🔐 Quand le MFA ne suffit plus : les leçons de l’affaire DGFiP pour les PME
Le 14 août 2026, Bercy a confirmé des accès illégitimes au SI de la DGFiP, intervenus en juin et juillet 2026, reposant sur des usurpations d’identifiants d’un agent et d’un tiers habilité. Bilan : 678 000 particuliers et professionnels concernés.
Le vecteur ? Pas une faille sophistiquée, mais des identifiants légitimes. L’attaquant est entré par la porte, avec les clés de quelqu’un d’autre.
L’attaquant revendique aussi un contournement du MFA non confirmé à ce stade par une source indépendante.
Ce que cette affaire nous rappelle :
1️⃣ Le MFA est nécessaire, mais ne peut pas être la dernière ligne de défense. Session hijacking, MFA fatigue, adversary-in-the-middle : les contournements existent.
2️⃣ Le tiers habilité est un maillon critique. Pour une PME : prestataire IT, comptable externe, freelance qui garde ses accès après la mission…
3️⃣ La détection post-authentification devient centrale. Le danger ne vient pas d’un compte inconnu, mais d’un compte légitime tombé entre de mauvaises mains.
3 chantiers concrets pour une PME :
✅ Cartographier les accès tiers : qui, quoi, depuis quand et révocation automatique en fin de mission.
✅ MFA résistant au phishing (FIDO2, passkeys) sur les comptes critiques : direction, DAF, admin IT, cloud.
✅ Journalisation et alerte comportementale : connexion depuis un pays inhabituel, volume anormal, horaires atypiques.
En 25 ans dans les réseaux et l’IT, j’ai vu la sécurité passer d’un sujet “périmètre” à un sujet “identité”. L’affaire DGFiP le confirme : aujourd’hui, l’identité est le nouveau périmètre.
Et vous, où en êtes-vous sur la gestion des accès de vos prestataires externes ? 🤔
Sources : presse.economie.gouv.fr (14/08/2026) • CERT-FR • Global Security
hashtagCybersecurite hashtagMFA hashtagIAM hashtagpme hashtagANSSI hashtagAgilens
Quand_MFA_ne_suffit_plus : Affaire DGFIP
Quand_MFA_ne_suffit_plus : Affaire DGFIP