Une fuite de données fiscales d’ampleur inédite touche la France : plus de 678 000 dossiers ont été dérobés dans les systèmes de la Direction générale des Finances publiques (DGFiP), et parmi les victimes ne figurent pas que des particuliers. Près de 285 000 entreprises françaises voient elles aussi leurs informations circuler dans la nature, avec des conséquences juridiques et opérationnelles bien réelles pour les dirigeants concernés.
Ce qui s’est passé
Le 12 août 2026, un individu se présentant sous le pseudonyme « Zerobytes » a revendiqué publiquement le vol de 678 438 lignes de données extraites des systèmes de la DGFiP, annonçant son intention de les revendre sur des forums spécialisés. Dès le lendemain, l’administration a confirmé la réalité de cet accès frauduleux. Selon les éléments communiqués, l’intrusion s’appuyait sur une usurpation d’identité de deux comptes légitimes — celui d’un agent de la DGFiP et celui d’un tiers autorisé à interroger le système — et remonterait aux mois de juin et juillet 2026, bien avant sa révélation publique.
Des entreprises directement concernées
Sur les 678 438 lignes dérobées, l’attaquant lui-même en détaille la composition : 392 867 concernent des particuliers, et 285 570 concernent des professionnels. Pour ces derniers, les données exposées ne se limitent pas à de simples coordonnées : elles incluent le numéro SIREN de l’entreprise, son adresse, ainsi que l’adresse du représentant légal.
Pour les particuliers, les informations concernées comprennent le quotient familial, le revenu fiscal de référence, le taux de prélèvement à la source, le numéro fiscal, ainsi que des coordonnées téléphoniques et email. La DGFiP a toutefois précisé un point important : cette intrusion n’a pas donné accès aux comptes sécurisés des usagers sur la plateforme impots.gouv.fr, l’accès frauduleux ayant porté sur des données extraites en interne.
Quelles suites judiciaires et obligations pour les entreprises ?
Le 15 août 2026, le parquet de Paris a annoncé l’ouverture d’une enquête, confiée à l’Office anti-cybercriminalité (Ofac), notamment pour extraction frauduleuse de données. Le ministre chargé des Comptes publics, David Amiel, a par ailleurs demandé à la DGFiP de notifier individuellement les personnes et structures concernées, ainsi que de formuler des propositions pour renforcer la sécurité du système.
Pour une entreprise dont le SIREN et l’adresse du dirigeant ont fuité, le risque n’est pas seulement théorique : ces informations, en apparence anodines, sont précisément celles qu’utilisent les fraudeurs pour construire des tentatives crédibles d’escroquerie au faux dirigeant ou de phishing ciblé se faisant passer pour l’administration fiscale.
- Vérifier si l’entreprise figure parmi les structures notifiées par la DGFiP
- Sensibiliser les équipes comptables et administratives au risque de phishing ciblé
- Mettre en place une procédure de double vérification pour tout virement ou changement de coordonnées bancaires demandé par mail
- Documenter tout email suspect reçu dans les semaines suivant l’annonce, utile en cas de dépôt de plainte
Un signal d’alerte pour la cybersécurité des administrations
Cet épisode illustre la vulnérabilité des grandes bases de données publiques face à des attaques reposant non pas sur une faille technique classique, mais sur le détournement d’accès légitimes. Pour les dirigeants d’entreprise, il rappelle qu’une partie de leur exposition au risque cyber ne dépend plus seulement de leurs propres systèmes d’information, mais aussi de la solidité des administrations avec lesquelles ils échangent des données obligatoires.
Pour aller plus loin sur les sujets économiques et réglementaires qui touchent les entreprises françaises, retrouvez nos rubriques Économie – Finance, High Tech – Numérique et Entreprise – Société.
Questions fréquentes
Quelles entreprises sont concernées par la fuite de données de la DGFiP ?
Les 285 570 professionnels dont le numéro SIREN, l’adresse de l’entreprise et l’adresse du représentant légal figuraient dans les fichiers visés par l’intrusion confirmée par la DGFiP le 13 août 2026.
Les comptes impots.gouv.fr des entreprises ont-ils été piratés ?
Non. La DGFiP a précisé que l’accès frauduleux ne concernait pas les comptes sécurisés de la plateforme impots.gouv.fr, mais des données extraites de ses systèmes internes via des comptes usurpés.
Que doit faire une entreprise si ses données ont été exposées ?
Elle doit être notifiée directement par l’administration et rester vigilante face aux tentatives de phishing ou d’usurpation exploitant ces informations, en particulier les scénarios de fraude au faux dirigeant visant le service comptable.
Sources
Leto Legal — Fuite de données fiscales impots.gouv.fr
BleepingComputer — French tax authority data breach affects 678,000 individuals
The Register — French tax authority admits data heist
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale