Un compte piraté. Pas de faille technique, pas de logiciel troué. Juste des identifiants volés. C'est comme ça qu'un attaquant s'est baladé dans le système d'information de la DGFiP fin juin 2026. Résultat revendiqué le 12 août : un fichier de 678 437 personnes, dont 285 570 professionnels.
Si vous dirigez une PME à Lyon ou ailleurs dans la région, cet incident vous concerne à double titre. Vos données pro sont peut-être dans le lot. Et surtout, le mode opératoire est exactement celui qui menace votre propre boîte. On décrypte, sans dramatiser.
Ce qui s'est passé, factuellement
Mercredi 12 août 2026, un acteur malveillant revendique un accès illégitime au système d'information de la Direction générale des Finances publiques. Cet accès date de fin juin 2026. Il a été obtenu après une usurpation d'identité, pas via une vulnérabilité logicielle.
Traduction : quelqu'un a récupéré des identifiants valides et s'est connecté comme un utilisateur légitime. Les investigations confirment que cet accès, coupé fin juin lors d'un contrôle, a quand même permis de consulter et d'extraire des données de particuliers et de professionnels.
Selon le site spécialisé French Breaches, le fichier concernerait 678 437 personnes : 392 867 particuliers et 285 570 professionnels. Le ministère de l'Économie, lui, reste prudent. Il ne chiffre officiellement ni les données extraites ni le nombre d'usagers touchés, les investigations continuant.
La DGFiP a tenu à préciser un point : "le site impots.gouv.fr et les espaces Finances publiques des usagers particuliers et professionnels n'ont pas été compromis". Elle indique aussi avoir coupé immédiatement les accès des comptes utilisés dans les incidents, plus d'autres applications sensibles par précaution.
Quelles données sont concernées
Pour cet incident de juin, French Breaches évoque : date et lieu de naissance, adresse d'envoi, adresse d'imposition, adresse e-mail, noms, prénoms, numéros de téléphone, situation familiale. Mais aussi des données plus sensibles : revenus fiscaux et taux d'imposition.
Un incident qui n'arrive pas seul
Le vrai signal, ce n'est pas ce piratage isolé. C'est la répétition.
Quelques mois plus tôt, fin janvier 2026, un autre incident a touché la DGFiP. La fuite a concerné au moins 1,2 million de comptes bancaires du fichier FICOBA. Le mode opératoire ? Les identifiants de connexion d'un fonctionnaire du ministère. Toujours du vol d'identité, pas de faille technique. Parmi les données détournées : RIB, IBAN, identités complètes, dates de naissance, adresses, mails, numéros de téléphone, identifiant fiscal.
Et ce n'est pas fini. Quelques heures après la confirmation officielle du premier accès, un cybercriminel affirme avoir compromis un deuxième service, contenant des données cadastrales cette fois. Intrusion supposée le 29 juillet 2026, 252 149 lignes extraites avant mise en vente. Cette revendication n'est pas confirmée par la DGFiP à ce stade.
Un syndicat de la DGFiP alerte sur le phénomène. Depuis plusieurs mois, les fuites dans les administrations se multiplient. La DGFiP n'est pas un cas à part : le ministère de l'Intérieur a lui aussi été touché fin 2025.
Le vrai danger pour votre entreprise : le phishing hyper-ciblé
Vos coordonnées bancaires ne servent pas directement à vous vider un compte. Le risque est plus subtil et plus efficace : le hameçonnage extrêmement ciblé.
Imaginez un mail qui connaît votre adresse exacte, votre revenu fiscal de référence, votre taux de prélèvement. Ou pour un pro, un faux message reprenant vos biens immobiliers détenus, votre identité, votre date de naissance. Un escroc qui dispose de ces éléments conçoit un message d'une crédibilité redoutable.
Les scénarios sont connus :
- Un faux message de la DGFiP, d'un notaire, d'une mairie ou d'un service cadastral, reprenant des infos exactes sur un de vos biens pour gagner votre confiance.
- Des faux créanciers qui tentent de mettre en place des prélèvements frauduleux à partir de votre IBAN.
- Des demandes de "régularisation" fiscale urgente, avec un montant plausible et un ton officiel.
