Piratage de la DGFiP et facturation électronique : vos données sont-elles en danger ?

Ce que les sources officielles établissent

Le 14 août 2026, le ministère de l'Économie a confirmé des accès illégitimes au système d'information de la DGFiP, intervenus en juin et juillet 2026, reposant sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. Le communiqué chiffre à 678 000 le nombre de particuliers et professionnels dont des données ont pu être consultées ou extraites.

La foire aux questions publiée par la DGFiP le 17 août précise la nature des données : identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation de famille, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source. Pour les entreprises, la raison sociale et le SIREN. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées. La liste des messages échangés avec la DGFiP via la messagerie d'impots.gouv.fr fait partie des données concernées, et pour moins de 250 contribuables, le contenu de ces messages lui-même.

Deux points de la FAQ méritent d'être lus attentivement, parce qu'ils désamorcent la moitié des inquiétudes que nous voyons circuler.

D'abord : les espaces Finances publiques des particuliers et des professionnels n'ont pas été compromis, et le mot de passe permettant d'y accéder ne fait pas partie des données dérobées. La DGFiP écrit noir sur blanc qu'il n'est pas nécessaire de le modifier.

Ensuite : les accès frauduleux ont été détectés et fermés dès juin et juillet, mais le vol de données lui-même, réalisé par contournement des circuits habituels, n'a été établi qu'à partir du 12 août. C'est ce décalage, et non une négligence de plusieurs semaines, qui explique le calendrier d'information. La DGFiP indique avoir saisi la CNIL et déposé plainte dès qu'elle en a eu connaissance.

De son côté, la CNIL a publié le 18 août 2026 une note indiquant qu'elle a été notifiée des violations de données et que ses vérifications sont en cours. Elle précise qu'il n'est plus nécessaire de lui adresser des plaintes individuelles sur ce sujet, sauf à disposer d'informations utiles à ses investigations.

Le 17 août 2026, Matignon a annoncé que le Premier ministre demandait à l'Agence nationale de la sécurité des systèmes d'information (ANSSI) de conduire un audit approfondi pour établir précisément les circonstances et les causes de l'incident, en complément de l'enquête judiciaire ouverte par le parquet de Paris. Cet audit a été demandé le 17 août ; aucune source publique n'en indique l'état d'avancement. Ni sa portée exacte ni son calendrier de conclusions ne sont encore connus, et aucune source officielle n'annonce à ce stade de conséquence sur le calendrier de la facturation électronique : le maintien ou non de l'échéance du 1er septembre reste une décision du Gouvernement, qui n'a pas été rendue.

La facturation électronique a-t-elle été piratée ?

À ce jour, aucun élément public ne permet de l'affirmer.

Ni le communiqué de Bercy, ni la FAQ de la DGFiP, ni la note de la CNIL ne désignent une plateforme agréée, l'annuaire de la facturation électronique ou le portail public de facturation comme ayant été compromis. Les périmètres décrits sont ceux d'applications internes de la DGFiP consultées via des comptes usurpés.

Cette distinction est réelle et il serait malhonnête de la gommer. Mais elle a une limite qu'il faut poser aussi franchement : l'absence de lien public établi n'est pas une démonstration d'invulnérabilité. Aucun système d'information ne peut être présenté sérieusement comme exempt de risque, et la réforme ne fait pas exception.

Ce que l'incident démontre, en revanche, vaut pour tout le monde : il a suffi de compromettre des identifiants légitimes. Pas de casser un chiffrement, pas d'exploiter une faille exotique. C'est exactement le type de risque contre lequel se protègent les contrôles d'accès, la révocation des comptes inactifs et l'authentification renforcée. Gardez cette idée en tête pour la section « ce que vous pouvez vérifier ».

Non, toutes vos factures ne seront pas centralisées à la DGFiP

C'est la confusion la plus répandue sur la réforme, et l'actualité lui donne un regain d'énergie : si tout remontait dans un seul système, un incident sur ce système inquiéterait légitimement tout le monde d'un coup. Ce n'est pas comme ça que la réforme est construite.

