↓ Aller au contenu
Comptaverse
Comptaverse
  1. Articles/

Fuite de données à la DGFiP : ce que doivent faire les entreprises concernées

·1242 mots·6 mins·
Sommaire

678 000 : c’est le nombre de particuliers et de professionnels dont des données ont été consultées et extraites lors d’un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP), selon le communiqué officiel du ministère de l’Économie publié le 14 août 2026. Moins de trois semaines après l’entrée en vigueur de l’obligation de réception des factures électroniques, et six mois après la fuite du fichier FICOBA, c’est le deuxième incident de cybersécurité touchant l’administration fiscale en 2026 — avec, cette fois, des données propres aux entreprises parmi celles exposées.

Ce que Bercy confirme officiellement
#

Le communiqué de presse n° 953 du ministère de l’Économie, daté du 14 août 2026, est la seule source à considérer comme établie à ce stade — les chiffres circulant sur les réseaux et sur certains sites spécialisés, parfois plus précis ou plus alarmants, n’engagent que leurs auteurs tant qu’ils ne sont pas repris par la DGFiP elle-même. Voici ce que le texte officiel établit :

  • Chronologie : les intrusions ont eu lieu en juin et juillet 2026, par usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Les accès concernés ont été coupés dès leur détection, mais les contrôles réalisés à ce moment-là n’avaient pas permis d’identifier un vol de données, « en raison de la sophistication de l’attaque ». Ce n’est qu’à la suite d’investigations approfondies, engagées depuis le 12 août 2026 — date à laquelle un acteur malveillant a revendiqué publiquement ces accès —, que l’ampleur réelle a été établie.
  • Données concernées : pour un total de 678 000 particuliers et professionnels, ont été consultées et/ou extraites des données fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source) et, pour les entreprises spécifiquement, leur raison sociale et leur numéro SIREN. Des données cadastrales (adresses et surfaces de biens immobiliers) ont également été consultées.
  • Ce qui n’a pas été compromis : les espaces Finances publiques (particuliers comme professionnels) n’ont pas été touchés, et les identifiants et mots de passe n’ont pas été compromis. Il ne s’agit donc pas d’un accès qui permettrait à un tiers de se connecter à votre compte.
  • Mesures prises : saisine de la CNIL dès l’identification du vol de données, coupures préventives d’accès à des systèmes d’information sensibles, mobilisation du service du Haut fonctionnaire de défense et de sécurité (SHFDS) et de l’ANSSI, et dépôt de plainte à venir.
  • Investigations en cours : Bercy précise explicitement que le volume exact de données extraites et le nombre définitif d’usagers concernés restent encore à déterminer précisément — le chiffre de 678 000 est donc un point d’étape, pas nécessairement un chiffre final.

Un second signalement, distinct et non confirmé à ce stade
#

Le même acteur malveillant a revendiqué, le 14 août, un second accès distinct visant un serveur professionnel de données cadastrales, portant potentiellement sur environ 2 millions de propriétaires immobiliers. À la différence du premier incident, cette seconde revendication n’est pas reprise, à ce jour, dans un communiqué officiel de la DGFiP — elle provient de sources de veille en cybersécurité et reste, par prudence, à traiter comme une allégation en cours de vérification plutôt que comme un fait établi. Nous mettrons cet article à jour si Bercy la confirme.

Pourquoi une fuite de raison sociale et de SIREN concerne directement les dirigeants de PME
#

Une raison sociale et un numéro SIREN ne sont pas, en eux-mêmes, des informations confidentielles : ils figurent déjà sur l’extrait Kbis, sur le site data.gouv.fr ou sur toute facture émise par l’entreprise. Ce qui rend leur association à d’autres données fiscales sensible, c’est le contexte : combinées à des éléments qui donnent l’impression d’une source fiable — une administration, un partenaire habituel —, ces données rendent une tentative de phishing ou d’usurpation nettement plus crédible.

C’est exactement le terrain sur lequel opèrent les escroqueries aux faux ordres de virement (FOVI) déjà détaillées dans notre article du 9 août sur la fraude au RIB et aux virements : un fraudeur qui dispose de la raison sociale exacte, du SIREN et d’éléments fiscaux réels d’une entreprise peut construire un message de phishing — ou un faux courrier de « régularisation fiscale » — bien plus difficile à distinguer d’un échange légitime avec l’administration ou avec un partenaire commercial.

Le calendrier de notification individuelle
#

Bercy s’engage à contacter directement, à partir de la semaine du 17 août 2026, chacun des particuliers et professionnels concernés, par courriel ou par courrier, en précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. Concrètement : si vous n’avez reçu aucune communication de la DGFiP dans les prochaines semaines, rien n’indique à ce stade que votre entreprise figure parmi les 678 000 dossiers concernés.

Ce qu’une entreprise doit faire maintenant
#

En l’absence de compromission des mots de passe et des espaces professionnels, il n’y a pas lieu de modifier ses identifiants impots.gouv.fr dans l’urgence. En revanche, plusieurs réflexes s’imposent, qu’on ait ou non reçu une notification individuelle :

  1. Ne répondre à aucune sollicitation par e-mail ou SMS demandant des identifiants, un mot de passe ou des coordonnées bancaires en se réclamant de cet incident ou de la DGFiP de façon générale — l’administration fiscale ne le fait jamais, et un tel message doit être considéré comme frauduleux par défaut.
  2. Vérifier toute communication reçue en se connectant directement à son espace professionnel sur impots.gouv.fr, sans jamais cliquer sur un lien reçu par courriel, même s’il paraît provenir de la DGFiP.
  3. Rappeler à l’équipe comptable et aux personnes habilitées à valider des virements que ce type d’incident nourrit précisément les scénarios de fraude au faux fournisseur ou au faux dirigeant — l’occasion de revérifier la procédure interne de validation des changements de RIB, indépendamment du présent incident.
  4. Documenter toute tentative suspecte (capture d’écran, en-têtes de courriel) reçue dans les semaines qui suivent, et la signaler via cybermalveillance.gouv.fr en cas de doute sérieux.
  5. Suivre les communications officielles de la DGFiP et, le cas échéant, de la CNIL, plutôt que de se fier aux chiffres non confirmés circulant sur les réseaux sociaux ou sur des sites de veille non institutionnels.

Un deuxième incident en six mois : un signal à ne pas ignorer
#

Après la fuite du fichier FICOBA (accès illégitime détecté en février 2026, environ 1,2 million de comptes bancaires concernés) puis cet accès de juin-juillet 2026 révélé en août, la répétition du mode opératoire — usurpation des identifiants d’un agent ou d’un tiers habilité, plutôt qu’une faille technique directe de l’application — interroge sur la robustesse des contrôles d’accès internes des grandes administrations. Pour une entreprise, la leçon pratique n’est pas de se méfier de l’administration fiscale en tant que telle, mais de retenir qu’aucune donnée transmise à une tierce partie, même une administration, n’est à l’abri d’un accès frauduleux — ce qui justifie de maintenir, en interne, des procédures de vérification qui ne reposent pas uniquement sur la vraisemblance apparente d’un message.

Sources
#

Articles connexes