Piratage DGFiP : 7 mesures urgentes pour protéger votre PME

Piratage DGFiP : ce qu’il faut retenir

Ce que Bercy confirme sur le piratage DGFiP

Le communiqué de presse n°950 publié le 13 août 2026 par le ministère de l’Économie et des Finances confirme qu’un acteur malveillant a revendiqué, le 12 août, un accès au système d’information de la DGFiP. Cet accès était intervenu fin juin 2026 après une usurpation d’identité.

Selon Bercy, l’accès avait déjà été coupé fin juin dans le cadre d’un contrôle opérationnel. Les premières investigations montrent néanmoins qu’il a permis la consultation et l’extraction de données concernant des particuliers et des professionnels.

Le communiqué officiel ne donne pas, à ce stade, la liste détaillée des informations extraites. Il n’indique pas non plus de chiffre consolidé dans sa version publiée le 13 août.

La DGFiP a annoncé de nouvelles mesures de restriction, la poursuite des investigations avec les services du ministère et l’ANSSI, une notification à la CNIL ainsi qu’un dépôt de plainte. Les personnes concernées doivent recevoir une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites et les mesures de vigilance à adopter.

Lire le communiqué officiel du ministère de l’Économie et des Finances.

Mise à jour du 14 août 2026 : combien d’usagers sont concernés ?

Le 14 août 2026, la DGFiP a indiqué à l’AFP que quelques centaines de milliers d’usagers étaient concernés à ce stade par l’incident. Elle a annoncé qu’un bilan consolidé serait communiqué prochainement.

Cette précision est importante. Elle confirme l’ordre de grandeur sans valider pour autant tous les chiffres qui circulent depuis la revendication de l’attaque. Le piratage DGFiP reste donc un dossier en cours d’investigation.

Plusieurs médias relaient un chiffre de 678 437 lignes, comprenant 392 867 particuliers et 285 570 professionnels. Cette répartition provient d’informations attribuées à la plateforme spécialisée French Breaches et non du communiqué officiel initial de Bercy.

Il faut donc conserver deux niveaux de lecture : l’extraction de données est confirmée officiellement ; le détail précis de la volumétrie et des catégories de données reste à consolider.

Pour un article d’actualité publié pendant l’enquête, cette distinction évite de transformer une revendication d’attaquant en chiffre officiel.

Mise à jour d’octobre 2026 : ce que révèle le rapport de l’ANSSI

Le 29 septembre 2026, l’ANSSI a publié son rapport d’incident sur les actes malveillants observés sur le système d’information de la DGFiP entre mai et août 2026. Daté du 23 septembre et remis au Premier ministre le 24, ce document TLP:CLEAR devient la référence et remplace les estimations du mois d’août.

Une attaque peu sophistiquée

Le rapport écarte la thèse d’une attaque sophistiquée. La compromission résulte de faiblesses dans trois domaines : l’identité, l’architecture et la détection. Autrement dit, des failles que l’on retrouve dans beaucoup d’entreprises.

Les chiffres officiels

• Environ 353 000 particuliers et 252 000 professionnels concernés.
• Le chiffre de 678 437 enregistrements reste celui revendiqué par l’attaquant.
• Pour les données cadastrales, le chiffre de 2 millions circule mais n’est pas confirmé.
• Environ 14 Go de données sont sortis sans déclencher d’alerte : 11 Go entre le 22 et le 25 juin, puis 3 Go en juillet.

Comment les attaquants sont entrés

• Des identifiants volés : plusieurs dizaines d’identifiants d’agents ont été dérobés en trois mois, probablement par des logiciels voleurs de mots de passe (infostealers) installés sur des appareils non administrés par la DGFiP.
• Pas de MFA partout : les portails PIGP et ADER n’imposaient pas d’authentification multifacteur.
• Une MFA contournée chez un prestataire : sur le portail APEX, le code à usage unique envoyé par e-mail a été contourné grâce au poste compromis d’un géomètre-expert.
• Une application non supervisée : le portail ADER n’était pas surveillé par le SOC de la DGFiP.

Le 24 juin : changer le mot de passe n’a pas arrêté l’attaque

C’est l’enseignement le plus directement utile pour une PME : un nouveau mot de passe ne déconnecte pas un attaquant déjà connecté. Il faut aussi révoquer toutes les sessions actives.

Notre article compte piraté : 4 gestes pour couper vraiment l’accès détaille la procédure complète.

