Le 14 août 2026, le ministère de l'Économie a publié un communiqué qui n'a pas encore produit tous ses effets. Un acteur malveillant a revendiqué, les 12 et 13 août, des accès illégitimes au système d'information de la Direction générale des Finances publiques, intervenus en juin et juillet. Les investigations ont établi que 678 000 particuliers et professionnels sont concernés : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, et pour les entreprises, raison sociale et numéro SIREN. Des données cadastrales — adresses et surfaces de biens immobiliers — ont également été consultées.

Le communiqué contient aussi une phrase rassurante, et elle est exacte : « Les identifiants et les mots de passe des particuliers et des professionnels n'ont pas été compromis. » Le site impots.gouv.fr n'a pas été pénétré, les espaces Finances publiques non plus. Beaucoup de dirigeants en concluront qu'il n'y a rien à faire. C'est là que se joue le malentendu.

Car le risque créé par cette fuite n'est pas un risque d'intrusion. C'est un risque de crédibilité. Et il tombe pendant les trois semaines de l'année où les entreprises signent et paient le plus d'acomptes à des prestataires qu'elles ne connaissent pas encore : ceux du séminaire de rentrée. Voici pourquoi cet enchaînement de dates n'est pas une coïncidence pour un escroc, et ce qu'il faut vérifier avant de valider le prochain virement.

Ce que la DGFiP a annoncé, exactement, et ce qu'elle n'a pas annoncé

Reprenons les faits tels qu'ils figurent dans le communiqué de presse n° 953 du 14 août 2026. Les intrusions reposaient sur « des usurpations d'identifiants d'un agent de la DGFiP et d'un tiers habilité ». Dès leur détection, les accès des comptes concernés ont été interrompus — mais les contrôles menés à ce moment-là n'ont pas permis d'établir qu'il y avait eu vol de données, « en raison de la sophistication de l'attaque ». Ce n'est qu'après la revendication publique, à partir du 12 août, que les investigations approfondies ont révélé l'exfiltration.

Trois précisions comptent pour une entreprise. D'abord, les données volées ne donnent accès à rien : ni mot de passe, ni espace professionnel, ni possibilité de déposer une déclaration à votre place. Ensuite, la DGFiP indique qu'elle contactera individuellement chaque personne concernée, par courriel ou par courrier, en précisant les données susceptibles d'avoir été consultées. Enfin, les investigations se poursuivent « afin de déterminer précisément la nature et le volume de données extraites ainsi que le nombre d'usagers concernés » : le chiffre de 678 000 est un point d'étape, pas un solde de tout compte.

La CNIL, saisie de la violation, a publié le 18 août une position claire : elle est déjà saisie, il n'est pas nécessaire de lui adresser des plaintes individuelles, et elle recommande trois réflexes — surveiller toute activité suspecte liée à vos données fiscales, vérifier régulièrement vos comptes, et « rester vigilant face aux tentatives d'hameçonnage à partir des données collectées ». C'est cette troisième recommandation qui concerne directement l'organisateur d'événements. Le 17 août, une cellule interministérielle de crise a par ailleurs été réunie, et un audit de la sécurisation des systèmes de la DGFiP a été demandé, ses conclusions opérationnelles étant attendues en septembre.

« La plateforme des impôts victime d'une cyberattaque, des données sensibles dans la nature » — reprise de l'annonce du 14 août 2026 et de son périmètre (chaîne BFMTV).

Le vrai vecteur : une fraude qui existait déjà, et qui vient de gagner en crédibilité

La fraude aux faux ordres de virement — FOVI dans le jargon, « arnaque au président » dans les conversations — n'a pas attendu le mois d'août 2026. Elle est documentée depuis des années par Cybermalveillance.gouv.fr, dont la fiche réflexe a été mise à jour le 3 août 2026. Le principe : par persuasion, urgence ou pression, amener la victime à réaliser un virement non planifié vers un compte contrôlé par l'escroc. Trois variantes coexistent : le faux dirigeant qui exige un transfert « urgent et confidentiel », le faux fournisseur qui communique de nouvelles coordonnées bancaires, et le faux salarié qui demande le changement du compte où virer son salaire.

