↓ Aller au contenu
Comptaverse
Comptaverse
  1. Articles/

Fuite de données à la DGFiP : ce que doivent faire les entreprises concernées

·2198 mots·11 mins·
Sommaire

678 000 : c’est le nombre de particuliers et de professionnels dont des données ont été consultées et extraites lors d’un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP), selon le communiqué officiel du ministère de l’Économie publié le 14 août 2026. Moins de trois semaines après l’entrée en vigueur de l’obligation de réception des factures électroniques, et six mois après la fuite du fichier FICOBA, c’est le deuxième incident de cybersécurité touchant l’administration fiscale en 2026 — avec, cette fois, des données propres aux entreprises parmi celles exposées.

Ce que Bercy confirme officiellement
#

Le communiqué de presse n° 953 du ministère de l’Économie, daté du 14 août 2026, est la seule source à considérer comme établie à ce stade — les chiffres circulant sur les réseaux et sur certains sites spécialisés, parfois plus précis ou plus alarmants, n’engagent que leurs auteurs tant qu’ils ne sont pas repris par la DGFiP elle-même. Voici ce que le texte officiel établit :

  • Chronologie : les intrusions ont eu lieu en juin et juillet 2026, par usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Les accès concernés ont été coupés dès leur détection, mais les contrôles réalisés à ce moment-là n’avaient pas permis d’identifier un vol de données, « en raison de la sophistication de l’attaque ». Ce n’est qu’à la suite d’investigations approfondies, engagées depuis le 12 août 2026 — date à laquelle un acteur malveillant a revendiqué publiquement ces accès —, que l’ampleur réelle a été établie.
  • Données concernées : pour un total de 678 000 particuliers et professionnels, ont été consultées et/ou extraites des données fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source) et, pour les entreprises spécifiquement, leur raison sociale et leur numéro SIREN. Des données cadastrales (adresses et surfaces de biens immobiliers) ont également été consultées.
  • Ce qui n’a pas été compromis : les espaces Finances publiques (particuliers comme professionnels) n’ont pas été touchés, et les identifiants et mots de passe n’ont pas été compromis. Il ne s’agit donc pas d’un accès qui permettrait à un tiers de se connecter à votre compte.
  • Mesures prises : saisine de la CNIL dès l’identification du vol de données, coupures préventives d’accès à des systèmes d’information sensibles, mobilisation du service du Haut fonctionnaire de défense et de sécurité (SHFDS) et de l’ANSSI, et dépôt de plainte à venir.
  • Investigations en cours : Bercy précise explicitement que le volume exact de données extraites et le nombre définitif d’usagers concernés restent encore à déterminer précisément — le chiffre de 678 000 est donc un point d’étape, pas nécessairement un chiffre final.

Mise à jour du 19 août : un volet cadastral confirmé et une troisième fuite révélée
#

Le même acteur malveillant avait revendiqué, le 14 août, un second accès distinct visant un serveur professionnel de données cadastrales (SPDC), portant selon lui sur environ 2 millions de propriétaires immobiliers. Une conférence de presse tenue à Bercy le 18 août 2026, avec le ministre chargé des Comptes publics David Amiel, la directrice générale des Finances publiques Amélie Verdier et l’ANSSI, a permis de clarifier la situation :

  • Le volet cadastral est bien réel. Après plusieurs jours d’investigations complémentaires, l’administration a révisé à la hausse son évaluation initiale (environ 200 000 informations cadastrales évoquées le 17 août) pour reconnaître une ampleur nettement plus importante. La presse spécialisée rapporte un chiffre officiel de l’ordre de 1,8 million de comptes cadastraux concernés — un ordre de grandeur proche de la revendication du pirate, sans toutefois s’y superposer exactement. Comme pour le premier incident, l’attaquant a pu consulter et extraire des données (adresses, surfaces de biens), mais pas les modifier.
  • Une troisième fuite, plus limitée, a été révélée le jour même de la conférence. La DGFiP a annoncé avoir détecté, le lundi 17 août 2026, un accès non autorisé au portail des successions vacantes — un service qui permet notamment aux créanciers d’un défunt de savoir s’ils peuvent se retourner vers un héritier. Cet accès a été coupé rapidement après sa découverte. Amélie Verdier a qualifié cette troisième brèche de « vraiment pas du tout de la même ampleur » que les deux précédentes, les informations exposées étant moins sensibles et comparables à des données déjà publiques (de type annonces légales). Le nombre précis de personnes concernées par ce troisième incident n’avait pas été communiqué au moment de la mise à jour de cet article.
  • Le gouvernement a présenté ses excuses. David Amiel a déclaré : « Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français », reconnaissant que « nos systèmes d’information comportent des faiblesses ».
  • Un plan d’action a été annoncé, articulé autour de la lutte contre la compromission des comptes d’agents (à l’origine des trois intrusions, par usurpation d’identifiants), du renforcement de la formation à la cybersécurité des personnels, et de tests internes utilisant l’intelligence artificielle pour détecter des vulnérabilités.

