Deux courriels signés DGFiP peuvent arriver le même matin dans la même boîte professionnelle. L’un est authentique et rappelle l’échéance du 1er septembre 2026. L’autre est monté par un escroc qui connaît votre revenu fiscal de référence depuis la fuite confirmée le 14 août 2026. Aucun réflexe unique ne fonctionne plus : tout supprimer coûte l’échéance, tout croire coûte le reste.
Cette confusion est le risque principal de la période. À neuf jours de l’obligation de réception, des dizaines de milliers d’entreprises bouclent leur mise en conformité dans l’urgence. Or l’urgence est précisément le terrain de jeu du hameçonnage. Un faux message n’a plus besoin d’être parfait, il lui suffit de tomber au bon moment.
La ligne de partage reste pourtant simple. La campagne officielle ne demande rien : ni pièce jointe à ouvrir, ni identifiant à saisir, ni paiement à effectuer. Tout message qui réclame l’un des trois est faux, quelle que soit la qualité de sa mise en page.
Le courriel de la DGFiP sur la facturation électronique ne contient aucune pièce jointe, aucune demande d’identifiant et aucune demande de paiement. La partie située à droite de l’arobase doit être exactement dgfip.finances.gouv.fr. Toute autre écriture signale un message frauduleux.
Le diagnostic vous sort trois plateformes classées, sans démarchage.
Le courriel officiel existe, et il ne demande rien
La DGFiP écrit réellement aux entreprises au sujet de la facturation électronique. Elle le fait par vagues depuis avril 2026, et les relances se sont poursuivies tout l’été. Supprimer ce message par méfiance ne fait donc disparaître ni l’échéance ni l’obligation. Reconnaître le vrai reste le préalable pour repérer le faux.
L’objet, l’expéditeur et la règle de l’arobase
Le message de la campagne porte un objet reconnaissable : « FACTURATION ÉLECTRONIQUE : Désignation d’une plateforme de réception de factures électroniques ». Il renvoie vers impots.gouv.fr, rappelle les trois voies possibles et donne le numéro d’assistance. Il ne contient aucun lien direct vers votre espace fiscal. Le second courriel officiel de l’été, lié au piratage, porte l’objet « Consultation illégitime de vos informations fiscales » et suit la même logique.
Le nom affiché de l’expéditeur ne prouve rien, car il se falsifie en une ligne de configuration. Seul le domaine compte, et il se lit de droite à gauche. Ainsi, une adresse terminant par dgfip.finances.gouv.fr.verification-fiscale.com appartient au domaine verification-fiscale.com, pas à l’administration. Le préfixe est purement décoratif.
Pourquoi il arrive parfois plusieurs fois
Les envois ciblent les SIREN qui n’ont pas encore de point de réception déclaré dans l’annuaire central. Sur près de dix millions d’entreprises assujetties à la TVA, environ deux millions avaient déclaré une plateforme début août 2026. L’écart explique le volume des relances. Recevoir le message deux fois ne signifie donc ni signalement particulier, ni faute constatée.
Certaines entreprises le reçoivent même après avoir désigné leur plateforme, le temps que l’annuaire se mette à jour. Par ailleurs, un détail a changé depuis août. Un message très personnalisé n’est plus une preuve d’authenticité : les escrocs disposent désormais de données fiscales réelles pour habiller leurs envois.
Le courriel officiel demande lui-même de contrôler l’expéditeur. La DGFiP y précise que la partie située à droite de l’arobase doit être égale à @dgfip.finances.gouv.fr, faute de quoi il s’agit d’un message frauduleux.
Les signaux qui trahissent un faux
Les campagnes frauduleuses reprennent les codes graphiques de l’administration avec un soin croissant. Le logo, la typographie et la signature ne constituent donc plus des indices exploitables. En revanche, deux éléments résistent mal à l’imitation : l’adresse technique de l’expéditeur et la nature de la demande.
Le domaine, seul repère difficile à truquer
Les variantes observées jouent sur trois ficelles. D’abord le remplacement des points par des tirets, comme dans dgfip-finances-gouv.info. Ensuite l’extension, avec des .com ou des .info à la place du .gouv.fr. Enfin le sous-domaine, qui place le nom officiel à gauche d’un domaine privé. Un seul caractère suffit à faire basculer l’adresse.
Avant de cliquer, survolez le lien sans appuyer : la destination réelle s’affiche en bas du navigateur. Si vous avez déjà cliqué, comparez l’adresse affichée dans la barre avec impots.gouv.fr. Une correspondance approximative vaut absence de correspondance. Dans ce cas, fermez l’onglet sans rien saisir.
L’urgence, le paiement et l’amende immédiate
La DGFiP ne réclame jamais de numéro de carte bancaire, d’identifiants ou de règlement par courriel ou par téléphone. Un délai de quarante-huit ou soixante-douze heures assorti d’une menace de saisie relève systématiquement de l’escroquerie. Le procédé est ancien et documenté par Cybermalveillance depuis 2023 sur le thème de la fraude fiscale.