C'est la deuxième variante qui doit retenir l'attention d'un organisateur de séminaire. Et il existe une variante de la variante, décrite noir sur blanc par la DGCCRF dans sa fiche pratique sur les faux ordres de virement, et qui prend un relief particulier ce mois-ci : « le fraudeur usurpe l'identité d'une administration, la direction générale des finances publiques, en utilisant nom, sceaux et timbres de l'État (Marianne) et citant des articles législatifs pour prétexter un contrôle auprès d'une entreprise cible ». Sous ce couvert, il réclame des informations sur l'entreprise et sur ses clients ; puis il se fait passer pour l'entreprise auprès de ces clients et annonce un changement de compte bancaire.

Autrement dit : le scénario d'usurpation de la DGFiP est un classique répertorié, antérieur à la fuite. Ce que la fuite lui apporte n'est pas un accès — c'est un argument d'authenticité. Un correspondant qui cite votre revenu fiscal de référence, votre taux de prélèvement à la source ou la surface exacte de vos locaux ne ressemble plus à un escroc générique. Il ressemble à l'administration. Le fait que la DGFiP ait justement annoncé qu'elle contacterait individuellement les personnes concernées par courriel achève de brouiller la frontière : une vague de messages officiels légitimes est sur le point d'arriver, et elle offre un décor idéal aux messages qui ne le sont pas.

Un point d'honnêteté, parce qu'il change la manière de se protéger : pour une entreprise, la raison sociale et le SIREN ne sont pas des secrets — ce sont des données publiques, consultables gratuitement dans les répertoires officiels. La fuite n'a donc pas livré les clés de votre société. Ce qu'elle a livré, c'est un ensemble de données personnelles et patrimoniales attachées à des personnes physiques, dont des dirigeants et des salariés, et c'est de cette matière-là que se nourrit la crédibilité d'un appel frauduleux. Le danger ne vient pas de ce que l'escroc sait de l'entreprise, mais de ce qu'il sait de la personne à qui il parle.

Pourquoi l'acompte de séminaire est une cible presque parfaite

Une procédure anti-fraude fonctionne en repérant des anomalies : un montant inhabituel, un fournisseur nouveau, une urgence anormale, un interlocuteur inconnu, une demande qui tombe pendant les congés. Prenez maintenant un acompte de séminaire de rentrée et passez-le dans cette grille. Le montant est inhabituel — c'est souvent la plus grosse facture non salariale du trimestre. Le fournisseur est nouveau — on ne réserve pas le même domaine chaque année. L'urgence est réelle — l'option sur la salle expire, la date de septembre ne se rattrape pas. L'interlocuteur est peu connu — un commercial rencontré une fois en visioconférence. Et la demande arrive fin août, quand la comptabilité tourne à effectif réduit.

Chacun des signaux d'alerte d'une procédure anti-FOVI est, pour un acompte de séminaire, une caractéristique normale de l'opération. C'est là l'asymétrie que personne ne voit : le paiement le plus exposé de l'entreprise n'est pas celui qui sort du cadre, c'est celui dont l'anormalité est légitime. Un virement de trente mille euros vers un compte inconnu, dans l'urgence, en pleine période de congés, ne déclenchera aucune alarme s'il porte l'objet « acompte séminaire septembre » — parce que tout le monde sait qu'il devait partir.

S'ajoute une particularité d'organisation propre à l'événementiel. La chaîne de décision d'un séminaire est courte et transverse : un office manager, une assistante de direction ou un responsable communication choisit le lieu, négocie, signe le devis. Le service comptable, lui, n'a jamais parlé au prestataire ; il reçoit une demande de règlement et un RIB. Personne, dans cette chaîne, n'a de raison de connaître par cœur les coordonnées bancaires d'un domaine qu'on n'a jamais payé. La DGCCRF le rappelle d'ailleurs sans détour : ces arnaques « sont plus fréquentes dans les périodes de trouble ou les périodes de congés », en profitant de l'absence des responsables « comptes clients », « comptabilité » et « sécurité informatique » les plus aguerris.

