Piratage DGFIP 2026

L’administration fiscale française a confirmé le 13 août 2026 avoir été victime d’une intrusion massive dans son système d’information. Sur les 678 000 personnes concernées par le vol de données, environ 285 000 sont des professionnels et des entreprises. Pas de panique, mais de la vigilance : voici ce qu’il s’est réellement passé, ce qui a été volé, ce qui ne l’a pas été, et les bons réflexes à adopter dès la rentrée pour vous protéger et protéger votre entreprise.

Chronologie et ampleur de l’incident

Selon le communiqué officiel du ministère de l’Économie et des Finances du 14 août 2026, un acteur malveillant a obtenu un accès illégitime au système d’information de la Direction générale des Finances publiques (DGFiP) fin juin 2026, à la suite de l’usurpation des identifiants d’un agent de l’administration et d’un tiers habilité. L’intrusion, restée invisible pendant près de deux mois, a été rendue publique le 12 août par le pirate lui-même sur un forum spécialisé, sous le pseudonyme ZeroBytes.

Les investigations conduites depuis ont établi que les accès non autorisés avaient permis d’extraire des données concernant 678 000 personnes, dont environ 285 000 professionnels et entreprises. Une seconde revendication, portant sur des données cadastrales et concernant potentiellement plus de deux millions de titulaires, s’y est ajoutée le 14 août.

Une enquête judiciaire a été ouverte par le parquet de Paris le 15 août, confiée à l’Office anti-cybercriminalité. La CNIL a été saisie, comme le prévoit le RGPD pour les incidents majeurs. Le Premier ministre a annoncé un audit approfondi de la sécurisation de la DGFiP.

Ce qui a été volé pour votre entreprise

Pour les entreprises et professionnels figurant parmi les 285 000 dossiers concernés, les données extraites comprennent :

• Données d’identification : raison sociale, numéro SIREN, dénomination, adresse.
• Éléments de situation fiscale : nature des principaux impôts, catégorie fiscale, éléments d’assiette selon les cas.
• Coordonnées : adresses professionnelles enregistrées auprès de l’administration.

Ce qui n’a PAS été compromis

Aucune donnée bancaire n’a été volée. Ni les RIB, ni les IBAN, ni les numéros de carte bancaire de votre entreprise ne figurent dans les données extraites. Les identifiants et mots de passe de vos espaces impots.gouv.fr, particulier comme professionnel, ne sont pas non plus concernés. Vos accès directs à l’administration fiscale restent sécurisés, à condition de rester vigilant sur les tentatives d’usurpation détaillées plus loin.

Comment savoir si votre entreprise est concernée

La DGFiP a commencé à notifier individuellement, à partir du 18 août 2026, les personnes et entreprises dont les données figurent parmi celles qui ont été extraites. La notification prend la forme d’un courriel envoyé à l’adresse professionnelle enregistrée auprès de l’administration, précisant la nature exacte des données concernées pour la structure.

En l’absence de notification, il n’y a pas d’action immédiate à mener. Vous n’avez pas à contacter proactivement l’administration fiscale, ni à modifier vos accès habituels. La démarche viendra vers vous.

Attention : la vague de tentatives de phishing ciblé a déjà commencé

Des courriels et SMS frauduleux se multiplient depuis mi-août 2026, se faisant passer pour la DGFiP ou pour un service officiel. Trois règles absolues pour ne pas tomber dans le piège : la DGFiP ne demande jamais votre IBAN, votre numéro de carte bancaire ou un virement par téléphone, courriel ou SMS. Ne cliquez sur aucun lien contenu dans un message inattendu, même si l’expéditeur semble officiel : ouvrez directement votre navigateur et connectez-vous manuellement sur impots.gouv.fr. En cas de doute, contactez directement votre centre des Finances publiques ou votre expert-comptable avant toute action.

Les risques réels pour votre entreprise

L’absence de compromission des données bancaires écarte le risque de prélèvement frauduleux direct. Trois autres risques restent cependant à prendre au sérieux.

Le phishing ciblé et hyper-personnalisé

Les données extraites (nom de l’entreprise, SIREN, situation fiscale) permettent aux escrocs de fabriquer des courriels et SMS d’un niveau de crédibilité bien supérieur à ce que l’on connaissait jusqu’ici. Un message reprenant votre raison sociale, votre SIREN et une mention d’un impôt réellement dû par votre entreprise est bien plus efficace qu’une tentative générique. Les fraudes au faux ordre de virement (FOVI) et au faux support technique risquent de connaître une hausse dans les prochains mois.