Ce que votre PME peut appliquer dès maintenant

1. Interdire les appareils personnels pour accéder aux outils contenant des données sensibles.
2. Choisir une MFA qui résiste au vol du premier facteur (clé FIDO2, passkey, application d’authentification) plutôt qu’un code par e-mail ou SMS, y compris pour les prestataires.
3. Révoquer toutes les sessions à chaque réinitialisation de mot de passe.
4. Limiter les droits et plafonner les exports : un compte n’a pas à pouvoir extraire une base entière.
5. Superviser chaque application exposée, pas seulement les principales, et alerter sur les volumes inhabituels.

Pour la mise en place de l’authentification forte, consultez notre guide Authentification forte PME : 7 étapes pour déployer le MFA.

Pour appliquer ces enseignements à vos propres données, voyez les 6 couches de sécurité à appliquer aux données critiques d’une PME et notre dossier sécuriser les postes et serveurs.

Lire l’annonce et le rapport d’incident sur le site de l’ANSSI.

Quelles données fiscales auraient été exposées ?

Bercy confirme que des données concernant des particuliers et des professionnels ont été consultées et extraites, mais son communiqué du 13 août n’en publie pas la liste exhaustive.

Selon les informations attribuées à la revendication de l’attaquant et relayées par plusieurs médias, les données pourraient inclure des éléments d’état civil, des adresses, des informations fiscales, le revenu fiscal de référence, le taux de prélèvement à la source, des coordonnées et certains historiques d’échanges avec l’administration.

Ces éléments doivent rester présentés au conditionnel tant que la DGFiP n’a pas communiqué son bilan consolidé et informé individuellement les personnes concernées. Pour le piratage DGFiP, la séparation entre données confirmées et données revendiquées est essentielle.

Le risque ne réside pas uniquement dans la confidentialité des données. Leur précision peut aider un attaquant à fabriquer un message très crédible. Une fraude qui cite votre nom, votre adresse, un montant cohérent ou une situation fiscale réelle peut sembler beaucoup plus convaincante qu’un phishing générique.

Cette capacité à personnaliser l’attaque est précisément ce qui intéresse les escrocs spécialisés dans l’ingénierie sociale.

Un nouvel incident après l’accès illégitime à FICOBA

Le piratage DGFiP intervient quelques mois après un autre incident important. Le 18 février 2026, le ministère avait annoncé des accès illégitimes au fichier national des comptes bancaires FICOBA.

Dans cet incident précédent, un acteur malveillant avait usurpé les identifiants d’un fonctionnaire disposant d’un accès dans le cadre d’échanges d’informations entre ministères. La fuite concernait potentiellement 1,2 million de comptes bancaires, et non 1,2 million de personnes.

Les données visées dans FICOBA comprenaient les coordonnées bancaires RIB ou IBAN, l’identité du titulaire et son adresse. Le ministère précisait alors que l’identifiant fiscal de l’usager n’avait pas été consulté.

Consulter le point officiel de Bercy sur l’incident FICOBA.

Les deux événements rappellent surtout l’importance du contrôle des identités et des accès privilégiés. Ils ne permettent pas, à eux seuls, de conclure que toutes les intrusions suivent exactement le même scénario technique.

Pourquoi cette fuite de données fiscales concerne votre PME

Votre entreprise n’a pas besoin d’être directement touchée par le piratage DGFiP pour être concernée par ses conséquences indirectes.

Une base contenant des informations exactes peut servir à préparer une campagne ciblée contre une direction, un service comptable, un cabinet externe ou un collaborateur ayant l’habitude de traiter des demandes administratives.

L’attaquant peut par exemple reprendre une identité réelle, une adresse, un contexte fiscal ou un échange plausible pour créer une impression de légitimité. Il lui reste ensuite à introduire une urgence : remboursement à confirmer, régularisation, document à consulter, changement de coordonnées ou paiement exceptionnel.

Ce mécanisme rejoint directement celui de la FOVI en entreprise. Plus l’escroc connaît les habitudes et les données de sa cible, plus il peut rendre sa demande convaincante.

Après le piratage DGFiP, la bonne réponse n’est donc pas de demander « est-ce que ce message contient des informations vraies ? », mais « puis-je confirmer cette demande par un canal indépendant que je maîtrise déjà ? ».

