L’association AC!! Anticorruption a annoncé jeudi 27 août avoir déposé plainte après le vol massif de données de la Direction générale des finances publiques (DGFiP), révélé à la mi-août. La plainte contre X, déposée mercredi au parquet national financier (PNF), vise notamment l’extraction frauduleuse de données, la corruption et la violation du secret fiscal.
Le but affiché n’est pas d’attaquer l’administration fiscale en bloc, précise l’association, mais de chercher « l’éventuelle existence d’un acte individuel de corruption commis au sein ou à proximité de celle-ci au bénéfice des auteurs des cyberattaques ». En clair : un agent, un prestataire, une personne habilitée a-t-il ouvert la porte — volontairement ou contre rémunération ?
AC!! demande aussi que la justice examine l’usage des budgets alloués ces dernières années à « la maintenance, la modernisation et la sécurisation » du système d’information de la DGFiP, et la part confiée au privé. Son président, Marcel Claude, réclame « toute la lumière » sur l’origine des intrusions, d’éventuelles complicités et la destination des fichiers dérobés. Il demande en outre le report de la réforme de la facturation électronique « tant que des garanties concrètes de cybersécurité n’auront pas été apportées ».
Le vol, survenu fin juin et fin juillet et revendiqué par le groupe Zerobytes, concerne au moins 678 000 particuliers et professionnels, selon Bercy. La DGFiP a lancé une campagne pour prévenir les victimes des risques d’hameçonnage et d’usurpation d’identité. Le gouvernement a présenté ses excuses. Le parquet de Paris avait déjà ouvert une enquête à la mi-août, notamment pour extraction frauduleuse de données et association de malfaiteurs.
Le contraste est brutal : l’État prélève, stocke et croise des données fiscales ultra-sensibles, mais n’a pas su les protéger. Les contribuables, eux, devront désormais se méfier de faux courriers des impôts d’autant plus crédibles qu’ils s’appuieront sur des informations réellement volées. La plainte d’Anticorruption pose une question que les communiqués officiels évitent : faille technique seulement, ou faille humaine à l’intérieur ?
