La fuite DGFiP en sept repères datés
- Juin et juillet 2026 : deux intrusions, par usurpation des identifiants d'un agent de la DGFiP puis d'un tiers habilité.
- 12 et 13 août : un acteur malveillant revendique publiquement les accès.
- 14 août, 19 h : communiqué de Bercy n° 953. 678 000 particuliers et professionnels concernés.
- 17 août au soir : premiers courriels individuels envoyés aux personnes concernées.
- 18 août : la CNIL confirme avoir été notifiée et indique qu'il n'est pas utile de lui adresser des plaintes individuelles.
- Répartition : « un peu plus de 350 000 » particuliers et environ 250 000 professionnels, selon les chiffres donnés par la DGFiP et rapportés par MoneyVox.
- Non compromis : les mots de passe, les identifiants d'accès, les espaces personnels sur impots.gouv.fr, les déclarations et les avis d'impôt.
Ce que la DGFiP a confirmé, et ce qu'elle écrit depuis lundi soir
Le communiqué de Bercy est précis sur le mode opératoire. Les accès illégitimes sont intervenus « en juin et juillet 2026 », et reposaient sur « des usurpations d'identifiants d'un agent de la DGFIP et d'un tiers habilité ». La direction a coupé les comptes concernés dès la détection, mais les contrôles menés à ce moment-là « n'ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l'attaque ». Ce n'est qu'à partir du 12 août, après la revendication publique, que les investigations approfondies ont établi l'extraction.« La DGFiP prendra directement contact dès la semaine prochaine avec chacun des particuliers et professionnels concernés. Ils recevront une information individuelle par courriel ou courrier précisant les données susceptibles d'avoir été consultées ou extraites et, le cas échéant, les mesures de vigilance à adopter. » — communiqué de presse n° 953, ministère de l'Économie et des Finances, 14 août 2026.La CNIL, saisie par la DGFiP, a publié le 18 août une mise au point à double détente. D'abord une simplification : puisqu'elle est déjà saisie des violations, « il n'est pas nécessaire de saisir la CNIL d'une plainte individuelle à ce sujet », sauf à disposer d'éléments spécifiques utiles aux investigations. Ensuite un avertissement adressé à l'administration elle-même : la Commission indique qu'elle est « susceptible de mener des investigations sur pièces ou sur place pour vérifier, notamment, si les mesures de sécurité en place sont conformes à l'état de l'art », et de prononcer des sanctions en cas de manquement au RGPD. La liste des données qu'elle détaille ajoute au communiqué initial les données cadastrales — adresses et surfaces de biens immobiliers — ainsi que le SIREN et la raison sociale pour les entreprises.
Le détail qui change tout pour une entreprise : vos échanges avec le fisc ont pu être lus
Le courriel envoyé depuis lundi soir énumère les données « susceptibles d'avoir été consultées ». La liste rapportée par MoneyVox reprend l'identifiant fiscal, l'état civil, l'adresse postale, l'adresse mail, le numéro de téléphone, la situation de famille, le nombre de personnes à charge, le nombre de parts fiscales, le revenu fiscal de référence et le taux de prélèvement à la source. Puis vient une ligne absente du communiqué du 14 août : « la liste des messages échangés via la messagerie d'impots.gouv.fr et, parfois, le contenu des échanges ». C'est ce point qui déplace le risque du terrain personnel vers le terrain professionnel. Un dirigeant qui a écrit à son service des impôts des entreprises pour demander un délai de paiement, contester un avis de CFE, signaler un changement de régime de TVA ou solliciter un échéancier a laissé une trace de cet échange dans la messagerie d'impots.gouv.fr. Si le contenu de ce fil a été consulté, un escroc ne se contente plus de connaître un montant : il connaît le sujet en cours, le vocabulaire employé et l'état d'avancement du dossier. La différence est opérationnelle. Une relance frauduleuse générique se repère à son imprécision. Une relance qui reprend le motif exact d'une demande déposée six semaines plus tôt, avec le bon interlocuteur et la bonne échéance, ne se repère plus au contenu. Elle ne se repère qu'au canal — et c'est précisément là que la DGFiP a placé son marqueur de sécurité.