Les 7 mesures urgentes après le piratage DGFiP

1. Informez les équipes comptables et administratives. Expliquez que des données fiscales ont été extraites et que des messages très personnalisés peuvent apparaître.
2. Vérifiez toute demande par un second canal. Ne rappelez pas le numéro indiqué dans le message reçu. Utilisez un numéro déjà connu ou passez directement par votre espace officiel.
3. Imposez la double validation pour les opérations sensibles. Un changement de RIB, un nouveau bénéficiaire ou un virement inhabituel ne doit pas dépendre d’une seule personne.
4. Activez la MFA sur les comptes critiques. Messagerie, outils comptables, accès administrateurs et services contenant des données sensibles doivent être protégés par une authentification multifacteur.
5. Ne faites pas confiance au seul nom de l’expéditeur. Un email peut être imité ou usurpé. L’apparence du message et la présence d’informations exactes ne suffisent pas.
6. Surveillez les règles de messagerie et les connexions inhabituelles. Une boîte mail compromise peut permettre à l’attaquant de suivre les échanges avant de lancer une fraude.
7. Préparez la réaction. Définissez qui contacter, comment bloquer un virement, comment sécuriser un compte et comment documenter une éventuelle fuite de données.

Pour formaliser le point le plus important, consultez notre guide Double validation virement : 7 règles pour une PME.

Si vous souhaitez traiter le scénario en amont, notre dossier Phishing entreprise : prévenir les attaques ciblées détaille les contrôles à mettre en place sur la messagerie et auprès des utilisateurs.

Profitez-en pour renforcer vos mots de passe avec la règle C.U.L.

Le piratage DGFiP ne signifie pas que votre mot de passe a nécessairement été compromis. Bercy ne demande pas, à ce stade, un changement général de mot de passe à tous les usagers. Cet incident peut néanmoins être une bonne occasion de vérifier vos accès sensibles et d’améliorer vos habitudes de sécurité.

Chez Eur’Net, nous appliquons une règle simple : C.U.L. = Compliqué, Unique, Long. Lorsqu’un service l’accepte, nous recommandons un mot de passe d’au moins 20 caractères.

• Compliqué : évitez les informations faciles à deviner, les suites évidentes et les variantes trop simples d’un ancien mot de passe. Un gestionnaire peut générer automatiquement un mot de passe aléatoire et robuste.
• Unique : utilisez un mot de passe différent pour chaque service. Votre messagerie, votre espace fiscal, votre banque, vos outils professionnels et vos comptes personnels ne doivent jamais partager le même secret.
• Long : chez Eur’Net, nous recommandons 20 caractères minimum lorsque le service le permet. La longueur constitue un élément essentiel de la robustesse du mot de passe.
• Activez la MFA ou la 2FA : dès que le service le propose, ajoutez une seconde méthode d’authentification. Un mot de passe volé ne doit pas suffire, à lui seul, à ouvrir un compte sensible.
• Rangez le nouveau mot de passe dans un coffre-fort numérique : utilisez un gestionnaire de mots de passe plutôt qu’un fichier, un email, un tableur ou une note non protégée.

Le réflexe Eur’Net : ne cherchez pas à mémoriser des dizaines de mots de passe complexes. Laissez votre gestionnaire les générer et les conserver. Protégez particulièrement le mot de passe principal de votre coffre-fort, appliquez-lui aussi la règle C.U.L. et activez la MFA lorsque cette fonction est disponible.

Pour approfondir cette méthode, consultez notre guide Mot de passe 2026 : combien de temps pour le craquer ? et notre dossier Gestionnaires de mots de passe : guide pour TPE et PME.

Ce que recommande Cybermalveillance.gouv.fr contre le faux fisc

Les campagnes de faux remboursements d’impôt existaient avant le piratage DGFiP. Le 15 juillet 2026, Cybermalveillance.gouv.fr avait déjà publié une alerte spécifique à l’approche des remboursements d’impôt prévus les 24 et 31 juillet.

La plateforme rappelle qu’un message frauduleux peut annoncer un montant précis, reprendre les codes visuels de l’administration et créer un sentiment d’urgence. Le lien mène alors vers un faux site destiné à collecter des informations personnelles, fiscales ou bancaires.

• Ne cliquez pas sur un lien reçu par email ou SMS pour vérifier un remboursement.
• Saisissez vous-même l’adresse du site officiel dans votre navigateur.
• Ne transmettez pas vos identifiants ou vos coordonnées bancaires après un contact non sollicité.
• En cas de doute, contactez directement l’administration fiscale par ses canaux officiels.
• Un remboursement d’impôt est versé automatiquement sur le compte enregistré : aucun paiement de frais par carte bancaire n’est nécessaire.

