Vol d'identifiants : ce que révèle l'attaque DGFiP

2. Fuite DGFiP : deux risques pour votre PME

Votre entreprise peut être exposée de deux façons : comme victime possible de la fuite, et comme cible du même scénario.

• Première exposition : ce que la fuite apprend aux escrocs. 

Pour les professionnels, les données extraites sont le SIREN, la dénomination, l'adresse, et des informations sur les échanges avec la DGFiP via la messagerie impots.gouv : numéro de demande, date, service en charge, formulaire utilisé, statut. Le contenu des messages n'a pas été divulgué. Ni les déclarations, ni les paiements, ni les coordonnées bancaires n'ont été consultés.

SIREN et adresse sont en grande partie publics. La DGFiP place donc le principal point de vigilance sur les informations de messagerie, qui peuvent rendre une escroquerie crédible. Pour moins de 2 076 professionnels, le contenu des messages a pu être consulté, sans les pièces jointes. Ces entreprises ont reçu une information spécifique.

Concrètement, voici ce que ça peut donner. Mardi matin, la responsable comptable d'une PME de 60 personnes reçoit un courriel « DGFiP ». Il cite une vraie demande qu'elle a faite en mai, avec sa date, son numéro et le service qui l'a traitée. Il l'invite à « confirmer son identité » sur une page de connexion. Tout est exact, sauf le lien. Et ce sont les identifiants de l'espace professionnel de l'entreprise qui partent.

• Deuxième exposition : le scénario se transpose chez vous. 

Une PME a elle aussi un accès distant, ce couloir privé qui relie un poste extérieur au réseau de l'entreprise, ainsi qu'une messagerie en ligne. Elle ouvre des comptes à des tiers : expert-comptable, éditeur de logiciel, prestataire informatique, intérimaire. Et elle a rarement un inventaire à jour de ces comptes. Un seul de ces identifiants dans de mauvaises mains, et le schéma DGFiP se rejoue à votre échelle.

3. Trois portes que l'attaque DGFiP a trouvées ouvertes

Selon le rapport DBIR de Verizon (2026), l'exploitation de vulnérabilités est à l'origine de 31 % des incidents analysés, contre 13 % pour l'utilisation abusive d'identifiants. L'identifiant n'est donc pas toujours la première porte. Mais une fois l'attaquant entré, c'est souvent lui qui sert à se déplacer et à atteindre les données. L'affaire DGPiP en est une parfaite illustration"

3.1 Les comptes de vos prestataires, la porte qu'on oublie

À la DGFiP, un tiers habilité faisait partie des comptes usurpés. Le cas n'a rien d'exceptionnel : selon le même rapport (Verizon DBIR, 2026), un tiers est impliqué dans 48 % des incidents analysés.

Dans votre entreprise, les questions qui devraient être posés : combien de comptes externes existent aujourd'hui, qui les a validés, et qui les ferme quand la mission s'arrête ? Le compte ouvert pour l'éditeur du logiciel de paie lors d'une migration il y a deux ans est peut-être toujours actif.

La vérification tient en quatre colonnes :

• la liste des comptes externes et leur propriétaire
• la date de dernière connexion
• la double authentification exigée ou non
• la date de fin prévue de l'accès.

Ces comptes de tiers doivent passer, comme ceux de vos salariés, par une double authentification. Pour la mettre en place sans bloquer le travail des équipes, voyez comment protéger vos accès critiques par une double authentification bien déployée.

3.2 Un compte qui ouvre trop de portes

À la DGFiP, un compte légitime a donné accès à des données concernant des centaines de milliers de personnes et d'entreprises. L'identifiant volé n'explique pas tout : C’est ce qu'il ouvrait qui a contribué à amplifier considérablement la fuite.

Chez vous : le compte d'accès distant d'un commercial ouvre-t-il aussi le serveur de paie ? Le compte du prestataire qui entretient les copieurs voit-il les dossiers de la direction ?

