Fuite de données à la DGFiP : ce que les entreprises doivent faire

En bref

• La DGFiP a annoncé le 14 août 2026 un vol de données consécutif à des accès illégitimes à son système d'information intervenus en juin et juillet 2026. Son communiqué évoque 678 000 particuliers et professionnels ; ses FAQ du 24 août précisent un peu plus de 250 000 professionnels et un peu plus de 350 000 particuliers.
• Pour les entreprises, les données consultées ou extraites sont le numéro SIREN, la dénomination et l'adresse, ainsi que des informations génériques sur les messages échangés avec la DGFiP via la messagerie d'impots.gouv.fr. Des données cadastrales ont été consultées sur un périmètre distinct.
• Ni les mots de passe ni les espaces professionnels n'ont été compromis. Le vol a été rendu possible par l'usurpation d'identifiants d'agents publics.
• C'est le deuxième incident de ce type rendu public par la DGFiP en 2026, après les accès illégitimes au fichier FICOBA à partir de fin janvier, déjà réalisés avec les identifiants usurpés d'un fonctionnaire.

Ce qui s'est passé

Le 14 août 2026, le ministère de l'Économie a publié un communiqué annonçant un vol de données au sein du système d'information de la Direction générale des Finances publiques. La DGFiP a ensuite détaillé l'incident sur impots.gouv.fr, avec une foire aux questions pour les particuliers et une autre pour les professionnels.

Les faits établis à ce jour :

• Des accès frauduleux au système d'information de la DGFiP sont intervenus en juin et juillet 2026. Détectés et fermés à l'époque, ils n'ont été reliés à un vol de données qu'à partir du 12 août 2026, ce vol ayant été « réalisé par contournement des circuits usuels ».
• Ils reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, selon le communiqué du 14 août.
• Le communiqué évoque 678 000 particuliers et professionnels. Les FAQ du 24 août parlent d'un peu plus de 250 000 professionnels et d'un peu plus de 350 000 particuliers.
• Les espaces Finances publiques des particuliers et des professionnels n'ont pas été compromis, et les mots de passe ne font pas partie des données dérobées.
• La DGFiP a saisi la CNIL et déposé plainte. Elle travaille avec le service du Haut fonctionnaire de défense et de sécurité des ministères économiques et financiers et avec l'ANSSI.

Quelles données pour les entreprises ?

La distinction est importante, car le périmètre diffère nettement entre particuliers et professionnels.

Pour les particuliers, la DGFiP cite l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation fiscale (situation de famille, personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et la liste des messages échangés avec l'administration.

Pour les professionnels, la FAQ dédiée mentionne :

• le numéro SIREN, la dénomination et l'adresse de l'entreprise ;
• des informations génériques sur les messages échangés par les personnes habilitées de l'entreprise avec la DGFiP (identifiant et date de la demande, service chargé du suivi, nature du formulaire, statut), sans le contenu des messages ;
• pour moins de 2 076 professionnels, le contenu des messages eux-mêmes, mais pas les pièces jointes. Ces entreprises ont reçu une information spécifique.

Sur un périmètre distinct, des données cadastrales (adresses et surfaces de biens immobiliers) ont également été consultées. Les déclarations, les paiements d'impôts et les coordonnées bancaires des professionnels n'ont pas été consultés.

La DGFiP le dit elle-même : SIREN, dénomination et adresse sont « pour l'essentiel, des informations déjà publiques ». Selon elle, le principal point de vigilance porte donc sur les métadonnées de messagerie et sur l'usage qui pourrait en être fait « pour crédibiliser une tentative d'escroquerie ».

Pourquoi une fuite de données « publiques » constitue quand même un risque

Le danger ne vient pas de la sensibilité intrinsèque des données, mais de l'usage qui peut en être fait dans un scénario d'ingénierie sociale. La FAQ destinée aux particuliers cite d'ailleurs l'hameçonnage et les fraudes par manipulation (faux conseiller bancaire, fraude au président) comme principales conséquences possibles.

Trois éléments changent la donne.

1. La provenance sert de preuve d'authenticité

Imaginez un escroc qui vous appelle en citant votre SIREN, votre adresse et la date et l'objet de votre dernière demande adressée au service des impôts, en se présentant comme un agent des finances publiques. Il dispose d'une crédibilité qu'aucun démarchage classique n'atteint. La question réflexe (« comment connaît-il tout cela ? ») trouve une réponse rassurante et fausse : « parce qu'il est bien de l'administration ».