Lire l’alerte officielle de Cybermalveillance.gouv.fr sur les faux remboursements d’impôt.

Que faire si votre entreprise reçoit un message suspect ?

Après un piratage DGFiP ou toute autre fuite de données, un message peut paraître parfaitement crédible et rester frauduleux. Si un email, un SMS ou un appel utilise des informations fiscales exactes, ne confirmez rien dans l’urgence.

1. Conservez le message et ses en-têtes si possible.
2. Ne cliquez pas sur les liens et n’ouvrez pas les pièces jointes douteuses.
3. Connectez-vous directement au service concerné depuis votre navigateur.
4. Appelez l’interlocuteur habituel avec un numéro déjà enregistré.
5. Prévenez la personne chargée de la cybersécurité ou votre prestataire.
6. Si un compte a été compromis, changez son mot de passe depuis un appareil sain et révoquez les sessions actives.
7. Si des données de l’entreprise ont pu être consultées, déclenchez votre procédure de gestion d’incident et évaluez les obligations RGPD.

Notre guide Fuite de données PME : 7 actions à lancer détaille les premières mesures à prendre lorsqu’une compromission touche vos propres données.

Questions fréquentes sur le piratage DGFiP

La DGFiP confirme-t-elle 678 437 victimes ?

Non. Le rapport d’incident publié par l’ANSSI le 29 septembre 2026 fait état d’environ 353 000 particuliers et 252 000 professionnels concernés. Le chiffre de 678 437 enregistrements correspond à la revendication de l’attaquant, relayée par plusieurs médias, et non à un décompte officiel.

Quelles données ont été volées ?

Bercy confirme l’extraction de données concernant des particuliers et des professionnels, mais le communiqué du 13 août ne publie pas encore la liste exhaustive. Plusieurs catégories sensibles sont revendiquées par l’attaquant et relayées dans la presse, mais doivent rester présentées comme non consolidées officiellement.

Comment savoir si mon entreprise est concernée ?

La DGFiP annonce une information individuelle des usagers concernés. Méfiez-vous d’un message prétendant vous faire payer ou vous demander vos identifiants pour savoir si vous figurez dans la fuite.

Faut-il changer son mot de passe impots.gouv.fr ?

Le communiqué de Bercy ne demande pas un changement général de mot de passe pour tous les usagers. En revanche, si votre mot de passe est ancien, réutilisé ailleurs ou si vous avez le moindre doute, profitez-en pour le remplacer. Chez Eur’Net, nous recommandons la règle C.U.L. : Compliqué, Unique, Long, avec 20 caractères minimum lorsque le service le permet, puis l’activation de la MFA ou de la 2FA si elle est disponible. Stockez ensuite ce mot de passe dans un gestionnaire de mots de passe ou un coffre-fort numérique sécurisé.

Pourquoi le risque de phishing augmente-t-il après une fuite ?

Une information réelle augmente la crédibilité du message. L’attaquant peut personnaliser son scénario et réduire les signaux qui permettent habituellement de reconnaître un email frauduleux.

La double validation protège-t-elle contre toutes les fraudes ?

Non. Elle ne bloque pas toutes les cyberattaques, mais elle ajoute un contrôle humain indépendant avant une opération sensible. Elle est particulièrement utile contre les demandes de paiement ou de changement de coordonnées bancaires.

Sources vérifiées sur le piratage DGFiP

• Ministère de l’Économie et des Finances, communiqué n°950 du 13 août 2026.
• Bercy, accès illégitime au fichier FICOBA, mars 2026.
• Cybermalveillance.gouv.fr, faux remboursements d’impôt, 15 juillet 2026.
• AFP via Europe 1, estimation communiquée par la DGFiP le 14 août 2026.
• ANSSI, rapport d’incident sur la DGFiP (mai à août 2026), publié le 29 septembre 2026.

Pour aller plus loin

• FOVI entreprise : 7 réflexes pour prévenir et réagir.
• Double validation virement : 7 règles pour une PME.
• Phishing entreprise : prévenir les attaques ciblées.
• Fuite de données PME : 7 actions à lancer.
• Données critiques PME : 6 couches de sécurité essentielles.
• Authentification forte PME : 7 étapes pour déployer le MFA.
• Cyber coaching PME : former les équipes aux scénarios réels.