C'est tout le principe du cloisonnement : chaque badge n'ouvre que les pièces utiles à son porteur. Le commercial entre dans l'outil de suivi clients et le dossier partagé de son équipe, pas dans la comptabilité. Si son identifiant est volé, l'attaquant hérite de ce périmètre, pas de toute l'entreprise. La question à se poser : pour chaque compte, sauriez-vous dire ce qu'il ouvre, et pourquoi ?

4. Identifiant volé : les premières heures décident

Quand un identifiant de l'entreprise est compromis, l'ordre des gestes compte autant que leur vitesse.

• Réinitialiser le mot de passe et fermer les sessions ouvertes. Une session, c'est une porte restée ouverte : changer la serrure ne la referme pas. Un attaquant déjà connecté le reste tant que ses sessions ne sont pas coupées.
• Regarder ce que le compte a fait. Connexions (lieu, heure, appareil), règles de messagerie ajoutées, partages de fichiers créés, applications autorisées, droits ajoutés.
• Vérifier si le même mot de passe sert ailleurs, et le changer partout.
• Prévenir les personnes exposées. La banque et la comptabilité si le compte touche aux paiements, les clients et fournisseurs si la messagerie a servi à écrire en votre nom.
• Remplir vos obligations. Si des données personnelles sont touchées et présentent un risque pour les personnes, la violation doit être notifiée à la CNIL sous 72 heures (RGPD, article 33). Signalez aussi l'incident sur cybermalveillance.gouv.fr et portez plainte en cas de préjudice.
• Conserver les preuves : messages, adresses des sites, captures d'écran. C'est aussi une consigne donnée par la DGFiP.

L'affaire DGFiP rappelle que ces étapes vont par deux. Couper l'accès arrête l'attaque. Mesurer ce qui est sorti dit ce qu'elle a coûté. Sans cette seconde étape, vous ne savez ni qui prévenir, ni quoi déclarer, ni quelles données surveiller dans les semaines qui suivent.

5. Qui surveille l'usage de vos identifiants ?

Le 7 septembre 2026, l'ANSSI a présenté REACTIV, un dispositif qui mobilise ses équipes dès qu'un ministère fait face à une compromission de comptes ou à une fuite de données (ANSSI, 2026). L'idée : réduire le délai entre la prise en main d'un accès sensible et la réponse. Dans une PME, la question est exactement la même, avec beaucoup moins de moyens : entre le moment où un compte est volé et celui où quelqu'un s'en aperçoit, combien de temps s'est écoulé?

5.1 Quatre questions à poser à votre prestataire informatique

• Pouvez-vous lister tous les comptes externes qui accèdent à notre système, et les fermer dans l'heure ?
• Une connexion inhabituelle déclenche-t-elle une alerte lue par un humain ? En combien de temps est-elle analysée ?
• Un compte compromis ouvre-t-il tout le réseau, ou seulement ce dont son utilisateur a besoin ?
• En cas de doute, fermez-vous les sessions, ou changez-vous seulement le mot de passe ?

Si les réponses restent floues, vous savez par où commencer.

6. FAQ

Comment un pirate obtient-il les identifiants d'une entreprise ?

Le plus souvent par un faux message qui mène à une fausse page de connexion, par un logiciel qui aspire les mots de passe enregistrés sur un poste, ou en réutilisant un mot de passe déjà fuité ailleurs. Le compte d'un prestataire est une cible aussi intéressante que celui d'un salarié.

Mon entreprise est-elle concernée par le piratage de la DGFiP ?

Si c'est le cas, la DGFiP vous a informé directement, par courriel ou par courrier, à partir du 24 août 2026. Ce message ne contient aucun lien et ne demande aucune information. Il n'existe aucun site pour « vérifier » : tout site qui le propose est suspect.

Que faire si un identifiant de l'entreprise a été volé ?

Changez le mot de passe, fermez les sessions ouvertes, puis regardez ce que le compte a fait : connexions, règles de messagerie, fichiers consultés. Prévenez les personnes exposées et signalez l'incident, à la CNIL si des données personnelles sont en jeu.

Changer son mot de passe suffit-il après un piratage ?

Non. Une session déjà ouverte peut rester active, et l'attaquant a pu créer une règle de messagerie ou ajouter des droits. Si le même mot de passe sert ailleurs, ces comptes restent exposés.