Comment distinguer le vrai courriel du faux : quatre critères, un seul décisif
La DGFiP a elle-même alerté sur la circulation de faux messages imités du courriel authentique. Quatre critères permettent de trancher, et le premier suffit dans l'immense majorité des cas : le courriel officiel ne contient aucun lien d'accès aux services en ligne. C'est une règle générale de l'administration fiscale, rappelée dans ses consignes de sécurité informatique publiées sur impots.gouv.fr, et elle est ici le meilleur discriminant disponible. La CNIL et Cybermalveillance.gouv.fr maintiennent chacune une fiche réflexe sur l'hameçonnage et la marche à suivre pour le signaler.| Critère | Le message officiel de la DGFiP | Le signal d'alerte |
|---|---|---|
| Liens | Aucun lien d'accès aux services en ligne | « Cliquez ici pour consulter les données concernées » |
| Expéditeur | Une adresse en @dgfip.finances.gouv.fr | Tout autre suffixe, y compris très ressemblant |
| Données demandées | Aucune donnée confidentielle réclamée | RIB, mot de passe, numéro fiscal à « confirmer » |
| Action attendue | Aucune validation d'opération | Validation dans l'appli bancaire, virement « de régularisation » |
D'après les consignes de sécurité de la DGFiP sur impots.gouv.fr et le contenu du courriel officiel tel que rapporté par MoneyVox et Selectra, 18 août 2026.
« Les données sensibles ont pu être divulguées » : le site des impôts victime d'un piratage en France — TV5MONDE Info.
Pourquoi les Hauts-de-France sont structurellement exposés à ce type de courriel
La DGFiP n'a pas publié de ventilation régionale, et il n'en existe pas à ce jour : impossible donc de dire combien d'entreprises des Hauts-de-France figurent dans les 250 000 professionnels concernés. Ce que l'on peut décrire, en revanche, c'est la structure du tissu qui reçoit ces courriels. Le panorama des chiffres clés de la CCI Hauts-de-France recense 410 838 établissements dans la région, dont 282 714 sans aucun salarié (68,8 %) et 97 064 de un à neuf salariés (23,6 %). Autrement dit, plus de neuf établissements régionaux sur dix comptent moins de dix personnes. Seuls 860 en emploient 250 ou plus. Ce chiffre dit l'essentiel du risque. Dans une entreprise de moins de dix salariés, il n'y a ni responsable de la sécurité des systèmes d'information, ni service juridique, ni procédure de double validation des virements. Le dirigeant est souvent la même personne que le comptable, le référent informatique et le signataire bancaire. Un courriel qui arrive un mardi d'août, avec le bon nom, le bon SIREN et une référence à un échange réel avec le service des impôts, n'a pas de contre-pouvoir organisationnel à franchir. Un second élément régional mérite d'être cité, moins pour l'effet que pour la précision : le revenu fiscal moyen par foyer en Hauts-de-France s'établissait à 25 483 euros en 2021, contre 29 547 euros en France métropolitaine, selon les mêmes données. Le revenu fiscal de référence fait partie des informations exposées. Il ne permet aucun prélèvement, mais il sert de preuve de crédibilité dans un appel — et il est d'autant plus convaincant que l'interlocuteur ne s'attend pas à ce qu'un inconnu le connaisse.L'hameçonnage était déjà la première menace avant cette fuite