Sur ces sujets, la mécanique du phishing dopé aux données ressemble à ce qu'on a déjà décrit dans notre analyse du phishing Crédit Agricole dopé à l'IA. La différence ici : les données volées ne viennent pas d'une usurpation de marque, elles sont authentiques.
La leçon technique : un compte volé, ça change tout
Retenez ce point, il est central. L'attaquant n'a exploité aucune faille logicielle. Il a utilisé des identifiants valides. C'est précisément le scénario que l'authentification multifacteur (MFA) est censée bloquer.
Concrètement, pour une PME lyonnaise :
- MFA partout où c'est possible. Messagerie, outils métier, VPN, accès aux données clients. Un mot de passe volé ne suffit alors plus à entrer.
- Gestion des identités sérieuse. Un compte, une personne. Pas de comptes partagés. On coupe les accès dès qu'un salarié part.
- Principe du moindre privilège. Chaque compte accède uniquement à ce dont il a besoin. Si l'un est compromis, les dégâts restent bornés.
Deuxième leçon, plus fine. Entre la coupure de l'accès fin juin et la revendication du 12 août, il s'est passé six semaines. Cet écart raconte quelque chose : couper un accès compromis ne dit pas ce qui a été emporté avant.
La journalisation qui prouve la coupure ne prouve pas le périmètre extrait. Il vous faut des logs détaillés, pas seulement des logs de connexion. Savoir qui s'est connecté, c'est bien. Savoir quelles données ont été consultées ou exfiltrées, c'est ce qui compte quand ça tourne mal. Pour cadrer ces réflexes, notre guide sur la journalisation et les alertes dans les workflows donne des bases transposables.
Ce que dit le RGPD si ça vous arrive
Une fuite de données professionnelles, ce n'est pas seulement un problème technique. C'est une obligation légale.
Le principe : dès que votre entreprise a connaissance d'une violation de données personnelles, elle doit notifier la CNIL dans un délai de 72 heures si possible. Si vous dépassez ce délai, vous devrez expliquer les motifs du retard dans votre notification. Et une notification complémentaire doit intervenir dès que de nouvelles informations sont disponibles.
Attention à un point mal compris. Le compteur des 72 heures démarre quand vous avez connaissance de la violation, pas quand elle s'est produite. Vous découvrez un lundi un piratage survenu le vendredi ? Le délai court à partir du lundi. D'où l'importance de savoir détecter vite.
Retenez la logique pratique :
- Documentez tout incident, même s'il vous semble mineur au départ.
- Sachez qui alerte, qui décide, qui notifie. Une chaîne floue vous fait perdre les précieuses 72 heures.
- Si la fuite présente un risque élevé pour les personnes concernées, vous devez aussi les informer directement.
Pour les entreprises qui manipulent déjà des données via des outils d'IA, ces questions rejoignent notre article RGPD et IA en entreprise.
Votre plan d'action, à mettre en place maintenant
Pas besoin d'un budget de grand groupe. Voici les priorités, dans l'ordre.
- Activez le MFA sur tous les accès critiques cette semaine. C'est le geste avec le meilleur rapport effort/protection.
- Faites l'inventaire de vos comptes. Supprimez les comptes dormants, les accès d'anciens salariés, les comptes partagés.
- Formez vos équipes au phishing ciblé. Expliquez qu'un message crédible avec des infos exactes reste peut-être une arnaque. On ne clique pas, on vérifie par un autre canal.
- Vérifiez vos IBAN et prélèvements. Surveillez les mises en place de prélèvements que vous n'avez pas autorisées.
- Préparez votre procédure de notification. Un document simple : qui appeler, quoi documenter, comment joindre la CNIL. Ça se rédige avant l'incident, pas pendant.
- Renforcez vos logs. Assurez-vous de tracer les accès aux données sensibles, pas seulement les connexions.
Le piratage de la DGFiP n'est pas une histoire d'administration lointaine. C'est un rappel que le maillon faible, aujourd'hui, c'est un identifiant qui traîne. Un compte volé ouvre plus de portes qu'une faille technique. La bonne nouvelle : les parades sont connues, peu coûteuses, et à votre portée. Reste à les activer avant d'en avoir besoin.
Laisser un commentaire