C'est le mécanisme du prétexting : bâtir un scénario de confiance pour pousser la victime à agir. Le DBIR 2026 de Verizon le décrit comme un vecteur d'accès initial de plus en plus fréquent dans les attaques par rançongiciel et les extorsions. Ce n'est pas la donnée qui a de la valeur, c'est la vraisemblance qu'elle achète.

2. Les données se recoupent

Une fuite se combine avec les précédentes. Prenons un attaquant qui dispose du SIREN et des métadonnées de messagerie issus de cette fuite. Il y ajoute le nom du dirigeant tiré des registres publics, les adresses courriel professionnelles trouvées sur votre site ou LinkedIn, et parfois un mot de passe issu d'une fuite antérieure. Il obtient ainsi un dossier de ciblage précis pour un coût très faible.

3. Le contexte fiscal crée l'urgence

Un remboursement à récupérer, un contrôle annoncé, une régularisation à effectuer « sous 48 heures » : les thématiques fiscales se prêtent bien au levier de l'urgence, qui fait fonctionner la manœuvre. L'incident lui-même fournit un prétexte tout trouvé : des messages se présentant comme des « informations sur la fuite de données » sont à prévoir. La CNIL appelle d'ailleurs à « rester vigilant face aux tentatives d'hameçonnage » exploitant ces données.

Ce n'est pas un incident isolé

Le point qui mérite le plus d'attention est celui-ci : c'est le deuxième incident de ce type rendu public par la DGFiP en 2026.

À partir de fin janvier 2026, des accès illégitimes au fichier national des comptes bancaires (FICOBA) ont touché 1,2 million de comptes bancaires. Ils ont exposé les coordonnées bancaires (RIB/IBAN), l'identité des titulaires et leurs adresses. Là encore, l'attaquant avait usurpé les identifiants d'un fonctionnaire disposant d'accès dans le cadre des échanges d'information entre ministères.

Deux incidents majeurs, à quelques mois d'intervalle, obtenus non par une prouesse technique mais avec les identifiants d'utilisateurs autorisés. Le constat rejoint les publications de référence. Dans son Panorama de la cybermenace 2025, l'ANSSI écrit à propos du mode opératoire Scattered Spider que son accès « est quasi systématiquement obtenu grâce à la compromission d'accès légitimes ». De son côté, Cybermalveillance.gouv.fr classe le piratage de compte au premier rang des menaces visant les entreprises et associations en 2025 : 21 % des demandes d'assistance, en hausse de 52 %.

La leçon n'est pas que l'État sécurise mal ses systèmes. Elle est qu'un compte utilisateur légitime, dans une organisation par ailleurs défendue, suffit à ouvrir la porte. C'est vrai à Bercy comme dans une PME de trente personnes.

Ce que votre entreprise doit faire concrètement

Si vous êtes concerné

Depuis le 24 août 2026, la DGFiP informe chaque professionnel concerné par courriel, ou par courrier si elle ne dispose pas d'adresse électronique. Le message précise les données susceptibles d'avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter.

Point de vigilance immédiat, et un peu ironique : ce message d'information est lui-même une opportunité pour les escrocs, qui peuvent l'imiter. La DGFiP donne plusieurs repères :

• son message ne contient aucun lien direct vers votre espace professionnel et ne demande aucune information confidentielle ;
• les messages qu'elle envoie se terminent toujours par « @dgfip.finances.gouv.fr » ;
• elle ne demandera jamais d'informations confidentielles en dehors de votre espace professionnel sur impots.gouv.fr, que ce soit par courriel, SMS ou téléphone.

En cas de doute, ne cliquez sur aucun lien : tapez vous-même l'adresse impots.gouv.fr et connectez-vous à votre espace professionnel par vos moyens habituels.

Les mesures à prendre, que vous soyez concerné ou non

1. Alertez explicitement la comptabilité et la direction. Ce sont les fonctions ciblées. Un message court suffit : « une fuite de données fiscales a eu lieu, attendez-vous à des sollicitations très crédibles se présentant comme le fisc ou un fournisseur ».
2. Verrouillez la procédure de changement de RIB. C'est la mesure qui protège le plus d'argent. Tout changement de coordonnées bancaires d'un fournisseur ou d'un salarié doit être vérifié par rappel au numéro déjà connu (jamais celui indiqué dans le message) et validé par une deuxième personne. Selon Cybermalveillance.gouv.fr, la fraude au virement fait son entrée dans les trois principales menaces visant les entreprises et associations en 2025, avec des demandes d'assistance en hausse de 93 %.
3. Instaurez une règle de rappel pour tout appel « officiel » demandant une information ou une action. On raccroche, on rappelle au numéro figurant sur un document officiel ou sur le site institutionnel.
4. Activez l'authentification multifacteur sur votre messagerie et vos accès bancaires, et partout où elle est proposée. Les mots de passe des usagers ne sont pas concernés par cette fuite, mais l'incident est un bon prétexte pour traiter un chantier souvent repoussé.
5. Surveillez vos relevés bancaires et les prélèvements inhabituels dans les semaines qui viennent, en particulier si vous étiez également concerné par l'incident FICOBA.
6. Conservez les preuves de toute tentative de fraude, signalez-la sur cybermalveillance.gouv.fr et, en cas de préjudice, déposez plainte (plateforme THÉSÉE, commissariat ou gendarmerie), comme le recommande la DGFiP.

