Fuite de données à la DGFiP : analyse technique de l'attaque et comment s'en prémunir

Le 14 août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé avoir subi une cyberattaque : les données de 678 438 lignes fiscales, réparties entre environ 350 000 particuliers et 285 570 professionnels et entreprises, ont été consultées ou dérobées. Cette annonce tombe quelques semaines seulement avant une échéance qui concerne, elle, absolument toutes les entreprises françaises : l'obligation de facturation électronique, dont la première étape entre en vigueur le 1er septembre 2026. Le rapprochement n'est pas qu'une coïncidence de calendrier — il pointe vers la même question pour toute entreprise, quelle que soit sa taille.

Ce qui s'est passé à la DGFiP

Selon le communiqué officiel du ministère de l'Économie, deux intrusions distinctes ont eu lieu en juin et juillet 2026, avant d'être détectées et rendues publiques en août. Pour les particuliers concernés par la première, les données exposées incluent nom, prénom, revenu fiscal de référence, quotient familial ou taux de prélèvement à la source. Pour les entreprises, la fuite porte sur la raison sociale, le numéro SIREN et certaines adresses. Une seconde vague, distincte, a ensuite été revendiquée par le même groupe : plus de 2 millions de propriétaires auraient été concernés via des données cadastrales — un chiffre relayé par la presse mais qui n'a pas, à ce jour, le même niveau de confirmation officielle que le premier bilan. La DGFiP précise dans les deux cas que les espaces personnels et professionnels sur impots.gouv.fr n'ont pas été compromis et qu'aucun identifiant de connexion de contribuable n'a été volé.

Le mode opératoire technique, en détail

Les deux intrusions ont été revendiquées par un groupe se présentant sous le nom ZeroBytes, décrit comme composé de deux personnes. Point commun aux deux attaques : aucune faille logicielle exotique n'a été exploitée. La stratégie a consisté à détourner des accès légitimes plutôt qu'à casser une protection technique.

Intrusion n°1 (fin juin 2026) : usurpation d'un identifiant donnant accès au VPN normalement réservé aux agents du fisc pour le travail à distance. Une fois connecté, l'attaquant a utilisé un outil interne de recherche sur les particuliers et professionnels, et a été repéré pendant l'exfiltration des données — pas avant.
Intrusion n°2 (fin juillet 2026) : ciblage du Serveur professionnel de données cadastrales (SPDC) via un compte tiers habilité, avec contournement de l'authentification à plusieurs facteurs en place sur ce compte.

Trois faiblesses structurelles ressortent de ces deux scénarios. D'abord, un accès VPN non segmenté : un identifiant volé donnait accès à un outil de recherche sur l'ensemble des contribuables, plutôt qu'à un périmètre restreint correspondant au strict besoin de l'agent. Ensuite, une authentification multifacteur contournable — la présence d'un MFA n'a pas suffi, ce qui pointe vers une méthode plus faible (SMS, notification push simple) que les standards résistants au phishing. Enfin, un contexte réglementaire en retard : la directive européenne NIS2, qui impose notamment le MFA et la notification des incidents à l'ANSSI, aurait dû être transposée en droit français depuis le 17 octobre 2024. Elle restait, au moment de l'attaque, toujours en discussion au Parlement — ces protections n'étaient donc pas encore une obligation légale pour l'administration concernée.

Comment s'en prémunir : les mesures qui auraient changé l'issue

Segmenter les accès à distance (VPN ou équivalent) par périmètre fonctionnel, pour qu'un identifiant compromis n'ouvre jamais l'ensemble d'un système — c'est le principe du moindre privilège, pas une option de confort.
Choisir un MFA résistant au phishing (clé de sécurité physique FIDO2/WebAuthn, ou a minima une authentification par correspondance de code) plutôt qu'un simple push ou SMS, contournables par hameçonnage ciblé ou par saturation de notifications.
Traiter les comptes de tiers et de partenaires externes comme un risque à part entière : accès limité dans le temps, revu régulièrement, jamais un compte permanent avec des droits larges par défaut.
Mettre en place une détection des volumes d'export anormaux : c'est précisément l'alerte sur un volume d'exfiltration inhabituel qui a permis de repérer la première intrusion — après coup, pas avant. Une alerte plus précoce sur ce type de comportement réduit la fenêtre d'exposition.
Documenter et tester un plan de réponse à incident, avec notification rapide aux autorités compétentes — une pratique que NIS2 rendra bientôt obligatoire, mais qui reste pertinente indépendamment de toute obligation légale.

Pourquoi ce calendrier n'est pas anodin pour votre entreprise

Le vecteur de cette attaque — des identifiants détournés, pas une vulnérabilité logicielle exotique — est de très loin le plus fréquent dans les compromissions de données, chez une administration comme chez une PME. Ce qui change avec la réforme de la facturation électronique, c'est le volume d'entreprises qui vont, dans les prochains mois, connecter leurs outils de gestion à une nouvelle plateforme pour émettre ou recevoir leurs factures. Chaque connexion supplémentaire à un service qui manipule des données fiscales et financières est un compte de plus à protéger avec les mêmes réflexes que ceux qui ont manqué à la DGFiP — et donc un point d'entrée de plus si ces réflexes ne sont pas en place dès le départ.

Ce que change la réforme, concrètement

1er septembre 2026 : toutes les entreprises, sans exception de taille, doivent être en mesure de recevoir des factures électroniques.
1er septembre 2026 : les grandes entreprises et ETI doivent en plus être capables d'émettre leurs factures au format électronique.
1er septembre 2027 : les PME et TPE devront à leur tour émettre leurs factures électroniquement et transmettre leurs données de transaction à l'administration.
L'émission passe obligatoirement par une plateforme de dématérialisation partenaire (PDP) immatriculée — la liste officielle est publiée sur impots.gouv.fr.

Check-list avant de connecter votre entreprise à une plateforme de facturation

Vérifier que la plateforme choisie figure bien sur la liste officielle des PDP immatriculées avant d'y transmettre la moindre donnée.
Activer la double authentification sur tous les comptes liés à la facturation et à la comptabilité, pas seulement sur la messagerie.
Ne jamais réutiliser un mot de passe entre le logiciel de gestion, la plateforme de facturation et la messagerie professionnelle.
Limiter l'accès à la plateforme aux seules personnes qui en ont réellement besoin — pas un accès partagé par toute l'équipe.
Rester attentif aux emails qui citent cette actualité (fuite DGFiP, réforme de facturation) pour créer un sentiment d'urgence : c'est un classique du phishing qui suit toute fuite de données médiatisée.

Cette réforme va faire transiter les données de facturation de bien plus d'entreprises par des outils numériques neufs, parfois choisis dans l'urgence à l'approche de l'échéance. La sécurité de ces flux ne se rattrape pas après coup : elle se pense au moment où l'outil est choisi ou développé — validation des accès, gestion des identifiants, et absence de raccourci sur les données sensibles dès la conception, pas ajoutée en pansement une fois le premier incident survenu.

Source : Accès illégitimes au système d'information de la DGFiP — FAQ officielle, economie.gouv.fr

Source : Piratage de la DGFiP : ce que l'on sait vraiment — Silicon.fr

Source : DGFiP piratée : la cybersécurité de l'État sous pression — Archimag

Source : Facturation électronique : guide pratique de démarrage — impots.gouv.fr