Piratage DGFiP : ce qu’il faut retenir

1. L’incident est confirmé : le ministère de l’Économie et des Finances reconnaît un accès illégitime intervenu fin juin 2026 après une usurpation d’identité.
2. Des données ont été extraites : Bercy confirme qu’elles concernent des particuliers et des professionnels, sans publier dans son communiqué initial la liste complète ni le volume définitif.
3. La DGFiP parle désormais de quelques centaines de milliers d’usagers : cette estimation a été communiquée le 14 août 2026, avec un bilan consolidé annoncé ultérieurement.
4. Le chiffre de 678 437 lignes reste une revendication externe : il a été relayé par plusieurs médias à partir d’informations issues du milieu de la cybersécurité, mais n’est pas le décompte officiel consolidé de Bercy.
5. Le risque PME est surtout l’ingénierie sociale : des informations exactes peuvent rendre un faux message fiscal, un phishing ou une fraude au virement beaucoup plus crédible.

En résumé : le piratage DGFiP ne signifie pas que toutes les entreprises françaises ont vu leurs données fiscales exposées. En revanche, il rappelle qu’une information vraie citée dans un email ou un appel ne prouve jamais l’identité de l’interlocuteur.

Résumé généré par IA

Ce que Bercy confirme sur le piratage DGFiP

Le communiqué de presse n°950 publié le 13 août 2026 par le ministère de l’Économie et des Finances confirme qu’un acteur malveillant a revendiqué, le 12 août, un accès au système d’information de la DGFiP. Cet accès était intervenu fin juin 2026 après une usurpation d’identité.

Selon Bercy, l’accès avait déjà été coupé fin juin dans le cadre d’un contrôle opérationnel. Les premières investigations montrent néanmoins qu’il a permis la consultation et l’extraction de données concernant des particuliers et des professionnels.

Le communiqué officiel ne donne pas, à ce stade, la liste détaillée des informations extraites. Il n’indique pas non plus de chiffre consolidé dans sa version publiée le 13 août.

La DGFiP a annoncé de nouvelles mesures de restriction, la poursuite des investigations avec les services du ministère et l’ANSSI, une notification à la CNIL ainsi qu’un dépôt de plainte. Les personnes concernées doivent recevoir une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et les mesures de vigilance à adopter.

Lire le communiqué officiel du ministère de l’Économie et des Finances.

Mise à jour du 14 août 2026 : combien d’usagers sont concernés ?

Le 14 août 2026, la DGFiP a indiqué à l’AFP que quelques centaines de milliers d’usagers étaient concernés à ce stade par l’incident. Elle a annoncé qu’un bilan consolidé serait communiqué prochainement.

Cette précision est importante. Elle confirme l’ordre de grandeur sans valider pour autant tous les chiffres qui circulent depuis la revendication de l’attaque. Le piratage DGFiP reste donc un dossier en cours d’investigation.

Plusieurs médias relaient un chiffre de 678 437 lignes, comprenant 392 867 particuliers et 285 570 professionnels. Cette répartition provient d’informations attribuées à la plateforme spécialisée French Breaches et non du communiqué officiel initial de Bercy.

Il faut donc conserver deux niveaux de lecture : l’extraction de données est confirmée officiellement ; le détail précis de la volumétrie et des catégories de données reste à consolider.

Pour un article d’actualité publié pendant l’enquête, cette distinction évite de transformer une revendication d’attaquant en chiffre officiel.

Quelles données fiscales auraient été exposées ?

Bercy confirme que des données concernant des particuliers et des professionnels ont été consultées et extraites, mais son communiqué du 13 août n’en publie pas la liste exhaustive.

Selon les informations attribuées à la revendication de l’attaquant et relayées par plusieurs médias, les données pourraient inclure des éléments d’état civil, des adresses, des informations fiscales, le revenu fiscal de référence, le taux de prélèvement à la source, des coordonnées et certains historiques d’échanges avec l’administration.

Ces éléments doivent rester présentés au conditionnel tant que la DGFiP n’a pas communiqué son bilan consolidé et informé individuellement les personnes concernées. Pour le piratage DGFiP, la séparation entre données confirmées et données revendiquées est essentielle.

Le risque ne réside pas uniquement dans la confidentialité des données. Leur précision peut aider un attaquant à fabriquer un message très crédible. Une fraude qui cite votre nom, votre adresse, un montant cohérent ou une situation fiscale réelle peut sembler beaucoup plus convaincante qu’un phishing générique.

Cette capacité à personnaliser l’attaque est précisément ce qui intéresse les escrocs spécialisés dans l’ingénierie sociale.

Un nouvel incident après l’accès illégitime à FICOBA

Le piratage DGFiP intervient quelques mois après un autre incident important. Le 18 février 2026, le ministère avait annoncé des accès illégitimes au fichier national des comptes bancaires FICOBA.

Dans cet incident précédent, un acteur malveillant avait usurpé les identifiants d’un fonctionnaire disposant d’un accès dans le cadre d’échanges d’informations entre ministères. La fuite concernait potentiellement 1,2 million de comptes bancaires, et non 1,2 million de personnes.