Cette séquence ne surgit pas de nulle part. Le rapport d'activité 2025 de Cybermalveillance.gouv.fr, publié le 26 mars 2026, décrit très exactement l'enchaînement qui se rejoue aujourd'hui. Le dispositif national a franchi le seuil de 500 000 victimes assistées, en hausse de 20 % sur un an, et les demandes d'assistance liées aux violations de données ont bondi de 107 %. Conséquence directe : l'hameçonnage arrive au premier rang des menaces tous publics confondus, en hausse de 70 %, tandis que le piratage de comptes en ligne prend la tête des menaces touchant les professionnels, en hausse de 45 %. Deux chiffres du même rapport concernent plus précisément les entreprises. Les fraudes au virement progressent de 170 % et se sont étendues, note le rapport, « à des domaines comme la facturation électronique ou la gestion de la paie » — un point à garder en tête à cinq semaines de l'échéance de la facturation électronique obligatoire. La fraude au faux conseiller bancaire progresse de 159 %, et l'usurpation de numéro de téléphone de 517 %, ce qui rend l'affichage de l'appelant définitivement inutilisable comme preuve d'identité. Le rapport décrit aussi pourquoi une fuite se transforme si vite en arnaque : le marché de la donnée volée est désormais « structuré et piloté par des acteurs spécialisés, des plateformes d'échanges dédiées, des kits d'hameçonnage et d'arnaques prêts à l'emploi et même des centres d'appels composés de faux téléconseillers spécialisés en manipulation ». Un jeu de données fraîches n'a plus besoin d'être exploité par celui qui l'a volé : il est revendu à une chaîne qui sait déjà quoi en faire.« La perspective de 2026 augure encore de fortes vagues d'hameçonnage de plus en plus personnalisé, de piratages de compte et de violations de données qui vont nourrir des arnaques multiples et variées. » — Jérôme Notin, directeur général de Cybermalveillance.gouv.fr, rapport d'activité 2025, mars 2026.Le rapport 2025 rappelle enfin qu'une fuite ne reste pas toujours en ligne : l'exploitation de fichiers volés a débouché sur des cambriolages et sur des visites de faux policiers au domicile de licenciés d'une fédération sportive. Le passage du numérique au physique n'est plus théorique. Nous avions traité la mécanique économique de ces attaques à partir du rapport FBI 2025, et le socle technique du côté défensif dans notre guide passkeys et MFA résistant à l'hameçonnage.
Les six réflexes à installer dans l'entreprise cette semaine
Ces mesures ne demandent ni budget ni prestataire. Elles demandent une décision et un message interne. Le moment est favorable : l'attention est haute, et l'arrivée du courriel officiel fournit un prétexte concret pour en parler.Six réflexes à installer cette semaine
- Écrire la règle du canal. Aucune demande reçue par courriel, SMS ou téléphone ne déclenche une action. On revient toujours par un canal que l'on compose soi-même : impots.gouv.fr tapé à la main, ou le numéro figurant sur un document officiel.
- Verrouiller le changement de RIB. Toute modification de coordonnées bancaires d'un fournisseur, d'un salarié ou d'un organisme s'accompagne d'un rappel vocal sur le numéro connu de longue date — jamais celui indiqué dans la demande. C'est la contre-mesure directe à la hausse de 170 % des fraudes au virement, dont Cybermalveillance.gouv.fr détaille la conduite à tenir.
- Prévenir explicitement la comptabilité et la paie. Ce sont les deux fonctions visées, et souvent les deux seules à pouvoir déclencher un paiement. Un message de dix lignes du dirigeant suffit à créer le réflexe de doute.
- Se connecter soi-même à l'espace professionnel. Vérifiez l'état réel de vos dossiers sur impots.gouv.fr plutôt que d'attendre de savoir si vous êtes concerné. Aucun outil public ne permet de tester son exposition : tout site qui le propose est frauduleux.
- Activer une authentification à deux facteurs. En priorité sur la messagerie professionnelle et la banque. Le mot de passe de l'espace fiscal n'a pas fuité, mais un compte de messagerie compromis suffit à rendre toute usurpation crédible.
- Signaler plutôt que supprimer. Un courriel frauduleux transmis à la DGFiP et déposé sur le dispositif national d'assistance alimente la détection collective. Un message effacé ne protège que soi, et seulement une fois.
