incident FICOBA de janvier 2026 ; quel était, au moment des dernières intrusions, le niveau de déploiement de l'authentification forte pour les agents et les tiers habilités ayant accès aux données fiscales sensibles ; pour quelles raisons les mécanismes de contrôle et de surveillance n'ont pas permis d'identifier immédiatement l'ensemble des consultations ou extractions frauduleuses de données ; quelles mesures nouvelles sont désormais prévues afin de renforcer l'authentification, la traçabilité et la détection des accès anormaux ; si le Gouvernement entend rendre publiques les principales conclusions des audits de sécurité conduits à la suite de ces incidents, notamment avec le concours de l'Agence nationale de la sécurité des systèmes d'information et, enfin, quelles mesures seront prises afin de garantir une information rapide et complète de l'ensemble des contribuables dont les données personnelles ont été compromises.