Les données visées dans FICOBA comprenaient les coordonnées bancaires RIB ou IBAN, l’identité du titulaire et son adresse. Le ministère précisait alors que l’identifiant fiscal de l’usager n’avait pas été consulté.

Consulter le point officiel de Bercy sur l’incident FICOBA.

Les deux événements rappellent surtout l’importance du contrôle des identités et des accès privilégiés. Ils ne permettent pas, à eux seuls, de conclure que toutes les intrusions suivent exactement le même scénario technique.

Pourquoi cette fuite de données fiscales concerne votre PME

Votre entreprise n’a pas besoin d’être directement touchée par le piratage DGFiP pour être concernée par ses conséquences indirectes.

Une base contenant des informations exactes peut servir à préparer une campagne ciblée contre une direction, un service comptable, un cabinet externe ou un collaborateur ayant l’habitude de traiter des demandes administratives.

L’attaquant peut par exemple reprendre une identité réelle, une adresse, un contexte fiscal ou un échange plausible pour créer une impression de légitimité. Il lui reste ensuite à introduire une urgence : remboursement à confirmer, régularisation, document à consulter, changement de coordonnées ou paiement exceptionnel.

Ce mécanisme rejoint directement celui de la FOVI en entreprise. Plus l’escroc connaît les habitudes et les données de sa cible, plus il peut rendre sa demande convaincante.

Après le piratage DGFiP, la bonne réponse n’est donc pas de demander « est-ce que ce message contient des informations vraies ? », mais « puis-je confirmer cette demande par un canal indépendant que je maîtrise déjà ? ».

Les 7 mesures urgentes après le piratage DGFiP

1. Informez les équipes comptables et administratives. Expliquez que des données fiscales ont été extraites et que des messages très personnalisés peuvent apparaître.
2. Vérifiez toute demande par un second canal. Ne rappelez pas le numéro indiqué dans le message reçu. Utilisez un numéro déjà connu ou passez directement par votre espace officiel.
3. Imposez la double validation pour les opérations sensibles. Un changement de RIB, un nouveau bénéficiaire ou un virement inhabituel ne doit pas dépendre d’une seule personne.
4. Activez la MFA sur les comptes critiques. Messagerie, outils comptables, accès administrateurs et services contenant des données sensibles doivent être protégés par une authentification multifacteur.
5. Ne faites pas confiance au seul nom de l’expéditeur. Un email peut être imité ou usurpé. L’apparence du message et la présence d’informations exactes ne suffisent pas.
6. Surveillez les règles de messagerie et les connexions inhabituelles. Une boîte mail compromise peut permettre à l’attaquant de suivre les échanges avant de lancer une fraude.
7. Préparez la réaction. Définissez qui contacter, comment bloquer un virement, comment sécuriser un compte et comment documenter une éventuelle fuite de données.

Pour formaliser le point le plus important, consultez notre guide Double validation virement : 7 règles pour une PME.

Si vous souhaitez traiter le scénario en amont, notre dossier Phishing entreprise : prévenir les attaques ciblées détaille les contrôles à mettre en place sur la messagerie et auprès des utilisateurs.

Profitez-en pour renforcer vos mots de passe avec la règle C.U.L.

Le piratage DGFiP ne signifie pas que votre mot de passe a nécessairement été compromis. Bercy ne demande pas, à ce stade, un changement général de mot de passe à tous les usagers. Cet incident peut néanmoins être une bonne occasion de vérifier vos accès sensibles et d’améliorer vos habitudes de sécurité.

Chez Eur’Net, nous appliquons une règle simple : C.U.L. = Compliqué, Unique, Long. Lorsqu’un service l’accepte, nous recommandons un mot de passe d’au moins 20 caractères.

• Compliqué : évitez les informations faciles à deviner, les suites évidentes et les variantes trop simples d’un ancien mot de passe. Un gestionnaire peut générer automatiquement un mot de passe aléatoire et robuste.
• Unique : utilisez un mot de passe différent pour chaque service. Votre messagerie, votre espace fiscal, votre banque, vos outils professionnels et vos comptes personnels ne doivent jamais partager le même secret.
• Long : chez Eur’Net, nous recommandons 20 caractères minimum lorsque le service le permet. La longueur constitue un élément essentiel de la robustesse du mot de passe.
• Activez la MFA ou la 2FA : dès que le service le propose, ajoutez une seconde méthode d’authentification. Un mot de passe volé ne doit pas suffire, à lui seul, à ouvrir un compte sensible.
• Rangez le nouveau mot de passe dans un coffre-fort numérique : utilisez un gestionnaire de mots de passe plutôt qu’un fichier, un email, un tableur ou une note non protégée.

Le réflexe Eur’Net : ne cherchez pas à mémoriser des dizaines de mots de passe complexes. Laissez votre gestionnaire les générer et les conserver. Protégez particulièrement le mot de passe principal de votre coffre-fort, appliquez-lui aussi la règle C.U.L. et activez la MFA lorsque cette fonction est disponible.

Pour approfondir cette méthode, consultez notre guide Mot de passe 2026 : combien de temps pour le craquer ? et notre dossier Gestionnaires de mots de passe : guide pour TPE et PME.

