Fuite de données à la DGFiP : les réflexes à adopter dans votre entreprise

Le 14 août 2026, le gouvernement a confirmé une intrusion dans le système d’information de la Direction générale des finances publiques. Cette fuite de données DGFiP concerne environ 678 400 usagers, dont 285 570 professionnels : entreprises, indépendants, professions libérales. Si vous dirigez une TPE ou une PME, il y a donc une probabilité réelle que vos données fiscales figurent dans le lot. La bonne nouvelle, c’est qu’aucun accès à votre espace professionnel n’a été compromis. La moins bonne, c’est que le risque se déplace ailleurs, et qu’il va durer plusieurs mois.

Ce qui s’est réellement passé

Les investigations établissent deux intrusions, en juin et en juillet 2026. L’attaquant n’a pas « cassé » la sécurité de la DGFiP : il a utilisé les identifiants usurpés d’un agent de l’administration et ceux d’un tiers habilité. Autrement dit, il est entré avec des clés existantes, ce qui explique qu’il ait pu consulter et extraire des données sans déclencher d’alerte immédiate. L’affaire n’est devenue publique que le 13 août, lorsqu’un individu se présentant sous le pseudonyme « ZeroBytes » l’a revendiquée sur un forum du dark web.

Les données concernées sont de nature fiscale et cadastrale : identité, coordonnées, éléments déclaratifs, références de biens.

Ces chiffres sont annoncés comme provisoires : les investigations sont toujours en cours et le périmètre exact peut encore évoluer. En revanche, un point est confirmé à ce stade : les espaces particuliers et professionnels n’ont pas été pénétrés, et aucun mot de passe n’a été compromis. Vous n’avez donc pas à craindre qu’un tiers déclare ou paie à votre place.

Comment savoir si votre entreprise est concernée

L’administration informe individuellement les personnes touchées. Et c’est précisément là que se joue le premier piège, parce que ce courriel officiel va arriver au milieu d’une vague de faux messages qui lui ressembleront beaucoup.

Le message authentique de la DGFiP a trois caractéristiques que les imitations reproduisent mal :

• son objet porte sur une consultation illégitime de vos informations fiscales ;
• il détaille précisément quelles catégories de données vous concernant ont été exposées ;
• il ne contient aucun lien cliquable, aucune pièce jointe, et ne vous demande rien.

Retenez cette dernière ligne comme une règle absolue : un vrai message de l’administration fiscale sur ce sujet ne vous demandera jamais de cliquer ni de « vérifier » quoi que ce soit. Toute variante qui vous presse d’agir est frauduleuse, quelle que soit la qualité de sa mise en page. La page officielle d’impots.gouv.fr sur les courriels et SMS frauduleux détaille les cas les plus courants et les modalités de signalement.

Le vrai risque n’est pas le vol, c’est la fraude qui suit

Une donnée fiscale volée n’a pas beaucoup de valeur en soi. Sa valeur, pour un fraudeur, c’est la crédibilité qu’elle donne au message suivant. Un escroc qui connaît votre SIREN, votre régime d’imposition, le montant de votre dernier acompte ou la référence cadastrale de votre local n’écrit plus un mail approximatif : il écrit un mail que vous avez toutes les raisons de croire.

Les scénarios à attendre sont connus : faux avis de régularisation avec un RIB à jour, appel d’un prétendu inspecteur qui cite vos vrais chiffres, courriel de « remboursement de trop-perçu ». C’est le mécanisme décrit dans notre article sur les arnaques fiscales et Urssaf et les signaux qui doivent alerter — sauf que cette fois, les fraudeurs partent avec vos vraies données en main.

Les cinq réflexes à mettre en place cette semaine

Aucun de ces cinq points ne demande de compétence technique. Ce sont des règles d’organisation, et c’est justement ce type de garde-fou simple que nous mettons en place avec les dirigeants que nous accompagnons en pilotage et organisation d’entreprise.

1. Aucun paiement sur la foi d’un courriel. Pour régler l’impôt, on passe toujours par son espace professionnel, en tapant soi-même l’adresse du site. Jamais par un lien reçu.
2. Instaurez une double validation pour tout changement de RIB. Fournisseur, administration, salarié : un changement de coordonnées bancaires ne se traite jamais par mail seul, il se confirme par téléphone sur un numéro que vous connaissiez déjà.
3. Prévenez la personne qui traite vos factures. C’est elle qui recevra le faux avis, pas forcément vous. Une phrase suffit : « en ce moment, tout message des impôts me remonte avant traitement ».
4. Changez le mot de passe de votre espace professionnel même s’il n’a pas été compromis, et activez l’authentification renforcée si ce n’est pas déjà fait.
5. Vérifiez qui dispose d’une délégation sur votre espace. C’est l’occasion de faire le ménage dans les habilitations anciennes : nous expliquons la démarche pas à pas dans notre guide sur la délégation à votre expert-comptable sur impots.gouv.

Dernier réflexe, souvent oublié : un message suspect se signale, puis se conserve. En cas de litige ultérieur, c’est une pièce.

Questions fréquentes

Dois-je changer mon mot de passe impots.gouv.fr ?

Ce n’est pas obligatoire, puisque l’administration indique que les mots de passe n’ont pas été compromis et que les espaces n’ont pas été pénétrés. C’est malgré tout recommandé, par simple hygiène : un mot de passe unique, long, non réutilisé ailleurs, complété par l’authentification renforcée quand elle est proposée.

Puis-je demander réparation si mes données ont fuité ?

La question est ouverte et fera l’objet de contentieux. En pratique, il faudra démontrer un préjudice réel et un lien avec la fuite, ce qui est rarement simple. Le réflexe utile aujourd’hui est de documenter : conservez le courriel officiel qui vous informe, et gardez trace de toute tentative de fraude que vous recevez ensuite.

Mon expert-comptable a accès à mon espace : est-ce un risque supplémentaire ?

Non, la délégation ne crée pas d’accès parallèle à vos données : elle est tracée et révocable à tout moment depuis votre espace professionnel. Le vrai sujet, c’est l’accumulation d’habilitations anciennes accordées à des prestataires qui ne travaillent plus avec vous. C’est cela qu’il faut passer en revue.

Un message vous semble douteux et vous préférez un avis avant d’agir ? Chez MDL Expertise, à Chazelles-sur-Lyon, nous regardons le message avec vous plutôt que de vous laisser trancher seul. Écrivez-nous, la réponse est rapide.