L’usurpation d’identité de l’entreprise

Le recoupement entre le SIREN, les coordonnées et la situation fiscale peut permettre à un tiers de se faire passer pour votre entreprise dans une démarche administrative ou commerciale : ouverture d’un compte fournisseur, souscription frauduleuse d’un abonnement, prise de contact avec vos partenaires. Une vigilance accrue sur les demandes inhabituelles s’impose.

Le harcèlement commercial ciblé

Sans être un risque grave, la revente de listes qualifiées à des sociétés peu scrupuleuses va probablement générer une augmentation des sollicitations commerciales agressives par téléphone ou courriel, avec des accroches ciblées sur la situation de votre entreprise.

Cinq réflexes à adopter dès la rentrée

1. Vérifier votre boîte mail professionnelle. Une notification de la DGFiP peut y avoir été reçue depuis le 18 août 2026. Elle ne demande jamais de cliquer sur un lien pour saisir vos informations : elle vous informe simplement de la nature des données concernées.

2. Sensibiliser vos équipes de comptabilité et de trésorerie. Une réunion rapide avec vos collaborateurs traitant les factures, les paiements et les échanges avec l’administration permet de rappeler les règles de vigilance et d’éviter qu’une tentative de fraude au président ou au faux fournisseur ne passe à travers.

3. Renforcer votre double authentification. Si votre espace impots.gouv.fr professionnel ne l’a pas encore, activez la double authentification par SMS ou application mobile. C’est le meilleur rempart contre l’usurpation, quel que soit le vecteur d’attaque.

4. Vérifier vos coordonnées enregistrées. Connectez-vous sur votre espace professionnel impots.gouv.fr et vérifiez que l’adresse mail, l’adresse postale et les coordonnées bancaires de prélèvement sont bien à jour et n’ont pas été modifiées à votre insu.

5. Signaler toute tentative de phishing. Les tentatives de phishing prétendant émaner de la DGFiP peuvent être signalées à signal-spam.fr ou au 33700 (pour les SMS). Ce signalement contribue à faire fermer les campagnes malveillantes.

L’accompagnement des équipes pluridisciplinaires du Groupe Fiduroc et du Pôle IT

Face à ce type d’événement, l’accompagnement de votre expert-comptable joue un double rôle. D’un côté, la relation de confiance déjà établie évite les tentatives d’usurpation : un appel inhabituel prétendant venir de notre cabinet doit vous faire raccrocher et rappeler par les coordonnées habituelles. De l’autre, nous restons à votre disposition pour vérifier avec vous toute demande administrative dont l’authenticité vous semble douteuse.

Notre Pôle IT accompagne par ailleurs les entreprises du Groupe Fiduroc dans leurs projets de cybersécurité opérationnelle : audit des accès, sensibilisation des équipes, formation à la reconnaissance du phishing, mise en place de dispositifs de sauvegarde et de continuité. Dans un contexte où les cyberattaques ciblent tous les acteurs, y compris publics, ces sujets ne sont plus réservés aux grandes entreprises.

L’équipe de Crowe Fiduroc à votre disposition

Vous avez reçu une notification de la DGFiP et vous vous interrogez sur ses conséquences ?

Vous avez été destinataire d’un courriel suspect prétendant venir de l’administration fiscale ?

Vous souhaitez mettre en place une démarche de sensibilisation de vos équipes à la cybersécurité ?

Contactez l’une de nos quatre agences (La Rochelle, Surgères, Ferrières, Rochefort) pour un point personnalisé.

Nous contacter

Sources
Ministère de l’Économie et des Finances, communiqué de presse « Accès illégitimes au système d’information de la DGFiP », 14 août 2026.
Direction générale des Finances publiques, communiqué du 13 août 2026 et notifications individuelles à compter du 18 août 2026.
Parquet de Paris, ouverture d’une enquête judiciaire confiée à l’Office anti-cybercriminalité, 15 août 2026.
CNIL, saisine officielle et suivi de l’incident.

Article rédigé avec l'assistance d'une IA, vérifié.