Ce que recommande Cybermalveillance.gouv.fr contre le faux fisc

Les campagnes de faux remboursements d’impôt existaient avant le piratage DGFiP. Le 15 juillet 2026, Cybermalveillance.gouv.fr avait déjà publié une alerte spécifique à l’approche des remboursements d’impôt prévus les 24 et 31 juillet.

La plateforme rappelle qu’un message frauduleux peut annoncer un montant précis, reprendre les codes visuels de l’administration et créer un sentiment d’urgence. Le lien mène alors vers un faux site destiné à collecter des informations personnelles, fiscales ou bancaires.

• Ne cliquez pas sur un lien reçu par email ou SMS pour vérifier un remboursement.
• Saisissez vous-même l’adresse du site officiel dans votre navigateur.
• Ne transmettez pas vos identifiants ou vos coordonnées bancaires après un contact non sollicité.
• En cas de doute, contactez directement l’administration fiscale par ses canaux officiels.
• Un remboursement d’impôt est versé automatiquement sur le compte enregistré : aucun paiement de frais par carte bancaire n’est nécessaire.

Lire l’alerte officielle de Cybermalveillance.gouv.fr sur les faux remboursements d’impôt.

Que faire si votre entreprise reçoit un message suspect ?

Après un piratage DGFiP ou toute autre fuite de données, un message peut paraître parfaitement crédible et rester frauduleux. Si un email, un SMS ou un appel utilise des informations fiscales exactes, ne confirmez rien dans l’urgence.

1. Conservez le message et ses en-têtes si possible.
2. Ne cliquez pas sur les liens et n’ouvrez pas les pièces jointes douteuses.
3. Connectez-vous directement au service concerné depuis votre navigateur.
4. Appelez l’interlocuteur habituel avec un numéro déjà enregistré.
5. Prévenez la personne chargée de la cybersécurité ou votre prestataire.
6. Si un compte a été compromis, changez son mot de passe depuis un appareil sain et révoquez les sessions actives.
7. Si des données de l’entreprise ont pu être consultées, déclenchez votre procédure de gestion d’incident et évaluez les obligations RGPD.

Notre guide Fuite de données PME : 7 actions à lancer détaille les premières mesures à prendre lorsqu’une compromission touche vos propres données.

Questions fréquentes sur le piratage DGFiP

La DGFiP confirme-t-elle 678 437 victimes ?

Non, pas comme bilan consolidé au 14 août 2026. La DGFiP indique que quelques centaines de milliers d’usagers sont concernés et annonce un bilan consolidé prochainement. Le chiffre de 678 437 lignes provient d’une estimation externe relayée par plusieurs médias.

Quelles données ont été volées ?

Bercy confirme l’extraction de données concernant des particuliers et des professionnels, mais le communiqué du 13 août ne publie pas encore la liste exhaustive. Plusieurs catégories sensibles sont revendiquées par l’attaquant et relayées dans la presse, mais doivent rester présentées comme non consolidées officiellement.

Comment savoir si mon entreprise est concernée ?

La DGFiP annonce une information individuelle des usagers concernés. Méfiez-vous d’un message prétendant vous faire payer ou vous demander vos identifiants pour savoir si vous figurez dans la fuite.

Faut-il changer son mot de passe impots.gouv.fr ?

Le communiqué de Bercy ne demande pas un changement général de mot de passe pour tous les usagers. En revanche, si votre mot de passe est ancien, réutilisé ailleurs ou si vous avez le moindre doute, profitez-en pour le remplacer. Chez Eur’Net, nous recommandons la règle C.U.L. : Compliqué, Unique, Long, avec 20 caractères minimum lorsque le service le permet, puis l’activation de la MFA ou de la 2FA si elle est disponible. Stockez ensuite ce mot de passe dans un gestionnaire de mots de passe ou un coffre-fort numérique sécurisé.

Pourquoi le risque de phishing augmente-t-il après une fuite ?

Une information réelle augmente la crédibilité du message. L’attaquant peut personnaliser son scénario et réduire les signaux qui permettent habituellement de reconnaître un email frauduleux.

La double validation protège-t-elle contre toutes les fraudes ?

Non. Elle ne bloque pas toutes les cyberattaques, mais elle ajoute un contrôle humain indépendant avant une opération sensible. Elle est particulièrement utile contre les demandes de paiement ou de changement de coordonnées bancaires.

Sources vérifiées sur le piratage DGFiP

• Ministère de l’Économie et des Finances, communiqué n°950 du 13 août 2026.
• Bercy, accès illégitime au fichier FICOBA, mars 2026.
• Cybermalveillance.gouv.fr, faux remboursements d’impôt, 15 juillet 2026.
• AFP via Europe 1, estimation communiquée par la DGFiP le 14 août 2026.

Pour aller plus loin

• FOVI entreprise : 7 réflexes pour prévenir et réagir.
• Double validation virement : 7 règles pour une PME.
• Phishing entreprise : prévenir les attaques ciblées.
• Fuite de données PME : 7 actions à lancer.
• Cyber coaching PME : former les équipes aux scénarios réels.