Un dirigeant nous a écrit jeudi dernier, capture d’écran en pièce jointe : « les impôts m’annoncent que mes données ont fuité et me demandent de vérifier mon espace particulier. C’est vrai ou c’est une arnaque ? » Les deux moitiés de la question ont une réponse différente. La fuite est réelle : la DGFiP a confirmé le 14 août 2026 le vol de données concernant 678 000 usagers. Le message qu’il avait reçu, lui, était faux, et le signe était dans le lien.
Que s’est-il passé à la DGFiP ?
Selon les éléments rendus publics, les connexions malveillantes ont eu lieu en juin et juillet 2026, à partir de l’usurpation des accès d’un agent et d’un tiers habilité, avant d’être revendiquées les 12 et 13 août. Les informations exposées ne sont pas des mots de passe : état civil, adresse, identifiants de biens et références cadastrales, revenu fiscal de référence, taux de prélèvement à la source.
C’est précisément ce qui les rend utiles à un escroc.
Le vrai message ne demande rien
La DGFiP informe les personnes concernées par courriel. Ce courriel ne comporte aucun lien de connexion et ne réclame ni identifiant, ni numéro fiscal, ni coordonnées bancaires. Il informe, il renvoie vers le site officiel que vous saisissez vous-même dans la barre d’adresse, et il s’arrête là.
Les faux, eux, ont besoin que vous cliquiez. Ils reprennent le logo, la mise en page, parfois le nom d’un service réel, et ajoutent une raison de se dépêcher : vérification obligatoire, remboursement en attente, compte suspendu sous quarante-huit heures. Le réflexe qui tranche tient en une manipulation : ne cliquez pas, ouvrez un onglet neuf, tapez impots.gouv.fr à la main, connectez-vous. Si une action vous attend vraiment, elle est dans votre espace. Sinon, le message était faux.
Un revenu fiscal exact rend une fraude au virement crédible
L’objection nous revient souvent : « c’est mon dossier fiscal personnel, ça ne regarde pas l’entreprise ». Sur le papier, oui. En pratique, un attaquant qui connaît le revenu de référence d’un dirigeant, son adresse et ses biens immobiliers dispose de quoi rendre un appel ou un courriel professionnel très convaincant, et c’est ce détail vérifiable qui fait tomber la méfiance d’un comptable au moment d’un changement de coordonnées bancaires.
Sur les 3 000 postes que nous supervisons, la semaine du 17 août a produit onze signalements internes de messages usurpant l’administration fiscale, dont trois adressés à des adresses professionnelles nominatives. Aucun n’a abouti. Tous ont été signalés par des collaborateurs, pas détectés par un filtre.
Que faire si un collaborateur a déjà cliqué ?
S’il a seulement ouvert la page sans rien saisir, il n’y a rien à faire d’autre que fermer l’onglet et signaler le message. S’il a saisi ses identifiants fiscaux, il change le mot de passe depuis son espace officiel, et il change aussi celui de sa messagerie personnelle si le mot de passe était le même. S’il a communiqué une carte bancaire, il appelle sa banque et fait opposition le jour même, sans attendre le premier prélèvement.
Dans tous les cas, le message se transfère à signal-spam ou se signale au 33700 pour un SMS, et l’incident se consigne. Un signalement qui ne laisse pas de trace écrite ne sert qu’une fois. Notre article sur l’arnaque au faux support technique Microsoft détaille la même mécanique appliquée à un écran bloqué, et l’authentification multifacteur reste ce qui limite le plus les dégâts quand un mot de passe a déjà filé.
Testez le réflexe en trois questions
Aucune donnée n'est envoyée ni conservée : tout se passe dans votre navigateur.
1. Un courriel de la DGFiP vous annonce la fuite et propose un bouton « Vérifier mon espace ». Que faites-vous ?
Le courriel officiel ne contient aucun lien de connexion : on saisit toujours l'adresse soi-même.
2. Quelles données ont été exposées lors de l'incident confirmé le 14 août 2026 ?
Aucun mot de passe n'est concerné, mais un revenu fiscal exact suffit à rendre une fraude crédible.
3. Un collaborateur a saisi ses identifiants fiscaux sur une fausse page. Première action ?
On change le mot de passe compromis et tous ses jumeaux, puis on consigne l'incident par écrit.
Par où commencer
Envoyez à vos équipes une consigne d’une ligne cette semaine : aucun lien dans un mail d’administration, on tape l’adresse à la main. Puis regardez si votre organisation saurait détecter le clic d’après, celui qui aboutira. Le pré-diagnostic cybersécurité donne une réponse chiffrée en trois minutes, gratuitement. Si le résultat vous inquiète, un ingénieur vous en parle pendant trente minutes : prendre rendez-vous.