Signal d'alerte d'une procédure anti-fraudeCe qu'il signifie normalementCe qu'il vaut sur un acompte de séminaireLe contrôle qui reste efficace
Montant inhabituelSortie de trésorerie hors routineAttendu : souvent la plus grosse facture non salariale du trimestreRapprocher le montant du devis signé, ligne à ligne
Fournisseur inconnu du référentielCompte tiers jamais utiliséAttendu : on change de lieu d'une année sur l'autreCréer la fiche fournisseur avant la facture, pas au moment de payer
Urgence invoquéePression destinée à court-circuiter le contrôleAttendue : l'option sur la salle a une date d'expiration réelleL'urgence ne dispense jamais du rappel sortant (voir plus bas)
Demande pendant les congésAbsence des valideurs habituelsAttendue : le séminaire de septembre se paie fin aoûtNommer un suppléant de validation avant le départ en congés
Changement de coordonnées bancairesSignal de fraude le plus fortJamais normal — c'est le seul signal qui reste discriminantVérification systématique par un canal indépendant, sans exception

Lecture : sur un acompte de séminaire, quatre des cinq signaux d'alerte classiques perdent leur valeur d'indice parce qu'ils correspondent au déroulement normal de l'opération. Le cinquième — le changement de RIB — concentre donc l'essentiel du contrôle. Grille de préparation établie à partir des recommandations de Cybermalveillance.gouv.fr, de la DGCCRF et de la Gendarmerie nationale ; elle ne se substitue pas aux procédures internes de votre direction financière.

Le seul contrôle qui tient : le rappel sortant sur un numéro que vous avez trouvé vous-même

Les trois sources publiques convergent sur un point, et il est plus étroit qu'on ne le croit. Cybermalveillance recommande « une procédure de vérification et de validation hiérarchique interne non dérogeable » des demandes de virement imprévues ou des changements de coordonnées bancaires. La Gendarmerie nationale insiste sur le même mot : la procédure doit être « obligatoirement » assortie d'une validation hiérarchique interne « non dérogeable ». La DGCCRF conseille de vérifier l'identité de l'interlocuteur « via des sources fiables ».

Le mot décisif est non dérogeable. Une procédure qui admet une exception « quand c'est vraiment urgent » ne protège de rien, puisque l'urgence est précisément le levier de la fraude. Concrètement, cela se traduit par une règle unique et facile à retenir : tout changement de RIB, ou tout premier règlement à un nouveau prestataire, se confirme par un appel sortant vers un numéro que vous êtes allé chercher vous-même — sur le contrat signé, sur le site officiel du lieu, dans l'annuaire d'entreprises — et jamais vers le numéro figurant dans le courriel qui vous demande de payer.

Rappeler le numéro fourni par le message ne vérifie rien : il appartient à l'escroc. Répondre au courriel non plus, pour la même raison. Et un accusé de réception du prestataire n'est une preuve que si sa messagerie n'a pas été piratée — hypothèse que Cybermalveillance mentionne explicitement, la fraude faisant parfois suite « au piratage et à l'utilisation de la messagerie de la personne ou entité usurpée ». Le rappel sortant, vers un numéro obtenu par un canal indépendant, est le seul contrôle qui ne suppose pas de faire confiance au canal attaqué.

Deux garde-fous s'y ajoutent, peu coûteux. Limitez la publication d'informations permettant d'identifier les personnes habilitées à effectuer des virements ou à modifier des coordonnées bancaires : un trombinoscope trop précis ou une signature de courriel trop bavarde sont des cadeaux. Et méfiez-vous d'un signal que la Gendarmerie associe à ces escroqueries : les appels passés « le plus souvent en soirée, pendant les vacances ou au milieu d'un pont, quand l'équipe comptabilité est réduite ».

