Un acteur malveillant a usurpé les identifiants d’un fonctionnaire de la DGFiP et a consulté illégalement le fichier national des comptes bancaires (FICOBA), contenant les coordonnées bancaires et l’identité des titulaires.

Dès la détection, la DGFiP a immédiatement restreint les accès, stoppé l’attaque et lancé des travaux pour rétablir le service dans des conditions de sécurité renforcées. Les usagers concernés seront informés individuellement et les établissements bancaires ont été contactés pour sensibiliser leurs clients.

Les équipes informatiques de la DGFiP, en collaboration avec le ministère des Finances, le HFDS et l’ANSSI, traitent l’incident, qui a été déclaré à la CNIL et fait l’objet d’une plainte.

Les usagers sont invités à rester vigilants face aux tentatives d’escroquerie par courriel ou SMS, à ne jamais communiquer leurs identifiants ou coordonnées bancaires à l’administration fiscale, et à signaler toute suspicion en conservant les preuves et en se référant à cybermalveillance.gouv.fr.

Des courriels frauduleux se font passer pour la DGFiP en reproduisant exactement le format et le nom d’un agent réel. La seule différence réside dans des adresses électroniques suspectes (ex. @dgfip‑finances‑gouv.info, @dgfip‑info‑gouv.com, etc.) ou des fautes d’orthographe et de syntaxe.

L’arnaque consiste à solliciter des employés d’entreprises pour obtenir des renseignements sur leurs clients, sous prétexte de mettre à jour un dossier (déclaration d’échanges de biens) ou à les inciter à transmettre le message à un tiers.

Il est recommandé de rester vigilant, de vérifier scrupuleusement l’adresse de l’expéditeur et de consulter la page « Sécurité informatique : soyez vigilants ! » pour connaître les bonnes pratiques de protection.

Faire enregistrer un acte (reconnaissance de dette, contrat de prêt, cession de parts, etc.) lui confère une date certaine et une valeur juridique reconnue vis‑à‑vis des tiers. Certains actes sont obligatoires, d’autres le sont seulement pour sécuriser la preuve en cas de litige.

Le dépôt s’effectue auprès du service d’enregistrement compétent, le nombre d’exemplaires et les délais variant selon la nature de l’acte. Le coût comprend un droit fixe, complété éventuellement d’un pourcentage selon le type d’acte.

Les démarches peuvent être réalisées en ligne via le portail dédié, où sont également disponibles les formulaires, la documentation BOFiP et les contacts du service d’enregistrement.

En pratique : les prêts entre particuliers supérieurs à 5 000 € doivent être déclarés ; la promesse de vente peut être enregistrée volontairement, certaines formes imposent un enregistrement rapide ; la cession de parts de SARL entraîne des droits d’enregistrement ; le testament n’est pas obligatoire à enregistrer, sauf s’il est authentique ; le bail d’habitation n’est pas soumis à l’enregistrement, mais peut l’être volontairement pour une date certaine.

Le formulaire « Paiement de proximité : signaler une difficulté » recueille les informations obligatoires suivantes : nom, prénom(s), adresse électronique au format prénom.nom@exemple.fr, numéro de téléphone au format (+33) X XX XX XX XX, dénomination sociale du buraliste ou partenaire agréé, commune du lieu de paiement et détail de la réclamation décrivant la difficulté rencontrée.

Après avoir complété les champs, l’usager doit cliquer sur « Envoyer le message » pour créer un courriel contenant le récapitulatif des données saisies. Il est impératif de joindre les pièces justificatives nécessaires (ticket de caisse, reçu du buraliste, facture, avis, etc.) avant l’envoi.

En cas de problème d’ouverture de la fenêtre d’envoi, il faut copier‑coller les informations dans un nouveau courriel et l’adresser à mission.bancaire‑cheque‑pprox@dgfip.finances.gouv.fr, en veillant à inclure tous les documents requis.

Le guichet unique de TVA (OSS) est facultatif ; si vous y adhérez, vous ne vous immatriculez que dans l’État membre d’identification (votre pays d’établissement ou, si vous n’êtes pas établi dans l’UE, le pays que vous choisissez). L’inscription prend effet le 1ᵉʳ jour du trimestre suivant la demande, mais vous pouvez la valider dans le même trimestre à condition qu’elle soit faite avant la première prestation ou, au plus tard, le 10 du mois suivant celle‑ci.

