La Direction générale des finances publiques (DGFiP) a confirmé, dans un communiqué publié le 14 août 2026, que des accès illégitimes à son système d'information avaient permis de consulter et d'extraire des données concernant un total de 678 000 particuliers et professionnels. Ces accès sont intervenus en juin et juillet 2026 et ont été revendiqués les 12 et 13 août [Ministère de l'Économie].
L'affaire s'est élargie depuis. Une troisième intrusion a été détectée le 17 août, et Bercy a présenté le lendemain un plan destiné à renforcer la sécurité informatique de l'administration fiscale. Pour un dirigeant de TPE ou de PME, deux questions se posent : mes données d'entreprise sont-elles concernées, et que faut-il faire concrètement.
Ce que dit exactement le communiqué de la DGFiP
Le communiqué est précis sur la nature des informations consultées. Pour les particuliers, il s'agit de données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source [Ministère de l'Économie]. Pour les entreprises, les données concernées sont leur raison sociale ou leur SIREN [Ministère de l'Économie]. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.
Deux précisions comptent autant que le reste. Les espaces Finances publiques des usagers particuliers et professionnels n'ont pas été compromis, et les identifiants comme les mots de passe des particuliers et des professionnels n'ont pas été compromis [impots.gouv.fr]. L'attaque repose sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité, pas sur une faille des comptes des usagers. Il n'y a donc pas de mot de passe d'espace professionnel à changer en urgence.
La DGFiP informe individuellement chaque personne concernée, par courriel ou par courrier, en précisant les données susceptibles d'avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. Ce point mérite d'être retenu : il détermine le principal risque décrit plus bas.
Une crise qui s'est élargie depuis le 14 août
Le 18 août, David Amiel, ministre de l'Action et des Comptes publics, Amélie Verdier, directrice générale des finances publiques, et le général Stéphane Bajard, directeur général adjoint de l'ANSSI, ont tenu à Bercy une conférence de presse consacrée au suivi de la réponse à la cyberattaque [Ministère de l'Économie].
Trois éléments en ressortent. Une troisième brèche a été détectée le 17 août sur un portail public de consultation des successions, distincte des deux premières. Le déploiement de la double authentification sera accéléré pour l'ensemble des agents de la DGFiP avant la fin de l'année 2026. Les conclusions de l'audit commandé par le Premier ministre seront présentées en septembre [Journal du Net].
Ce n'est pas un épisode isolé. En février 2026, la DGFiP avait déjà signalé des accès illégitimes au fichier national des comptes bancaires (FICOBA), portant sur environ 1,2 million de comptes bancaires et exposant coordonnées bancaires, identité du titulaire et adresse [impots.gouv.fr]. La vigilance à installer n'est donc pas une réaction ponctuelle à un incident d'été.
Le risque concret pour une TPE ou une PME : le hameçonnage crédible
Une raison sociale et un SIREN sont des informations publiques. Leur fuite, prise isolément, ne crée pas de risque nouveau. Le danger vient de leur croisement avec des données fiscales et cadastrales, et surtout du contexte : les entreprises concernées savent désormais qu'elles vont recevoir un courriel ou un courrier de l'administration fiscale.
C'est précisément le scénario qu'attend un fraudeur. Un message imitant la notification officielle, reprenant le nom exact de l'entreprise et une donnée fiscale vraisemblable, a beaucoup plus de chances d'aboutir qu'un hameçonnage générique. Le même raisonnement vaut pour les faux avis de remboursement, les fausses mises en demeure et les demandes de changement de coordonnées bancaires adressées à un comptable. La qualité des informations volées augmente mécaniquement la vraisemblance de ces tentatives.
Les réflexes à adopter dès maintenant
La réponse ne consiste pas à bouleverser son organisation, mais à ancrer quelques réflexes durables et à les partager avec les personnes exposées, comptabilité et direction en premier lieu :
- Partir du principe que l'administration fiscale ne demande jamais d'identifiant, de mot de passe ni de coordonnées bancaires par courriel, par téléphone ou par SMS.
- Ne jamais passer par le lien d'un message se présentant comme une notification officielle : se connecter en saisissant soi-même l'adresse de son espace professionnel.
- Traiter toute demande urgente de paiement ou de changement de RIB comme suspecte, même lorsque l'expéditeur connaît des informations exactes sur l'entreprise, et la vérifier par un canal déjà connu.
- Activer la double authentification sur les accès aux outils comptables, aux plateformes de facturation et aux messageries professionnelles.
- Vérifier l'adresse réelle des expéditeurs plutôt que le nom affiché, qui se falsifie sans difficulté.
- Se référer aux informations publiées par l'administration pour savoir si l'on est concerné, plutôt qu'aux relais qui circulent par messagerie [impots.gouv.fr].
Ne pas confondre cet incident avec l'échéance du 1er septembre
Cet épisode survient à quelques jours d'une échéance qui concerne toutes les entreprises. À compter du 1er septembre 2026, toutes les entreprises devront être en mesure de recevoir des factures électroniques [Entreprendre.Service-Public.fr]. L'obligation d'émission, elle, s'appliquera à cette même date aux grandes entreprises et aux entreprises de taille intermédiaire, puis à compter du 1er septembre 2027 aux micro-entreprises et aux PME [Entreprendre.Service-Public.fr].
Il n'existe aucun lien entre la cyberattaque et la réforme de la facturation électronique. Mais la coïncidence de calendrier ouvre une fenêtre favorable aux fraudeurs. Dans les prochaines semaines, les entreprises vont recevoir de nombreuses sollicitations relatives au choix d'une plateforme de dématérialisation, à leur inscription ou à la mise à jour de leurs coordonnées. Une demande frauduleuse peut se glisser sans peine dans ce flux légitime, d'autant qu'elle porte sur un sujet que beaucoup de dirigeants maîtrisent encore mal.
La règle est simple : le choix d'une plateforme de dématérialisation se fait à l'initiative de l'entreprise, jamais en réponse à un message entrant.
Réduire durablement sa surface d'exposition
Au-delà de la réaction immédiate, cet incident rappelle une règle de fond. Plus les données fiscales et commerciales d'une entreprise circulent dans des fichiers dispersés, des tableurs et des boîtes mail, plus les points d'exposition se multiplient. Un système d'information centralisé, avec une gestion explicite des droits d'accès et une traçabilité des connexions, réduit mécaniquement cette surface.
Les questions à se poser valent quel que soit l'outil en place : qui peut consulter quelles données, avec quel niveau d'authentification, et sait-on qui s'est connecté et quand. Un ERP correctement paramétré apporte une partie de la réponse, à condition que les droits soient revus régulièrement et que la double authentification soit réellement activée, y compris pour les comptes administrateurs. L'accélération annoncée par la DGFiP sur ses propres accès dit assez que ce point n'est pas un détail de configuration.
Pour les entreprises qui préparent leur mise en conformité avec la réception des factures électroniques, la période est propice pour traiter les deux sujets ensemble : la plateforme qui recevra, et bientôt émettra, les documents commerciaux devient un actif sensible dont les accès méritent le même niveau d'attention que la comptabilité elle-même.
La cyberattaque de la DGFiP n'expose pas directement les systèmes des entreprises. Elle alimente en revanche un écosystème de fraude qui s'appuie sur des données réelles, au moment précis où les sollicitations liées à la réforme vont se multiplier. La meilleure protection reste la combinaison d'une hygiène numérique partagée par toute l'équipe et d'accès rigoureusement encadrés.