La cyberattaque qui touche la Direction générale des Finances publiques (DGFiP) n'a pas fait que des victimes particulières. Selon la DGFiP, 678 000 usagers sont concernés par l'accès frauduleux à son système d'information survenu fin juin 2026. La ventilation publiée par le site spécialisé FrenchBreaches donne 285 570 professionnels sur ce total, un chiffre qui reste à confirmer officiellement.
Pour les entreprises, le problème n'est pas tant ce qui a été volé que ce qui va en être fait. Un SIREN et une raison sociale sont des informations publiques. Pris isolément, leur divulgation est limitée. Mais entre les mains d'un fraudeur, ces données deviennent la clé d'attaques beaucoup plus crédibles, et les prochains mois risquent d'en voir une vague inédite.
Ce qu'il s'est passé
Fin juin 2026, un acteur malveillant obtient un accès illégitime au système d'information de la DGFiP après une usurpation d'identité. L'administration détecte et coupe cet accès dès la fin juin.
Mais l'accès avait déjà permis la consultation et l'extraction de données concernant des particuliers et des professionnels.
L'affaire reste silencieuse pendant plusieurs semaines. Le 12 août 2026, un acteur malveillant revendique l'intrusion publiquement. La DGFiP reprend ses investigations et met en œuvre de nouvelles mesures de restriction. Bercy confirme l'incident le 13 août. Le 14 août, la DGFiP annonce que 678 000 usagers sont concernés.
Fin juin 2026 : Accès frauduleux détecté et interrompu par la DGFiP
12 août 2026 : Revendication publique de l'attaque
13 août 2026 : Bercy confirme l'incident
14 août 2026 : DGFiP annonce 678 000 usagers concernés
15 août 2026 : FrenchBreaches publie la ventilation : 285 570 professionnels
Quelles données ont été compromises
C'est la question centrale et celle sur laquelle les informations les plus partielles sont disponibles. Les investigations sont toujours en cours. À ce stade, les données identifiées pour les professionnels incluent principalement :
- la raison sociale de l'entreprise
- le numéro SIREN
Aucune information bancaire, mot de passe ou donnée fiscale détaillée (chiffre d'affaires, résultat, déclarations) n'a été signalée comme compromise dans les informations disponibles à ce jour. La DGFiP doit informer individuellement les personnes concernées et leur préciser les précautions à prendre.
Il faut distinguer deux choses : ce qui est confirmé (des données de professionnels ont été consultées et extraites) et ce qui reste à déterminer (la nature exacte des données compromises pour chaque victime).
Pourquoi le vrai risque est ailleurs
Un SIREN est une donnée publique. Tout le monde peut le trouver sur le site Infogreffe ou dans les bases officielles. La raison sociale aussi. Pris individuellement, ces éléments n'ouvrent aucune porte.
Le problème apparaît quand le fraudeur les utilise comme appât. Avec un SIREN et une raison sociale en main, un attaquant peut construire un message qui semble légitime :
- « Nous vous contactons concernant votre dossier fiscal. »
- « Une régularisation de TVA doit être effectuée. »
- « Votre espace professionnel nécessite une mise à jour de sécurité suite à l'incident DGFiP. »
- « Un remboursement est en attente sur votre compte. »
Le destinataire qui voit son SIREN et sa raison sociale exacts dans un email est beaucoup plus susceptible de faire confiance au message. La donnée volée ne sert pas à attaquer directement l'entreprise. Elle sert à rendre la fraude crédible.
C'est du spear phishing fiscal. Et avec 285 000 profils d'entreprises disponibles, les fraudeurs ont désormais de quoi automatiser des campagnes très ciblées. Les services comptables et financiers, qui reçoivent quotidiennement des communications de l'administration, sont en première ligne.
L'autre risque, moins visible mais tout aussi réel, concerne l'usurpation d'identité d'entreprise. Avec ces informations, un fraudeur peut se faire passer pour une entreprise auprès de ses propres clients ou fournisseurs, notamment dans le cadre d'échanges de factures ou de coordonnées bancaires.
Les 5 réflexes à adopter maintenant
1. Informez les personnes qui reçoivent des communications fiscales
Direction financière, comptabilité, fiscalité, trésorerie, dirigeants. Tous ceux qui manipulent des échanges avec l'administration doivent être prévenus : les faux messages DGFiP vont arriver, et ils seront crédibles.
2. Méfiez-vous des demandes urgentes
Changement de coordonnées bancaires, demande de paiement, remboursement fiscal inattendu, demande inhabituelle de connexion. Ces schémas classiques deviennent beaucoup plus dangereux quand l'attaquant connaît le SIREN et la raison sociale de sa cible.
3. Ne vous fiez pas aux informations contenues dans un message
Le fait qu'un interlocuteur connaisse votre SIREN, votre raison sociale ou des éléments administratifs exacts ne prouve plus qu'il s'agit de l'administration. Ces données sont désormais en circulation.
4. Accédez directement aux services officiels
En cas de doute sur un message reçu, n'utilisez pas le lien contenu dans le message. Accédez directement à impots.gouv.fr ou à votre espace professionnel depuis votre navigateur, sans passer par le lien reçu.
5. Sensibilisez les équipes comptables et financières
Ce sont les collaborateurs les plus exposés. Ils reçoivent des documents fiscaux, des factures, des relevés. Une formation rapide sur les signaux d'alerte du phishing fiscal peut éviter des dégâts considérables.
La facturation électronique et cette cyberattaque
Le calendrier rend la question inévitable : cette attaque devient publique à quelques jours d'une étape majeure de la réforme de la facturation électronique. Un rapprochement techniquement facile, mais infondé.
Aucun élément disponible à ce jour ne permet d'affirmer que les infrastructures de la facturation électronique (PPF, API des PA) ont été compromises. Faire ce lien serait trompeur.
L'incident rappelle en revanche un principe qui concerne directement les entreprises : la conformité ne peut plus être dissociée de la sécurité des données et des flux. Les factures, les données fiscales, les coordonnées bancaires, les identités des fournisseurs, tout cela circule désormais dans un même environnement numérique qui doit être sécurisé de bout en bout.
Ce qu'on ne sait pas encore
Plusieurs questions restent ouvertes :
- La ventilation de 285 570 professionnels sera-t-elle confirmée par la DGFiP ?
- Quelles données exactes ont été consultées pour chaque professionnel concerné ?
- Les informations compromises sont-elles suffisantes pour permettre des usurpations d'identité auprès des banques ou des plateformes de facturation ?
- Combien de temps faudra-t-il pour informer l'ensemble des victimes ?
- Des mesures de protection spécifiques vont-elles être déployées pour les professionnels (surveillance renforcée, alertes) ?
Les investigations se poursuivent. Les informations de cet article seront mises à jour au fur et à mesure des confirmations officielles.
Sources : DGFiP (impots.gouv.fr), Bercy (economie.gouv.fr), FrenchBreaches. Article mis à jour le 16 août 2026. Les investigations étant toujours en cours, certaines informations sont susceptibles d'évoluer.
Ne choisissez pas votre Plateforme Agréée au hasard. Le bon choix dépend de votre régime de TVA, de votre activité et de vos obligations réelles. En quelques minutes, le diagnostic gratuit analyse votre situation et vous indique précisément la Plateforme Agréée la plus adaptée, sans engagement.