« Ces données peuvent être vendues sur le Dark Web… » — Najwa El Haïté sur Europe 1.
Deux courriels officiels attendus en dix jours : la coïncidence qui arrange les escrocs
Le courriel de la DGFiP n'est pas le seul message institutionnel arrivé dans les boîtes ce mois-ci. Le 12 août, la DGCCRF a publié un communiqué annonçant qu'un accès frauduleux à un compte professionnel avait permis de récupérer des fichiers contenant trois millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel — et que les consommateurs concernés « en ont été informés par Bloctel via mail ». Deux notifications officielles légitimes, par courriel, à dix jours d'intervalle, adressées à des millions de personnes. C'est exactement la configuration dans laquelle un faux message passe le mieux : le destinataire s'attend à recevoir quelque chose de l'administration. Notons au passage que l'incident Bloctel est survenu par le même vecteur que celui de la DGFiP — non pas une faille technique du système central, mais le détournement d'un compte tiers légitime. Bloctel a d'ailleurs cessé d'exister le 11 août, en application de la loi du 30 juin 2025 dont nous avons détaillé les conséquences pour les centres de contact et la prospection des PME régionales. La leçon commune est celle de l'accès de tiers. Dans le cas de la DGFiP, la seconde intrusion a reposé sur les identifiants « d'un tiers habilité ». Toute PME qui délègue des accès — à son expert-comptable, à son prestataire de paie, à son infogéreur — reproduit cette architecture à son échelle. La question à se poser cette semaine n'est pas seulement « suis-je concerné par la fuite », mais « qui détient un accès à mes données, et selon quelles règles ». C'est le même raisonnement que celui posé dans notre guide cybersécurité pour les TPE-PME régionales et dans l'analyse des 74 % de PME françaises sous le seuil de sécurité de l'ANSSI.Ce que vous pouvez demander, et ce qui reste incertain
Côté droits, la position de la CNIL simplifie les démarches sans les fermer. Une plainte individuelle n'est pas utile puisque l'autorité est déjà saisie des violations ; elle reste pertinente si l'on dispose d'éléments spécifiques utiles aux investigations, par exemple un message frauduleux reçu et manifestement construit à partir des données exposées. La CNIL conserve par ailleurs la main sur le volet répressif à l'égard du responsable de traitement, ce qui, ici, désigne l'administration elle-même. Côté bancaire, le cadre est celui du droit commun des opérations non autorisées : la banque doit rembourser une opération que le client n'a pas autorisée, et le délai de contestation court sur treize mois à compter du débit. La réserve est importante et souvent mal comprise : un virement que l'on effectue soi-même, en toute conscience, même sous l'effet d'une manipulation, n'est pas une opération non autorisée. C'est précisément ce que cherchent à obtenir les escrocs les plus habiles, et c'est ce qui rend la prévention préférable à toute procédure ultérieure.Trois incertitudes assumées
- Le communiqué du 14 août précise que « les investigations se poursuivent afin de déterminer précisément la nature et le volume de données extraites ainsi que le nombre d'usagers concernés ». Le périmètre peut donc encore évoluer.
- La répartition entre 350 000 particuliers et environ 250 000 professionnels provient de chiffres donnés par la DGFiP et rapportés par la presse spécialisée ; d'autres décomptes, dérivés de l'échantillon publié par l'attaquant, circulent avec des valeurs différentes. Nous retenons la source administrative.
- Aucune donnée ne permet de mesurer l'exposition régionale. L'analyse proposée ici est structurelle — elle décrit la vulnérabilité d'un tissu de très petites entreprises — et non une mesure de l'impact en Hauts-de-France.
Questions fréquentes
Je n'ai reçu aucun courriel : cela veut-il dire que mon entreprise n'est pas concernée ?
Non. La DGFiP indique que l'envoi se poursuit « tout au long de la semaine », et que les personnes dont elle ne possède pas l'adresse électronique seront contactées par courrier papier. L'absence de message au 19 août ne constitue donc pas une réponse. Aucun outil public ne permet de vérifier son exposition : tout site proposant de tester votre situation fiscale est frauduleux.
