Voir les titres Ne plus voir les titres
Le fisc français a été piraté. La Direction générale des Finances publiques a annoncé le 14 août 2026 que 678 000 particuliers et professionnels sont concernés par l’extraction illégitime de données depuis son système d’information. Cette administration gère les déclarations, le recouvrement et le cadastre pour l’ensemble des contribuables du pays, entreprises comprises : la brèche touche donc des informations que les dirigeants n’ont jamais rendues publiques.
L’affaire n’a rien d’une panne technique isolée. Elle repose sur l’usurpation des identifiants d’un agent de la DGFiP et de ceux d’un tiers habilité, et les intrusions remontent à juin et juillet 2026, plusieurs semaines avant leur mesure complète. Une administration ne perd pas seulement des données, elle perd la matière première des fraudes qui suivront. Quelles conséquences pratiques pour une entreprise dont le numéro Siren figure dans le lot ?
Ce qui est sorti du système d’information
Le communiqué de Bercy détaille les catégories de données consultées et extraites avant l’interruption des accès.
- Pour les particuliers, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source ;
- Pour les entreprises, la raison sociale, le numéro Siren et les adresses de la société comme du mandataire ;
- Des données cadastrales portant sur les adresses et les surfaces de biens immobiliers ;
- Aucun identifiant ni mot de passe des espaces Finances publiques, qui n’ont pas été compromis.
La distinction compte. Les espaces personnels et professionnels sur impots.gouv.fr restent hors d’atteinte, ce qui écarte le scénario d’une prise de contrôle directe des comptes fiscaux. Le danger se déplace vers l’usage indirect de ces informations par des tiers.
L’administration fiscale qualifie les données d’entreprise de « moins sensibles que celles des particuliers ». La formule mérite d’être nuancée du point de vue des dirigeants, pour une raison qui tient à la mécanique même de la fraude en entreprise.
Une intrusion détectée en juin, mesurée seulement en août
La chronologie éclaire la difficulté du sujet. Les services de Bercy ont détecté en juin la compromission du compte d’un agent et ont immédiatement coupé les accès concernés. À ce stade, les contrôles n’ont révélé aucun vol de données, l’attaquant n’ayant pas procédé au requêtage massif qui trahit habituellement une extraction.
Tout a basculé le 12 août 2026, quand un acteur malveillant a revendiqué publiquement l’intrusion. Les investigations relancées à partir de cette date ont établi que des données avaient bien été consultées et extraites, en juin et en juillet. Deux mois séparent l’incident de sa mesure, écart qui dit la difficulté à repérer une exfiltration discrète. La directrice générale des Finances publiques, Amélie Verdier, évoque une « attaque plus sophistiquée que ce qu’on avait vu par le passé ».
Des coupures préventives d’accès à des systèmes sensibles ont suivi. La DGFiP a saisi la Commission nationale de l’informatique et des libertés et annoncé un dépôt de plainte, tandis que l’Agence nationale de la sécurité des systèmes d’information et le service du haut fonctionnaire de défense et de sécurité de Bercy sont mobilisés sur les investigations.
Pourquoi les données d’entreprise valent plus qu’il n’y paraît
Un numéro Siren est public, une raison sociale aussi. Ce qui ne l’est pas, c’est leur assemblage avec l’adresse du mandataire, les surfaces immobilières détenues et, pour les dirigeants concernés à titre personnel, le revenu fiscal de référence. Cet assemblage forme un dossier prêt à l’emploi pour quiconque veut se faire passer pour une société ou pour son représentant légal.
Nous présentons nos excuses à tous les usagers concernés.
Amélie Verdier, directrice générale des Finances publiques, lors d’un échange téléphonique avec la presse, le 14 août 2026
La fraude au président et la fraude au faux fournisseur reposent précisément sur cette crédibilité de détail. Un correspondant qui connaît la forme juridique, l’adresse du siège, le nom du mandataire et le patrimoine immobilier d’une société franchit sans effort le premier filtre de vigilance d’un service comptable. Le sujet rejoint celui de la vérification du bénéficiaire avant virement, devenue une obligation de place.
Le risque concret pour les directions financières
Les personnes et les entreprises concernées seront contactées individuellement par courriel ou par courrier à partir de cette semaine, avec le détail des données susceptibles d’avoir été consultées. Ce courrier deviendra lui-même un support de fraude, puisque des messages imitant la DGFiP suivront mécaniquement l’annonce publique de l’incident.
La règle de prudence tient en une phrase. L’administration fiscale ne réclame jamais de coordonnées bancaires ni de mot de passe par message, et toute sollicitation en ce sens se vérifie par un canal indépendant, en rappelant le service des impôts des entreprises depuis un numéro déjà connu. Les sociétés ayant formalisé une double validation des changements de coordonnées bancaires absorberont la vague sans dommage.
Ce que la saisine de la CNIL implique
La saisine du régulateur ouvre une séquence balisée. Le règlement général sur la protection des données impose de notifier une violation dans les 72 heures et d’informer individuellement les personnes concernées lorsque le risque est élevé. La DGFiP applique ici les deux obligations, avec une information nominative annoncée dès la semaine du 17 août.
Pour les entreprises, la séquence a valeur d’exemple. Une violation de données survenue chez un sous-traitant déclenche exactement les mêmes devoirs, et la charge de la preuve pèse sur le responsable de traitement. Les exigences issues de la directive NIS2 ont déjà fait entrer ces réflexes dans les arbitrages des directions générales, bien au-delà des seuls opérateurs critiques.
La sécurité des tiers, angle mort des entreprises
L’incident déplace une question rarement posée en comité de direction. Une société peut sécuriser correctement son propre système d’information et voir ses données exposées chez un tiers auquel la loi l’oblige à les transmettre. L’administration fiscale entre dans cette catégorie, au même titre que les organismes sociaux ou les greffes des tribunaux de commerce.
La bascule vers la facturation électronique du 1er septembre accroît mécaniquement le volume d’informations commerciales transitant par des plateformes agréées et par les serveurs de l’État. Le flux augmente, la surface d’exposition aussi, et la cartographie des tiers devient un exercice de gestion des risques plutôt qu’une formalité de conformité.
Le prochain jalon sera l’ampleur définitive de la brèche. Les investigations se poursuivent pour établir la nature exacte et le volume des données extraites, et le nombre de 678 000 personnes concernées pourrait évoluer. Ce chiffre provisoire fixe déjà l’échelle du travail de vigilance qui attend les services comptables cet automne.