Ce qui change au 1er septembre — et ce qui ne change pas

Une nuance de calendrier mérite d'être posée, parce qu'elle sera source de confusion. Le 1er septembre 2026, l'obligation de réception des factures électroniques entre en vigueur, et vos premières factures de séminaire concernées arriveront par une plateforme agréée plutôt que par la messagerie du chef de projet. On pourrait croire que cela règle mécaniquement le problème du faux fournisseur.

Ce serait aller trop vite. La facture qui transite par une plateforme agréée est effectivement mieux tracée qu'un PDF en pièce jointe, et c'est un progrès réel. Mais deux angles morts subsistent pendant toute la rentrée. D'une part, l'obligation d'émission ne pèse en 2026 que sur les grandes entreprises et les ETI : la majorité des lieux de séminaire, traiteurs et agences sont des PME ou des TPE, qui continueront d'émettre des PDF classiques jusqu'en 2027. D'autre part, la fraude qui nous occupe ne passe pas nécessairement par la facture : elle passe par un courriel ou un appel annonçant un changement de coordonnées bancaires, en amont ou en marge du circuit de facturation.

Autrement dit, la réforme sécurise le tuyau par lequel arrive le document, pas la conversation par laquelle on vous convainc de payer ailleurs. La règle du rappel sortant reste entière après le 1er septembre. Et si vous ne devez retenir qu'un réflexe de la période, c'est celui-ci : une facture correctement acheminée ne vaut pas validation d'un RIB modifié.

Si le virement est déjà parti

La chronologie est la variable décisive, et elle se compte en heures. Cybermalveillance et la Gendarmerie donnent la même séquence. Identifiez immédiatement l'ensemble des virements exécutés, en instance ou à venir vers les coordonnées frauduleuses, informez la hiérarchie et le service comptable, et faites bloquer ce RIB dans les applications métier. Alertez la banque sans délai pour demander le retour des fonds : la Gendarmerie le formule sans ambiguïté, « chaque seconde passée diminue drastiquement les chances de récupérer votre argent ». Si le virement n'est pas encore exécuté, faites-le suspendre.

Conservez ensuite toutes les preuves — numéros de téléphone, courriels, ordres de virement, factures — puis déposez plainte au commissariat, à la brigade de gendarmerie ou par écrit auprès du procureur de la République. Le dépôt de plainte n'est pas une formalité tardive : il conditionne largement vos chances d'obtenir satisfaction auprès de la banque. Enfin, si la fraude a pu être permise par le piratage d'une messagerie, changez le mot de passe concerné et activez l'authentification à deux facteurs.

Sur le plan pénal, les qualifications sont lourdes : l'escroquerie est punie de cinq ans d'emprisonnement et 375 000 euros d'amende, l'usurpation d'identité d'un an et 15 000 euros, l'accès frauduleux à un système de traitement automatisé de données de trois ans et 100 000 euros. La tentative est punie des mêmes peines. Cela ne ramène pas les fonds, mais cela rappelle que le dossier a une valeur judiciaire réelle — raison de plus pour le constituer proprement dès la première heure.

Six décisions à prendre avant de payer le prochain acompte

  1. Écrire la règle du rappel sortant et la rendre non dérogeable. Tout changement de RIB et tout premier règlement à un nouveau prestataire se confirment par un appel vers un numéro trouvé sur le contrat ou le site officiel — jamais celui du courriel. Aucune exception pour urgence.
  2. Nommer un suppléant de validation avant les départs en congés. La fraude vise la semaine où le valideur habituel est absent ; l'organigramme de secours doit exister avant, pas pendant.
  3. Créer la fiche fournisseur au moment du devis, pas au moment de la facture. Le RIB collecté avec le contrat signé, en amont de toute pression de paiement, devient la référence contre laquelle comparer.
  4. Prévenir explicitement l'équipe de la vague de courriels DGFiP à venir. L'administration a annoncé des messages individuels ; le dire à l'avance évite qu'un faux message profite du vrai.
  5. Vérifier que le contrat prévoit le sort de l'acompte en cas d'incident. Les clauses d'acompte et d'annulation sont à relire maintenant, pendant que la date de septembre est encore négociable.
  6. Traiter le sujet comme un point d'ordre du jour, pas comme une note de service. Cinq minutes en réunion d'équipe valent mieux qu'une procédure que personne n'ouvrira.