Le mot de passe de mon espace professionnel impots.gouv.fr a-t-il fuité ?
Non, selon Bercy et la CNIL. Les identifiants et mots de passe des particuliers et des professionnels n'ont pas été compromis, pas plus que les espaces Finances publiques, les déclarations et les avis d'impôt. Ce sont des données de contenu fiscal qui ont été consultées et extraites, pas des moyens d'accès. Changer son mot de passe reste néanmoins une hygiène raisonnable, surtout s'il est réutilisé ailleurs.
Quelles données d'entreprise sont concernées exactement ?
La CNIL cite, pour les entreprises, le SIREN et la raison sociale, aux côtés des informations fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source) et des données cadastrales relatives aux adresses et surfaces de biens immobiliers. Le courriel individuel ajoute la liste des messages échangés via la messagerie d'impots.gouv.fr et, parfois, leur contenu.
Faut-il déposer plainte auprès de la CNIL ?
Ce n'est pas nécessaire : la CNIL a été notifiée par la DGFiP et est déjà saisie de ces violations. Elle précise qu'une saisine individuelle garde son utilité uniquement si vous disposez d'éléments spécifiques ou utiles aux investigations en cours. La DGFiP a par ailleurs annoncé qu'elle déposerait plainte de son côté.
Un escroc peut-il vider le compte bancaire de mon entreprise avec ces données ?
Pas directement : aucune coordonnée bancaire ne figure parmi les données exposées, et aucun prélèvement ne peut être déclenché avec ce qui a été volé. Le risque est indirect : ces informations servent de preuve de crédibilité pour obtenir de vous une action — validation d'une opération, communication d'un mot de passe, virement de « régularisation ». C'est la manipulation, et non la donnée, qui coûte de l'argent.
Ce qu'il faut surveiller dans les prochains jours
Trois signaux méritent d'être suivis. Le premier : la fin de la campagne de notification, qui marquera aussi le pic de la fenêtre d'imitation — les faux messages restent efficaces tant que les vrais circulent. Le deuxième : les conclusions des investigations annoncées par Bercy sur le volume réel de données extraites, susceptibles de faire évoluer le périmètre. Le troisième : la suite donnée par la CNIL, qui a explicitement évoqué des contrôles sur pièces ou sur place et des sanctions possibles à l'égard du responsable de traitement. Pour une entreprise régionale, la fenêtre utile est celle qui s'ouvre maintenant. Elle ne se joue pas sur un outil à acheter, mais sur une règle à écrire et à faire connaître : rien ne se décide dans le fil d'un message entrant. C'est une phrase, elle tient dans un courriel interne, et elle neutralise la quasi-totalité des scénarios décrits ci-dessus.Sources
- Ministère de l'Économie et des Finances, « Accès illégitimes au système d'information de la Direction générale des Finances publiques », communiqué n° 953, 14 août 2026.
- CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026.
- MoneyVox, « Piratage du fisc : voici la liste précise des données qui ont fuité », 18 août 2026.
- Selectra, « Les faux mails imitent déjà l'alerte de la DGFiP (le vrai n'a aucun lien) », 18 août 2026.
- Cybermalveillance.gouv.fr, rapport d'activité et état de la menace 2025, 26 mars 2026.
- CCI Hauts-de-France, « Dé·crypte — Panorama des chiffres clés de l'économie des Hauts-de-France 2024-2025 ».
- DGCCRF, « Mise en garde à la suite d'une fuite de données sur Bloctel », communiqué n° 949, 12 août 2026.
- CNIL, « Spam, hameçonnage, arnaques : signaler pour agir ». ⚠ La page « Sécurité informatique : soyez vigilants » d'impots.gouv.fr, citée dans l'article, renvoie un blocage automatisé : elle est référencée sans lien.
