Ce n'est plus l'intrusion qu'il faut raconter : c'est le moment où une PME doit savoir distinguer le vrai courrier des faux qui s'appuieront, cette fois, sur des données réelles.

La Direction générale des Finances publiques a confirmé le 14 août deux accès illégitimes à son système d'information, intervenus en juin et juillet. Un acteur malveillant les avait revendiqués les 12 et 13 août. Selon le communiqué de Bercy, recoupé par l'AFP, ces accès ont permis de consulter et d'extraire des données concernant 678 000 particuliers et professionnels. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées. Les espaces Finances publiques des usagers n'ont pas été compromis, pas plus que leurs identifiants et mots de passe. Matignon a indiqué que les usagers concernés seront contactés individuellement à compter de lundi 17 août.

Voilà le fait. Le reste de cet article sert à une chose : qu'une entreprise de Haute-Vienne, lundi matin, ne confonde pas le message de l'administration avec celui d'un escroc qui aura lu le même fichier.

Ce qui a fuité, et ce qui n'a pas fuité

Pour les particuliers, Bercy retient le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Pour les professionnels, le communiqué officiel cite la raison sociale et le numéro SIREN. Au point presse, la DGFiP a jugé ces données professionnelles moins sensibles : elles sont souvent déjà publiques.

Ces informations ne permettent pas d'ouvrir le compte sécurisé sur impots.gouv.fr. Bercy précise que les identifiants et les mots de passe n'ont pas été compromis. Ce qui a fuité, en revanche, suffit à écrire un message crédible. Un faux « avis de fuite » qui cite votre SIREN, ou le revenu fiscal de référence d'un dirigeant, n'a plus besoin d'inventer. C'est la différence avec la vague de juillet sur les faux remboursements d'impôts : là, le montant était fabriqué ; ici, le détail peut être vrai.

Le vrai message : trois critères, pas dix

Bercy a annoncé une information individuelle, par courriel ou par courrier, précisant les données susceptibles d'avoir été consultées ou extraites, et les mesures de vigilance à adopter. Matignon a confirmé le déclenchement à compter du lundi 17 août.

Trois critères tiennent, quel que soit le canal.

Premier : le domaine. L'administration fiscale n'a de sites qu'en .gouv.fr — impots.gouv.fr et les sous-domaines du même registre. Ses courriels partent d'adresses dont le domaine est exactement @dgfip.finances.gouv.fr, rien devant, rien derrière. Un message « DGFiP » envoyé depuis Gmail, Outlook, un nom de domaine privé ou une adresse qui contient « gouv.fr » au milieu d'autre chose est un faux. La page de vigilance de la DGFiP le dit sans nuance.

Deuxième : un clic pour « confirmer que vous êtes victime », un formulaire, une pièce jointe à ouvrir pour « voir le détail » : ce sont des réflexes de vigilance. Ils ne décrivent pas le courrier de lundi. Dès qu'on vous demande d'agir, on s'arrête.

Troisième : la vérification se fait en tapant l'adresse soi-même. On n'ouvre pas le lien du message. On saisit https://www.impots.gouv.fr dans le navigateur, on se connecte à l'espace professionnel, on lit ce qui s'y trouve. Si le doute reste, on appelle un numéro déjà connu — celui du service des impôts des entreprises, pas celui qui figure dans le message.

Ce que les faux citeront cette semaine

Jusqu'ici, un hameçonnage fiscal se reconnaît souvent à une invraisemblance : un montant arrondi, un SIRET mal formé, un ton trop urgent. Cette semaine, cet indice disparaît pour une partie des destinataires. L'escroc qui a acheté le fichier — ou un extrait — peut citer un vrai SIREN et un vrai revenu fiscal de référence, puis demander de « cliquer ici pour prendre connaissance des mesures ».

Le SIREN peut être le bon. Le revenu fiscal de référence aussi. Le vocabulaire peut copier celui de Bercy. Il manque seulement le domaine.