Un signal reste largement ignoré. L’amende pour absence de plateforme de réception ne tombe jamais du jour au lendemain. L’article 1737 IV bis du code général des impôts impose d’abord une mise en demeure assortie d’un délai de trois mois. Ensuite seulement viennent 500 €, puis une seconde mise en demeure, puis 1 000 € par trimestre. Autrement dit, un courriel qui annonce une pénalité immédiate décrit une procédure qui n’existe pas.
Le réflexe inverse coûte cher aussi. Beaucoup d’entreprises ont classé la campagne officielle en spam et considèrent le sujet réglé. Or l’obligation de réception s’applique au 1er septembre 2026 sans seuil de chiffre d’affaires, franchise en base comprise.
Les arnaques qui n’imitent pas la DGFiP
Les faux courriels administratifs ne sont que la couche visible. Les escroqueries les plus coûteuses de cette période empruntent d’autres visages : celui d’un prestataire, d’un agent au téléphone ou d’un fournisseur habituel. Toutes exploitent le même angle mort, la bascule technique de septembre.
La fausse plateforme agréée et les frais fantômes
Des opérateurs se présentent comme agréés sans figurer sur les listes officielles. Or l’immatriculation se contrôle en une minute : la DGFiP publie deux fichiers sur impots.gouv.fr, et 149 plateformes y étaient immatriculées définitivement au 22 septembre 2026. Un badge affiché sur le site d’un éditeur ne remplace pas cette source. Prenez donc l’habitude de vérifier qu’une plateforme est bien immatriculée avant tout engagement.
Le second montage réclame de l’argent à l’administration. Des courriers papier et des appels annoncent des « frais d’inscription à l’annuaire » ou des « frais de dossier obligatoires ». Aucune somme n’est due à la DGFiP pour désigner une plateforme de réception. La démarche passe par l’opérateur choisi, qui déclare lui-même votre SIREN.
Le faux agent et la fraude au faux IBAN
La DGFiP a alerté dès fin 2025 sur un scénario en forte croissance. Des interlocuteurs se présentent comme agents publics et prétextent un incident sur Chorus Pro. Leur objectif consiste à récupérer de véritables factures, qu’ils rééditent ensuite avec un RIB frauduleux. La pièce falsifiée passe alors pour un document déjà connu du client.
La réforme ne neutralise pas ce risque. Le canal officiel authentifie l’émetteur immatriculé, pas le contrôle légitime du compte qui a servi à émettre. Une facture arrivée par une plateforme agréée paraît donc plus crédible qu’un PDF, et c’est exactement cette confiance que la fraude vise. Toute modification de coordonnées bancaires se confirme par téléphone, sur un numéro déjà connu.
Structurer une donnée n’équivaut pas à la vérifier. Les formats Factur-X, UBL et CII garantissent la lisibilité automatique d’une facture, jamais l’exactitude du RIB qu’elle porte. Le contrôle interne reste indispensable après septembre.
Vérifier, signaler, réparer
Un message suspect ne se traite jamais en répondant à ce message. Cette règle unique couvre la quasi-totalité des cas, y compris les appels téléphoniques et les SMS. Elle vaut aussi pour les courriels authentiques, ce qui évite d’avoir à trancher dans l’urgence.
Sortir du canal pour vérifier
Tapez impots.gouv.fr à la main dans votre navigateur, puis connectez-vous à votre espace professionnel. Si une démarche vous attend réellement, elle y figure. Pour la facturation électronique, l’assistance répond au 0 806 807 807 du lundi au vendredi, de 8h30 à 18h. Ce numéro sert à appeler l’administration, jamais l’inverse.
Un piège récent mérite attention. Aucun outil public ne permet de savoir si vos données figurent parmi celles extraites en juin et juillet 2026. La DGFiP notifie individuellement les personnes concernées. Par conséquent, tout formulaire qui réclame un numéro fiscal pour « vérifier votre situation » constitue une escroquerie de seconde vague.
Signaler, et les gestes si vous avez cliqué
Les courriels frauduleux se signalent à Signal Spam, les sites d’hameçonnage à Phishing Initiative, les SMS au 33 700. Pour la tentative d’escroquerie elle-même, la plateforme PHAROS accepte les signalements sur internet-signalement.gouv.fr. Ces déclarations alimentent le blocage des domaines d’envoi, même lorsque l’auteur reste hors d’atteinte.
Si des coordonnées bancaires sont parties, faites opposition immédiatement, signalez sur Perceval et déposez plainte. L’escroquerie relève de l’article 313-1 du code pénal, soit cinq ans d’emprisonnement et 375 000 euros d’amende. Enfin, prévenez vos clients, vos fournisseurs et votre banque si l’identité de l’entreprise a pu être usurpée.
Se mettre en règle sans passer par un démarcheur
La meilleure protection contre le démarchage agressif reste d’avoir déjà traité le sujet. Une entreprise en règle n’a plus rien à craindre d’un appel qui agite une amende. Le courriel officiel indique lui-même les trois chemins possibles.