Point de méthode pour nos lecteurs : au moment de la rédaction, nous n’avons pas trouvé de communiqué officiel détaillé et daté sur presse.economie.gouv.fr reprenant l’intégralité de ces chiffres (au-delà du communiqué initial du 14 août) ; les éléments ci-dessus proviennent de la conférence de presse du 18 août telle que rapportée par plusieurs médias économiques et spécialisés (dépêche AFP, franceinfo). Nous les mettrons à jour si un communiqué écrit plus précis venait à être publié.

Mise à jour du 25 août : plus de 250 000 professionnels concernés, la notification commence
#

La DGFiP a mis en ligne le 24 août 2026 une foire aux questions (FAQ) dédiée spécifiquement aux professionnels, qui apporte plusieurs précisions inédites par rapport au communiqué du 14 août :

  • Un chiffre propre aux entreprises, distinct du total de 678 000 : « un peu plus de 250 000 professionnels sont concernés par cet acte de malveillance », précise la FAQ. Ce chiffre n’avait pas été communiqué séparément jusqu’ici.
  • La notification individuelle des professionnels commence le 24 août 2026 : chaque entreprise concernée (ou son mandataire, par exemple un expert-comptable agissant pour un client) reçoit un message d’information de la DGFiP, par courriel ou par courrier en l’absence d’adresse mail connue, conformément à l’obligation d’information de l’article 34 du RGPD. Ce message ne contient aucun lien direct vers l’espace professionnel et ne demande aucune information confidentielle — un point à vérifier systématiquement avant toute interaction, tant les fraudeurs pourraient être tentés d’imiter ce type de communication.
  • Le périmètre exact des données professionnelles est désormais précisé : numéro SIREN, dénomination et adresse de l’entreprise (des informations déjà publiques pour l’essentiel), ainsi que des métadonnées génériques sur les échanges tenus via la messagerie d’impots.gouv.fr — identifiant de la demande, date, service en charge du suivi, nature du formulaire utilisé, statut du dossier. La DGFiP précise explicitement que le contenu des messages n’a pas été divulgué, et que ni les déclarations, ni les paiements, ni les coordonnées bancaires transmises via l’espace professionnel n’ont été consultés.
  • Aucun lien avec la facturation électronique. À une semaine de l’entrée en vigueur de l’obligation de réception des factures électroniques, la FAQ tranche explicitement une question qui pouvait légitimement inquiéter : « ces incidents n’ont concerné ni les infrastructures de la facturation électronique ni les plateformes agréées » et sont « sans lien avec les échanges de factures électroniques entre entreprises ». Le document rappelle au passage que les plateformes agréées sont soumises à des exigences de sécurité propres (certification ISO 27001, qualification ANSSI SecNumCloud en cas d’hébergement cloud externalisé, absence de transfert de données hors Union européenne, authentification renforcée, traçabilité des opérations) — un point rassurant, mais qui ne dispense pas de vérifier ces garanties auprès de la plateforme choisie.

Par ailleurs, la CNIL a confirmé le 18 août sur son site officiel qu’elle mène des vérifications sur la conformité des mesures de sécurité de la DGFiP à l’état de l’art, et qu’elle pourra, en cas de manquement identifié au RGPD, prononcer des sanctions à l’encontre des responsables de traitement concernés — une procédure qui suit son cours indépendamment des mesures d’information déjà engagées par l’administration.