La question de fond à se poser

Au-delà de la réaction immédiate, cet incident pose une question que peu d'entreprises traitent : que se passerait-il si les identifiants d'un de vos salariés étaient usurpés ?

Trois sous-questions, dont les réponses valent un audit :

• Combien de données ce compte peut-il consulter ou extraire, et cette étendue est-elle justifiée par ses fonctions ?
• Une extraction massive de données par un compte légitime déclencherait-elle une alerte, ou passerait-elle inaperçue ?
• Disposez-vous des journaux permettant de déterminer, après coup, ce qui a été consulté ? Sans eux, il est très difficile d'évaluer le périmètre d'une violation et d'informer précisément les personnes concernées.

L'exemple de la DGFiP est instructif dans les deux sens : les accès avaient été détectés et fermés dès juin et juillet, mais le vol lui-même n'a été établi qu'en août. Détecter une connexion anormale ne suffit pas, il faut aussi savoir ce qu'elle a emporté.

Questions fréquentes

Comment savoir si mon entreprise est concernée ?

La DGFiP informe directement les professionnels concernés, par courriel ou par courrier, depuis le 24 août 2026. Une foire aux questions est disponible sur impots.gouv.fr, et vous pouvez interroger vos services via la messagerie de votre espace professionnel. Méfiez-vous des sites tiers proposant de « vérifier si vous êtes concerné » : ce type de service est un moyen classique de collecte frauduleuse.

Mes mots de passe fiscaux sont-ils compromis ?

Non. La DGFiP indique que l'espace professionnel n'a pas été compromis et que le mot de passe permettant d'y accéder ne fait pas partie des données dérobées. Il n'est donc pas nécessaire de le modifier, même si vous pouvez le faire à tout moment.

Faut-il porter plainte auprès de la CNIL ?

Ce n'est pas nécessaire. La CNIL, saisie par la DGFiP, indique qu'« il n'est pas nécessaire de saisir la CNIL d'une plainte individuelle à ce sujet », sauf si vous disposez d'informations utiles à ses investigations. Elle mène des vérifications sur les mesures de sécurité en place. Pour une entreprise, l'enjeu pratique immédiat reste la prévention de la fraude. En cas de préjudice réel, déposez plainte.

Cette fuite peut-elle servir à usurper l'identité de mon entreprise ?

Le risque principal est l'usurpation dans un contexte de démarchage ou de fraude : se faire passer pour l'administration auprès de vous, ou pour vous auprès de vos partenaires. D'où l'importance de la règle de vérification par rappel, dans les deux sens.

Pour aller plus loin

Notre diagnostic de maturité cyber évalue notamment la gestion des accès, la journalisation et vos procédures de vérification financière. Voir aussi nos articles sur la formation à la détection du phishing, sur le piratage de compte et la fraude au virement, et le guide d'une politique de mots de passe robuste. Pour un audit des habilitations ou la mise en place d'une détection des accès anormaux, consultez des prestataires certifiés.

Sources

• Ministère de l'Économie, Accès illégitimes au système d'information de la Direction générale des Finances publiques, communiqué du 14 août 2026.
• DGFiP, Vol de données suite à des accès illégitimes au système d'information de la DGFiP, impots.gouv.fr.
• DGFiP, Foire aux questions pour les professionnels, 24 août 2026 (PDF).
• DGFiP, Foire aux questions pour les particuliers, 24 août 2026 (PDF).
• DGFiP, Accès illégitimes au fichier national des comptes bancaires (FICOBA), 18 février 2026.
• CNIL, Piratage du système d'information des impôts : les vérifications sont en cours, 18 août 2026.
• Cybermalveillance.gouv.fr, Les principales cybermalveillances visant les professionnels en 2025.
• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Verizon, 2026 Data Breach Investigations Report.