L'architecture de la facturation électronique est décentralisée. Ce n'est pas un détail technique parmi d'autres : c'est ce qui fait qu'un incident sur le système d'information de la DGFiP ne se propage pas mécaniquement à l'ensemble de la réforme. Chaque plateforme agréée porte ses propres exigences de sécurité et de conformité, et toutes les données ne suivent pas nécessairement le même circuit. Envoyer les données financières de son entreprise à « une DGFiP en cyberdifficulté », pour reprendre l'inquiétude que nous voyons circuler, ce n'est tout simplement pas ce qui se passe.

Pour les échanges entre entreprises françaises, la facture électronique complète circule entre la plateforme agréée de l'émetteur et celle du destinataire. Un annuaire central, prévu par l'article 289 bis du code général des impôts, sert à savoir vers quelle plateforme adresser la facture. Il porte des informations d'adressage, pas le contenu de vos factures.

L'administration reçoit par ailleurs les données réglementaires nécessaires à ses missions fiscales : selon la nature de l'opération, des données extraites des factures, des données de transaction et de paiement.

Il y a donc quatre choses différentes, et les confondre est la source de la plupart des malentendus :

1. 1le document commercial complet, échangé entre entreprises via leurs plateformes agréées ;
2. 2les informations d'adressage, conservées dans l'annuaire central ;
3. 3les données réglementaires, transmises à l'administration fiscale ;
4. 4les données et documents conservés par vous, votre logiciel et votre plateforme.

La réforme ne crée pas une base publique unique où seraient déposées toutes les factures françaises. Elle crée en revanche un écosystème interconnecté, avec des opérateurs privés et des composants publics, et cette interconnexion impose des exigences de sécurité à chaque maillon.

Si le partage des rôles entre portail public et plateformes agréées reste flou, notre article PPF ou plateforme agréée le détaille sans jargon. Et si votre entreprise n'a pas encore désigné de plateforme, sachez que l'inscription à l'annuaire n'est pas automatique : nous l'expliquons dans l'annuaire de la facturation électronique et le mandat à l'expert-comptable.

Ce que la réglementation impose déjà aux plateformes agréées

Une plateforme ne s'autoproclame pas « agréée ». L'immatriculation est instruite par l'administration, accordée pour trois ans renouvelables, et elle suppose de déposer un dossier dont la composition est fixée par le décret et l'arrêté du 7 octobre 2022. Parmi ces pièces, une n'est pas facultative : la certification ISO/IEC 27001, le standard de référence en matière de sécurité de l'information, est un critère d'immatriculation à part entière, pas une option que certaines plateformes ajouteraient en plus.

Parmi les pièces exigées, telles que les publie impots.gouv.fr :

Ce sont de vrais garde-fous, et ils sont plus exigeants que ce que beaucoup d'entreprises imaginent. Mais il faut lire ce qu'ils disent exactement : une certification atteste qu'un système de management de la sécurité, des contrôles et un suivi existent, dans un périmètre donné, à une date donnée. Elle ne dit pas qu'un incident est impossible. Personne ne peut le dire.

Ce que vous pouvez vérifier cette semaine

Une TPE n'a pas à conduire un audit de cybersécurité. Elle doit en revanche savoir où arrivent ses factures et qui peut les lire. C'est un travail d'une heure, pas d'un trimestre.

Première étape : vérifiez que votre plateforme figure bien sur la liste officielle. Pas le logo sur une plaquette, pas la promesse d'un agrément à venir. La liste publiée par la DGFiP fait foi. Nous la republions et la tenons à jour sur notre annuaire des plateformes agréées, et notre vérificateur vous répond en tapant simplement un nom.

Deuxième étape : sachez si vous êtes concerné, et à partir de quand. L'obligation de pouvoir recevoir des factures électroniques via une plateforme agréée s'applique à compter du 1er septembre 2026. Notre outil suis-je concerné tranche votre cas en quelques questions.

Troisième étape : posez les bonnes questions. Celles qui portent sur les accès et la réversibilité, pas sur les fonctionnalités.

Une réponse du type « ne vous inquiétez pas, tout est conforme » n'est pas une réponse. Nous détaillons ces points dans les 10 questions à poser avant de choisir sa plateforme agréée, et notre checklist de préparation remet le tout dans l'ordre chronologique.

Faut-il reporter la réforme ?