Pourquoi une fuite de raison sociale et de SIREN concerne directement les dirigeants de PME
#

Une raison sociale et un numéro SIREN ne sont pas, en eux-mêmes, des informations confidentielles : ils figurent déjà sur l’extrait Kbis, sur le site data.gouv.fr ou sur toute facture émise par l’entreprise. Ce qui rend leur association à d’autres données fiscales sensible, c’est le contexte : combinées à des éléments qui donnent l’impression d’une source fiable — une administration, un partenaire habituel —, ces données rendent une tentative de phishing ou d’usurpation nettement plus crédible.

C’est exactement le terrain sur lequel opèrent les escroqueries aux faux ordres de virement (FOVI) déjà détaillées dans notre article du 9 août sur la fraude au RIB et aux virements : un fraudeur qui dispose de la raison sociale exacte, du SIREN et d’éléments fiscaux réels d’une entreprise peut construire un message de phishing — ou un faux courrier de « régularisation fiscale » — bien plus difficile à distinguer d’un échange légitime avec l’administration ou avec un partenaire commercial.

Le calendrier de notification individuelle
#

Bercy s’engage à contacter directement, à partir de la semaine du 17 août 2026, chacun des particuliers et professionnels concernés, par courriel ou par courrier, en précisant les données susceptibles d’avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. Concrètement : si vous n’avez reçu aucune communication de la DGFiP dans les prochaines semaines, rien n’indique à ce stade que votre entreprise figure parmi les 678 000 dossiers concernés.

Précision du 25 août : pour les professionnels spécifiquement, la FAQ dédiée confirme que l’envoi des messages d’information a démarré le 24 août 2026. Un message reçu ne contiendra jamais de lien direct vers votre espace professionnel ni de demande d’information confidentielle.

Ce qu’une entreprise doit faire maintenant
#

En l’absence de compromission des mots de passe et des espaces professionnels, il n’y a pas lieu de modifier ses identifiants impots.gouv.fr dans l’urgence. En revanche, plusieurs réflexes s’imposent, qu’on ait ou non reçu une notification individuelle :

  1. Ne répondre à aucune sollicitation par e-mail ou SMS demandant des identifiants, un mot de passe ou des coordonnées bancaires en se réclamant de cet incident ou de la DGFiP de façon générale — l’administration fiscale ne le fait jamais, et un tel message doit être considéré comme frauduleux par défaut.
  2. Vérifier toute communication reçue en se connectant directement à son espace professionnel sur impots.gouv.fr, sans jamais cliquer sur un lien reçu par courriel, même s’il paraît provenir de la DGFiP.
  3. Rappeler à l’équipe comptable et aux personnes habilitées à valider des virements que ce type d’incident nourrit précisément les scénarios de fraude au faux fournisseur ou au faux dirigeant — l’occasion de revérifier la procédure interne de validation des changements de RIB, indépendamment du présent incident.
  4. Documenter toute tentative suspecte (capture d’écran, en-têtes de courriel) reçue dans les semaines qui suivent, et la signaler via cybermalveillance.gouv.fr en cas de doute sérieux.
  5. Suivre les communications officielles de la DGFiP et, le cas échéant, de la CNIL, plutôt que de se fier aux chiffres non confirmés circulant sur les réseaux sociaux ou sur des sites de veille non institutionnels.

Un deuxième incident en six mois : un signal à ne pas ignorer
#

Après la fuite du fichier FICOBA (accès illégitime détecté en février 2026, environ 1,2 million de comptes bancaires concernés) puis cet accès de juin-juillet 2026 révélé en août, la répétition du mode opératoire — usurpation des identifiants d’un agent ou d’un tiers habilité, plutôt qu’une faille technique directe de l’application — interroge sur la robustesse des contrôles d’accès internes des grandes administrations. Pour une entreprise, la leçon pratique n’est pas de se méfier de l’administration fiscale en tant que telle, mais de retenir qu’aucune donnée transmise à une tierce partie, même une administration, n’est à l’abri d’un accès frauduleux — ce qui justifie de maintenir, en interne, des procédures de vérification qui ne reposent pas uniquement sur la vraisemblance apparente d’un message.

Sources
#

Articles connexes