Aucune de ces décisions ne coûte d'argent et aucune ne retarde un projet de plus de vingt-quatre heures. C'est le rapport coût-bénéfice le plus favorable de toute la préparation d'un séminaire — à comparer au budget par participant qu'un acompte perdu viendrait amputer, sans compter la salle qui, elle, ne serait toujours pas réservée.

Un dernier mot de prudence, à sa place. Cet article décrit un contexte et des recommandations publiques ; il ne remplace ni la procédure de votre direction financière, ni l'avis de votre banque, ni celui d'un professionnel de la sécurité informatique. Si vous avez un doute sur un message se présentant comme émanant de la DGFiP, la voie sûre passe par vos interlocuteurs habituels et par les canaux officiels, jamais par les coordonnées figurant dans le message lui-même.

Questions fréquentes

Mon entreprise est-elle concernée par la fuite de données de la DGFiP ?

La DGFiP a annoncé qu'elle prendrait directement contact avec chacun des particuliers et professionnels concernés, par courriel ou par courrier, en précisant les données susceptibles d'avoir été consultées ou extraites. Vous n'avez donc pas de démarche à engager pour le savoir. Attention toutefois : cette vague d'informations officielles est aussi une occasion pour les escrocs. Un message vous annonçant que vous êtes concerné et vous demandant de cliquer, de payer ou de communiquer des coordonnées bancaires doit être traité comme suspect, quel que soit son habillage.

Faut-il changer les mots de passe de l'espace professionnel impots.gouv.fr ?

Selon le communiqué du 14 août 2026, les identifiants et les mots de passe des particuliers et des professionnels n'ont pas été compromis, et les espaces Finances publiques n'ont pas été pénétrés. Un changement de mot de passe n'est donc pas rendu nécessaire par cet incident précis. Cela reste une bonne pratique en soi, tout comme l'activation de l'authentification à deux facteurs sur les messageries professionnelles — lesquelles, elles, sont le véritable point d'entrée des fraudes au virement.

Un prestataire de séminaire me demande de virer l'acompte sur un nouveau compte : que faire ?

Ne pas payer avant vérification, même si la date d'option sur la salle expire. Appelez le prestataire sur un numéro que vous êtes allé chercher vous-même, sur le contrat signé ou sur son site officiel, et jamais sur celui indiqué dans le message. Un changement de coordonnées bancaires est le signal de fraude le plus fort, et c'est le seul qui reste vraiment discriminant sur ce type de paiement. Un prestataire sérieux comprendra parfaitement la démarche : elle le protège aussi.

La facturation électronique obligatoire au 1er septembre 2026 règle-t-elle le problème ?

Elle l'améliore sans le résoudre. La facture qui arrive par une plateforme agréée est mieux tracée qu'un PDF en pièce jointe. Mais en 2026, seules les grandes entreprises et les ETI sont tenues d'émettre au format électronique : la plupart des lieux, traiteurs et agences événementielles, qui sont des PME ou des TPE, continueront d'envoyer des PDF jusqu'en 2027. Surtout, la fraude au changement de RIB se joue dans un courriel ou un appel, en marge du circuit de facturation. Une facture bien acheminée ne vaut pas validation d'un RIB modifié.

Faut-il porter plainte auprès de la CNIL à la suite de cette fuite ?

La CNIL a indiqué le 18 août 2026 avoir été notifiée de ces violations et être déjà saisie : il n'est pas nécessaire de lui adresser une plainte individuelle à ce sujet, sauf si vous disposez d'éléments spécifiques ou utiles aux investigations en cours. En revanche, si votre entreprise est victime d'un virement frauduleux, la démarche est différente et urgente : alerte immédiate à la banque pour demander le retour des fonds, conservation des preuves et dépôt de plainte au commissariat, à la brigade de gendarmerie ou auprès du procureur de la République.

Sources

Pour aller plus loin