Ce n'est ni notre rôle ni notre compétence de trancher un calendrier fixé par la loi, et nous n'allons pas nous en donner l'air. Pas plus que nous n'allons préempter les conclusions de l'audit ANSSI demandé par le Premier ministre.

Ce qu'on peut dire honnêtement tient en deux lignes, et elles ne se valent pas l'une l'autre. Les éléments publics disponibles au 19 août 2026 ne démontrent pas que l'infrastructure de la facturation électronique ait été compromise. Et les incidents constatés à la DGFiP justifient pleinement une exigence de transparence accrue, de la part de l'administration comme des plateformes. Même prudence dans l'autre sens : nous n'écrirons pas non plus que « tout est sécurisé » ou qu'il n'y a « aucun risque pour le 1er septembre ». Personne ne peut l'affirmer honnêtement à ce stade, nous pas plus qu'un autre.

Le vrai enseignement est plus inconfortable que « tout va bien » et plus utile que « tout est piraté » : une obligation réglementaire et un agrément administratif ne dispensent jamais de vérifier la sécurité opérationnelle des outils qu'on choisit. L'incident de la DGFiP est parti d'identifiants usurpés. Vos identifiants à vous, et ceux de vos collaborateurs, sont dans le périmètre de cette leçon.

Vous avez reçu un message de la DGFiP ?

La DGFiP a commencé à informer individuellement les personnes concernées à partir du lundi 17 août 2026, par courriel ou, à défaut d'adresse électronique connue, par courrier.

Un détail de la FAQ officielle vaut tous les conseils du monde, parce qu'il vous donne un critère de tri immédiat :

Autrement dit : tout message qui vous propose un lien pour « vérifier votre situation » n'est pas la DGFiP. Connectez-vous vous-même sur impots.gouv.fr, jamais depuis un lien reçu.

Le risque principal identifié par la DGFiP n'est pas la vidange de votre compte bancaire, c'est l'escroquerie par manipulation : de vraies informations fiscales rendent un faux conseiller bancaire ou une fausse relance beaucoup plus crédibles. Ne communiquez jamais de codes, mots de passe ou coordonnées bancaires en réponse à une sollicitation, conservez les preuves, et signalez toute tentative sur cybermalveillance.gouv.fr.

Ce réflexe vaut aussi pour les courriers papier : nous avons documenté une vague de faux courriers de mise en conformité à la facturation électronique qui exploitait déjà l'inquiétude autour de la réforme. Les deux sujets vont se croiser dans les prochaines semaines, c'est prévisible.

Ce qui reste vrai, quelle que soit la suite

Il faut séparer deux terrains, et ne pas les confondre.

Sur le fonctionnement décentralisé de la réforme, le rôle des plateformes agréées, leurs obligations de certification et les circuits de données, nous pouvons vous répondre directement : c'est le terrain que nous connaissons, celui que cet article détaille. Sur la sécurité des infrastructures de l'État et sur une éventuelle décision de calendrier, en revanche, la compétence est celle de la DGFiP, de l'ANSSI et, in fine, du Gouvernement. Nous ne préemptons ni les conclusions d'un audit dont l'état d'avancement n'est pas rendu public, ni une décision qui ne nous appartient pas.

Ce que nous pouvons dire aujourd'hui, sans anticiper sur rien : les plateformes agréées sont prêtes sur leurs périmètres respectifs et continuent d'accompagner leurs clients dans cette réforme. Les experts-comptables sont sensibilisés à ces sujets, et ils restent les mieux placés pour rassurer les dirigeants et les accompagner dans le choix de leur plateforme, que l'échéance du 1er septembre soit maintenue ou non. Sur la sécurité des infrastructures de l'État, nous suivons activement les évaluations et les décisions des autorités compétentes, l'ANSSI en tête, et nous mettrons cet article à jour en fonction de ce qu'elles établiront.

Si personne ne peut vous expliquer clairement où arriveront vos factures, qui pourra les consulter et comment vous récupérerez vos données en cas de problème, votre préparation n'est pas terminée. Ces questions ne s'improvisent pas seul devant un formulaire d'inscription : c'est typiquement ce sur quoi un expert-comptable doit pouvoir vous répondre en dix minutes.

Questions fréquentes