Piratage du fisc : ce qui a fuité côté entreprises, et les 3 vérifications à faire cette semaine

En résumé. Le système d'information de la DGFiP a été pénétré fin juin 2026 : 678 000 usagers, particuliers et professionnels, voient une partie de leurs données fiscales exposées. Pour une PME, le risque immédiat n'est pas la perte du compte impots.gouv.fr, mais l'usage de ces données pour rendre crédible un mail ou un appel frauduleux.

Ce qui s'est passé

Un attaquant a obtenu un accès illégitime au système d'information de la Direction générale des Finances publiques fin juin 2026, en usurpant une identité. L'administration a d'abord parlé de quelques centaines de milliers d'usagers, puis a arrêté un bilan à 678 000 personnes et professionnels concernés, communiqué le 14 août.

Le 15 août, le parquet de Paris a ouvert une enquête et l'a confiée à l'Office anti-cybercriminalité. Le Premier ministre Sébastien Lecornu préside ce lundi 17 août une cellule interministérielle de crise, notamment pour organiser la notification des personnes touchées, qui devait démarrer le même jour.

Sur la nature des données, la DGFiP est précise. Pour les particuliers : nom, quotient familial, revenu fiscal de référence, taux de prélèvement à la source. Pour les professionnels, les données sont moins sensibles : numéro SIREN, adresse de l'entreprise, adresse du représentant. L'administration indique que ces informations ne permettent pas d'accéder au compte sécurisé sur impots.gouv.fr.

Suis-je concerné ?

Si votre entreprise fait partie des comptes touchés, vous recevrez une notification de la DGFiP. Attention : c'est exactement le moment où les escrocs vont s'engouffrer. Des campagnes de faux courriels imitant des adresses en « @dgfip.finances.gouv.fr » circulent déjà, avec la promesse d'un remboursement d'impôt et un formulaire à remplir. Plusieurs milliers de personnes s'y sont laissé prendre ces derniers mois, avant même cette affaire.

L'exposition par ricochet est réelle même si les données volées paraissent anodines. Un SIREN, une adresse de siège et le nom du dirigeant permettent d'écrire un message qui ne ressemble plus à du spam : bon interlocuteur, bonnes références, bon contexte fiscal. C'est le carburant classique d'une fraude au virement ou d'une demande de « régularisation » urgente adressée à votre comptable.

Point important : rien n'indique à ce stade que des mots de passe ou des coordonnées bancaires aient fuité. Inutile donc de déclencher une remise à zéro générale de vos accès. Le sujet, c'est la crédibilité donnée aux tentatives de manipulation.

Que faire maintenant

1. Prévenir les personnes qui manipulent l'argent. Comptable, assistant de direction, dirigeant : dites-leur en une phrase qu'une vague de messages se réclamant du fisc est probable dans les jours qui viennent. Une administration ne demande jamais un RIB ni un paiement par mail ou par téléphone. Toute demande de remboursement se vérifie en se connectant soi-même à impots.gouv.fr, jamais via un lien reçu.

2. Verrouiller la procédure de virement. Le meilleur pare-feu ici n'est pas technique. Fixez la règle : tout changement de coordonnées bancaires et tout virement au-dessus d'un seuil défini exige une validation par un second canal connu, sur un numéro déjà enregistré. Cette règle vaut aussi contre les appels imitant la voix d'un dirigeant, qui se généralisent.

3. Renforcer l'authentification sur vos comptes administratifs et votre messagerie. L'authentification à deux facteurs sur Microsoft 365 et sur les portails fiscaux et sociaux reste la mesure qui bloque le plus d'attaques pour le moins d'effort. Vérifiez aussi qui a encore accès à ces portails : les comptes d'anciens salariés ou d'un ancien cabinet comptable traînent souvent plus longtemps qu'on ne le croit.

Si vous voulez faire ce point à froid, avec quelqu'un qui connaît votre environnement Microsoft, notre équipe peut le mener avec vous — voir la page contact.

‍

‍

Questions fréquentes

Dois-je changer mon mot de passe impots.gouv.fr ? Ce n'est pas nécessaire d'après la DGFiP, les données volées ne donnent pas accès au compte sécurisé. Si ce mot de passe est réutilisé ailleurs, changez-le partout, mais pour une autre raison : la réutilisation est un risque permanent.

Comment savoir si mon entreprise est concernée ? Par la notification officielle de la DGFiP, dont l'envoi a commencé le 17 août. Un message qui vous annonce que vous êtes victime et vous demande de « confirmer vos informations » est presque à coup sûr une escroquerie.

Faut-il déclarer quelque chose à la CNIL ? Non, la violation concerne le traitement de l'administration, pas le vôtre. Votre obligation à vous se déclenche seulement si les données de vos propres clients ou salariés sont touchées.

En bref

Une intrusion dans le système d'information des impôts a exposé les données de 678 000 usagers, dont des entreprises, avec pour elles un périmètre limité : SIREN et adresses. Le danger ne vient pas de la donnée elle-même mais de ce qu'on peut en faire, à savoir des messages et des appels frauduleux nettement plus crédibles dans les semaines qui viennent.

Trois réflexes suffisent à absorber l'essentiel du risque : prévenir vos équipes, exiger une double validation sur les virements, activer l'authentification à deux facteurs. Rien d'exceptionnel à mettre en place, et une fois en place, cela protège bien au-delà de cet épisode.

— Samir Amara, CEO — IT Systèmes