C'est le même ressort que nous décrivions fin juillet à propos des faux remboursements : une identité de confiance, un détail crédible, une urgence, un geste à faire tout de suite. La différence, c'est le détail. En juillet, il était inventé. Là, il peut être extrait d'un fichier volé.

Trois variantes à briefer dès lundi, avant l'ouverture des boîtes.

Ce que direction et compta verrouillent lundi matin

Pas un plan à trois mois. Quatre phrases, écrites, lues à voix haute.

  1. Aucun virement inhabituel, aucun changement de RIB, aucune pièce fiscale envoyée sur la seule foi d'un courriel, d'un SMS ou d'un appel. La validation passe par un second canal déjà connu — un numéro dans le répertoire, pas dans le message. Cette règle ne tient que si celui qui l'applique ne se fait pas reprocher d'avoir fait attendre.
  2. Personne ne se connecte à impots.gouv.fr depuis un lien reçu. On tape l'adresse. On ne « met pas à jour » un RIB depuis un message, même signé DGFiP.
  3. Un point de signalement interne, sans reproche : une adresse, ou une personne, à qui transférer le message douteux. Y compris si l'on a déjà cliqué. Une PME qui apprend l'incident le jour même le contient ; celle qui l'apprend trois semaines plus tard le subit.
  4. La messagerie professionnelle a un second facteur qui n'est pas un SMS. Un mot de passe deviné, ou réutilisé, ne doit pas suffire à ouvrir la boîte d'où partent les virements. Nous avons détaillé lequel choisir ; l'essentiel, cette semaine, est qu'il soit actif sur les comptes qui font mal : messagerie, banque, comptabilité.

Ces quatre points tiennent pour une entreprise de dix personnes à Limoges comme pour une de cinquante. Ils ne dépendent pas d'un budget.

Le fisc ne demande jamais cela

La DGFiP le répète sur ses pages de vigilance, et le service public le reprend à destination des professionnels : l'administration fiscale ne demande jamais, par courriel, par SMS ou par téléphone, un RIB, un numéro de carte, des identifiants de connexion, ni les références des contacts financiers. Une demande de ce type met fin à la discussion. On ne « vérifie » pas le lien. On ne répond pas. On signale, si l'on veut, sur internet-signalement.gouv.fr.

Le vrai message de cette semaine, s'il arrive, décrit des données susceptibles d'avoir été vues. Il n'a pas besoin de votre carte pour le faire.

Notre lecture

L'incident de juin et de juillet est un problème d'État. La semaine du 17 août est un problème d'organisation. Toutes les entreprises de Haute-Vienne ne sont pas dans le fichier. Cela ne change rien : les faux n'ont pas besoin que vous y soyez pour l'écrire. Seuls ceux qui ont acheté le fichier pourront citer un vrai SIREN. Les autres inventeront. Dans les deux cas, le test est le même — le domaine, l'absence de demande, la vérification par un canal que l'on a choisi soi-même.

Nous avions écrit en juillet que ce qui coûte le plus souvent de l'argent à une PME n'est pas un logiciel malveillant, c'est un message bien tourné. Cette semaine, le message a un avantage de plus : il peut coller à une donnée vraie. La parade, elle, n'a pas changé.

Sources : communiqué Bercy n°953 du 14 août 2026 et actualité impots.gouv.fr du même jour ; AFP / France 24 du 14 août ; Nouvel Obs du 16 août (citation Matignon pour le contact à compter de lundi) ; pages de vigilance DGFiP et service-public.fr. Chiffres revendiqués par l'attaquant et volume cadastral non repris comme officiels : absents du communiqué de Bercy.

Transparence. Cet article a été rédigé par un agent IA que nous avons conçu et que nous exploitons : il choisit le sujet à partir de nos données de référencement, recoupe chaque fait sur au moins deux sources indépendantes et rédige la proposition. Il ne publie rien seul — chaque article est relu, corrigé et validé par Matthieu Nicolle, directeur de la publication, qui en porte la responsabilité éditoriale. Comment nous l'avons construit.