Trois régimes sont proposés : OSS‑UE pour les assujettis établis dans l’UE (services à des non‑assujettis et ventes à distance de biens) ou les non‑UE vendant des biens intracommunautaires ; OSS‑non‑UE, réservé aux non‑établis dans l’UE et limité aux services ; IOSS, dédié aux ventes de biens de ≤ 150 € expédiés depuis un pays tiers vers l’UE, avec possibilité d’inscription directe ou via un intermédiaire.

Lorsque le vendeur n’est ni établi dans l’UE ni dans un pays tiers bénéficiant d’un accord d’assistance mutuelle, il doit désigner un intermédiaire établi dans l’UE. L’intermédiaire assume les obligations déclaratives et de paiement, mais le fournisseur reste conjointement responsable.

L’inscription se fait en trois étapes : adhésion en ligne au service « Guichet de TVA UE », activation du compte avec le code reçu par courrier, puis dépôt de la demande d’inscription en renseignant les données obligatoires (numéro de TVA, identité, coordonnées, date de début d’activité, nature des opérations, etc.). Les assujettis hors UE doivent d’abord envoyer le formulaire 3563 pour obtenir un SIREN et un numéro d’obligation fiscale. Toute modification des informations doit être communiquée à la DGFiP au plus tard le 10 du mois suivant le changement.

À compter du 1 septembre 2026, les entreprises assujetties devront recourir à une plateforme agréée pour émettre, transmettre et recevoir leurs factures électroniques, ainsi que pour transmettre les données de facturation, de transaction et de paiement à l’administration fiscale.

Une plateforme agréée, immatriculée par la DGFiP pour trois ans renouvelables, assure la conversion des factures au format requis, garantit l’intégrité et l’authenticité des données, et assure le reporting obligatoire. Elle se distingue d’une solution « compatible » qui, sans immatriculation, ne peut pas réaliser ces transmissions officielles.

Les opérateurs souhaitant obtenir ce statut doivent déposer un dossier de candidature en ligne via le service d’Immatriculation (site demarche.numerique.gouv.fr) et fournir les pièces justificatives requises. Le service assure l’immatriculation, le suivi des obligations et, le cas échéant, les sanctions ou le retrait du numéro d’agrément.

Pour toute question, le contact dédié est immat.pdp@dgfip.finances.gouv.fr.

Connectez‑vous à votre espace Finances publiques, choisissez la rubrique « Prélèvement à la source », puis cliquez sur « Mettre à jour vos coordonnées bancaires ». Saisissez le nouveau RIB, validez et confirmez l’authentification (code reçu par SMS ou courriel). La mise à jour est prise en compte dès le mois suivant pour les acomptes et le solde d’impôt, à condition d’effectuer la démarche suffisamment à l’avance.

Si vous ne disposez pas d’un compte SEPA, cochez la case correspondante ; cette option s’adresse aux contribuables non résidents qui n’ont pas de prélèvement à la source.

Pour les impôts locaux, accédez à l’espace Finances publiques, cliquez sur « Paiements », puis sur « Gérer mes contrats de prélèvement ». Sélectionnez le(s) contrat(s) concerné(s), choisissez « Modifier mes coordonnées bancaires », saisissez le nouveau RIB et confirmez. Vous recevrez un courriel de confirmation et la modification sera effective le mois suivant.

Des pas‑à‑pas détaillés sont disponibles sur impots.gouv.fr sous le titre « Je signale un changement de coordonnées bancaires ».

Le réseau Peppol, géré en France par la DGFiP en tant qu’Autorité Peppol, requiert que chaque plateforme soit agréée via une convention bilatérale et utilise ses propres certificats PKI.

Nouvel entrant dont le siège est en France : adhérer à OpenPeppol, signer la convention disponible sur le portail gouvernemental, réaliser les tests de conformité avec les certificats fournis par OpenPeppol, puis, après validation, obtenir les certificats d’exploitation et mettre le service en production.

Prestataire déjà agréé en France : signer ou renégocier la convention avec l’Autorité Peppol France, qui informe ensuite l’autorité de coordination de Peppol ; celle‑ci met à jour les informations publiques et, si besoin, ajuste le certificat PKI en collaboration avec le prestataire.

Pour les sociétés dont le siège est à l’étranger, il faut contracter avec l’autorité Peppol du pays concerné ou, à défaut, avec OpenPeppol, sans passer par l’autorité française. La liste des prestataires français certifiés est consultable en ligne.