Depuis la mi-août, des centaines de milliers de contribuables et d’entreprises ont reçu un courriel de l’administration fiscale les informant que leurs données avaient été consultées illégitimement. Le message est authentique. Le problème est que les escrocs le savent aussi, et qu’ils disposent désormais d’informations réelles pour rendre leurs propres messages plus crédibles.
Voici ce qui s’est passé, ce que cela change pour votre entreprise, et les signaux qui permettent de distinguer un message légitime d’une tentative d’hameçonnage.
Ce que la DGFiP a confirmé
Les 12 et 13 août 2026, un acteur malveillant a revendiqué un vol de données visant le système d’information de la Direction générale des Finances publiques. L’administration l’a confirmé le 14 août.
Les faits établis à ce jour sont les suivants. Des accès illégitimes sont intervenus en juin et juillet 2026, obtenus par usurpation des identifiants d’agents publics. Ces accès ont été détectés et fermés dès cette période, mais le vol de données lui-même, réalisé par contournement des circuits habituels, n’a été établi qu’à partir du 12 août. Au total, environ 678 000 particuliers et professionnels sont concernés, dont un peu plus de 250 000 professionnels. Des données cadastrales relatives aux adresses et surfaces de biens immobiliers ont également été consultées sur un périmètre distinct.
Deux points essentiels, souvent mal restitués dans la presse : le site impots.gouv.fr et les espaces Finances publiques n’ont pas été compromis, et les mots de passe ne figurent pas parmi les données dérobées. Il n’est donc pas nécessaire de modifier votre mot de passe pour cette raison, même si rien ne l’interdit.
La DGFiP a saisi la CNIL, déposé plainte et engagé l’information individuelle des personnes concernées. Un audit supervisé par l’ANSSI est en cours. Le dossier reste évolutif : la page d’information de l’administration a encore été actualisée le 27 août.
Quelles données concernant votre entreprise ont pu être consultées
Selon la foire aux questions publiée par la DGFiP à destination des professionnels le 24 août 2026, les données concernées sont :
- le numéro SIREN, la dénomination et l’adresse de l’entreprise ;
- des informations génériques sur les messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr : identifiant de la demande, date, service en charge du suivi, nature du formulaire utilisé, statut.
Le contenu des messages n’a pas été divulgué, sauf pour moins de 2 076 professionnels qui ont fait l’objet d’une information spécifique. Les déclarations, les paiements et les coordonnées bancaires n’ont pas été consultés. La facturation électronique et les plateformes agréées ne sont pas concernées.
L’administration le souligne elle-même : SIREN, dénomination et adresse sont, pour l’essentiel, des informations déjà publiques. Le véritable point de vigilance porte sur les informations de messagerie. Un escroc capable de mentionner la date d’une demande réelle, le service qui l’a traitée et le formulaire concerné dispose d’un levier de crédibilité redoutable.
Six signaux qui trahissent un faux message du fisc
- L’adresse de l’expéditeur. Les messages adressés par la DGFiP se terminent toujours par « @dgfip.finances.gouv.fr ». Vérifiez l’adresse réelle, pas seulement le nom affiché, qui se falsifie en quelques secondes. Méfiez-vous des variantes : « dgfip-finances.gouv.fr », « impots-gouv.fr », « finances-publiques.fr ».
- La présence d’un lien vers votre espace. Le message d’information envoyé par la DGFiP ne contient aucun lien direct vers votre espace professionnel. Plus largement, ne cliquez jamais sur un lien proposant d’accéder à votre espace : tapez vous-même impots.gouv.fr dans votre navigateur.
- Une demande d’informations confidentielles. La DGFiP ne demande jamais de communiquer codes, identifiants, mots de passe ou coordonnées bancaires en dehors de votre espace professionnel. Cela vaut pour tous les canaux : courriel, SMS, appel téléphonique.
- L’urgence. « Sous 48 heures », « avant suspension de votre dossier », « dernier rappel avant majoration ». La pression temporelle est le ressort central de l’ingénierie sociale. Elle vise précisément à empêcher la vérification.
- La promesse d’un remboursement. Le faux remboursement d’impôt reste le scénario le plus rentable pour les escrocs, parce qu’il désarme la méfiance. Un remboursement réel est traité automatiquement par virement, sans qu’aucune démarche ne vous soit demandée par courriel.
- Les incohérences de forme. Formulation approximative, ton inhabituel, logo légèrement déformé, absence de référence à votre dossier. Ces indices deviennent toutefois de moins en moins fiables : les messages générés par intelligence artificielle ne comportent plus les fautes qui trahissaient les campagnes d’autrefois. Ne fondez jamais votre jugement sur ce seul critère.
Trois scénarios à surveiller particulièrement en entreprise
- Le faux remboursement de TVA ou de crédit d’impôt. Un message annonce un excédent à restituer et invite à confirmer les coordonnées bancaires de l’entreprise. C’est le vecteur de la fraude au changement de RIB.
- Le faux contrôle ou la fausse relance. Un message reprend la référence d’un échange réel avec votre service des impôts des entreprises pour annoncer une régularisation urgente, avec un lien de paiement. La mention d’éléments exacts est précisément ce que la fuite rend possible.
- Le rebond vers la fraude au président. Les informations obtenues servent parfois à préparer une attaque distincte : un courriel semblant provenir du dirigeant, adressé au comptable, demandant un virement exceptionnel présenté comme lié à un contentieux fiscal.
Que faire en cas de doute
Ne répondez pas et ne cliquez sur aucun lien. Vérifiez l’information vous-même en vous connectant directement à votre espace professionnel sur impots.gouv.fr : toute demande réelle de l’administration y figure. En cas de besoin, contactez votre service gestionnaire, dont les coordonnées figurent sur vos documents fiscaux.
Conservez les preuves : message complet avec ses en-têtes, adresse du site, captures d’écran. Signalez la tentative sur cybermalveillance.gouv.fr. En cas de préjudice, déposez plainte, en ligne via la plateforme THÉSÉE ou auprès d’un commissariat ou d’une brigade de gendarmerie.
Si un virement a déjà été exécuté, contactez immédiatement votre banque pour tenter un rappel de fonds. Les premières heures sont déterminantes.
En résumé
La fuite ne donne pas accès à votre compte fiscal. Elle donne aux escrocs de quoi paraître crédibles, ce qui est un risque d’une autre nature et probablement plus durable. La règle à retenir tient en une phrase : ne jamais agir depuis un message reçu, toujours revenir à impots.gouv.fr par vos propres moyens.
Un doute sur un message reçu ? Nos équipes sont à votre disposition pour l’examiner avant toute action de votre part. Il est toujours préférable de nous solliciter pour rien que de découvrir un virement parti.