Les trois voies légitimes
La première passe par votre expert-comptable ou votre organisme de gestion, qui désigne la plateforme pour vous. La deuxième passe par votre éditeur de logiciel actuel, à condition qu’il soit raccordé : c’est l’objet du guide sur migrer depuis son logiciel actuel. La troisième consiste à souscrire directement auprès d’une plateforme agréée.
Sans outil du tout, la question se pose autrement, et notre page peut-on encore facturer avec Excel ou Word ? détaille ce qui reste possible. Dans tous les cas, la déclaration à l’annuaire relève de l’opérateur retenu, pas de vous.
Ce que personne ne peut vous facturer
L’inscription à l’annuaire central ne se vend pas. Elle fait partie du service de la plateforme, y compris sur les offres gratuites. Méfiez-vous donc des prestations présentées comme obligatoires et facturées à part, notamment les « mises en conformité d’annuaire » et les audits express vendus au téléphone.
Même vigilance sur les offres payantes de reprise d’archives, souvent présentées comme une exigence de la réforme. Aucun texte n’impose de convertir vos anciennes factures, comme l’explique notre page que faire de son historique de factures papier. Le stock papier suit ses propres règles de conservation.
- impots.gouv.fr, liste officielle des plateformes agréées et rubrique facturation électronique
- Ministère de l’Action et des Comptes publics, communiqué n° 953 du 14 août 2026
- Article 1737 IV bis du code général des impôts, issu de l’article 123 de la loi de finances pour 2026
- Cybermalveillance.gouv.fr, fiche réflexe hameçonnage et alerte usurpation des impôts
- Article 313-1 du code pénal
Le calendrier joue contre la vigilance : plus l’échéance approche, plus les messages d’urgence trouvent une oreille disponible. Traiter le sujet cette semaine retire donc aux escrocs leur meilleur argument.
- Le courriel officiel ne demande ni identifiant, ni paiement, ni ouverture de pièce jointe.
- La partie à droite de l’arobase doit être exactement dgfip.finances.gouv.fr, lue de droite à gauche.
- Aucune amende ne tombe sans mise en demeure préalable de trois mois.
- Aucun frais n’est dû à l’administration pour désigner une plateforme de réception.
- Les listes publiées sur impots.gouv.fr sont les seules qui font foi.
- Depuis août 2026, un message très personnalisé n’est plus une preuve d’authenticité.
Trois questions suffisent pour identifier la plateforme adaptée à votre structure.
Questions fréquentes
J’ai supprimé le mail de la DGFiP, dois-je m’inquiéter ?
Non. Le courriel de la campagne facturation électronique est informatif et n’appelle aucune démarche depuis le message lui-même. Le supprimer ne modifie ni votre situation dans l’annuaire, ni l’échéance du 1er septembre 2026. Si vous n’avez pas encore désigné de plateforme de réception, la marche à suivre reste identique : choisir un opérateur dans la liste officielle, puis le laisser déclarer votre SIREN. En cas de doute sur votre statut, l’assistance répond au 0 806 807 807.
La DGFiP peut-elle m’appeler pour la facturation électronique ?
L’administration a ouvert un numéro d’assistance entrant, joignable du lundi au vendredi de 8h30 à 18h. Elle n’appelle pas les entreprises pour leur vendre une plateforme ni pour exiger une souscription immédiate. Un interlocuteur qui annonce une amende sous quarante-huit heures, réclame un règlement par téléphone ou demande vos identifiants d’espace professionnel n’est pas un agent. Raccrochez, puis rappelez le numéro officiel. Un rappel sur le numéro fourni par l’appelant ne prouve rien.
Mes identifiants impots.gouv.fr ont-ils fuité ?
Non, selon le communiqué ministériel du 14 août 2026 : les espaces personnels et professionnels, les identifiants et les mots de passe n’ont pas été compromis. Les données extraites concernent l’état civil, les coordonnées et des éléments fiscaux, dont le revenu fiscal de référence et, pour les professionnels, des données cadastrales. Changer votre mot de passe reste une précaution saine. En revanche, tout message qui réclame ces identifiants au motif de la fuite est un faux par construction.
Un site propose de vérifier si je suis concerné par la fuite, est-ce fiable ?
Non. Aucun outil public ne permet de savoir si un SIREN ou un numéro fiscal figure parmi les données extraites. La DGFiP notifie individuellement les personnes concernées, par courriel depuis le 17 août 2026, ou par courrier postal à défaut d’adresse électronique connue. Un formulaire qui demande votre numéro fiscal pour contrôler votre situation exploite simplement l’inquiétude créée par la fuite. Ne saisissez rien et signalez l’adresse à Phishing Initiative.
Que risque l’auteur d’un faux mail DGFiP ?
L’envoi de messages usurpant l’identité de l’administration relève de l’escroquerie, punie par l’article 313-1 du code pénal de cinq ans d’emprisonnement et de 375 000 euros d’amende. L’usurpation d’identité en ligne est réprimée séparément par l’article 226-4-1, avec un an d’emprisonnement et 15 000 euros d’amende. Ces poursuites supposent d’identifier l’auteur, ce qui reste difficile lorsque les campagnes partent de l’étranger. Le signalement garde malgré tout son utilité opérationnelle.