L’association AC !! Anticorruption a déposé mercredi 26 août une plainte contre X au parquet national financier après le piratage du fisc révélé mi-août. Le texte vise l’extraction frauduleuse de données, la corruption et la violation du secret fiscal, et demande de vérifier si les pirates ont pu bénéficier de complicités à l’intérieur de l’administration. Au moins 678 000 particuliers et professionnels sont concernés, selon la direction générale des finances publiques.
678 000. C’est, selon la direction générale des finances publiques (DGFiP), le nombre minimal de particuliers et de professionnels dont les données ont été extraites lors des intrusions de fin juin et de fin juillet, revendiquées par le groupe de pirates Zerobytes. L’administration a documenté des failles et lancé une campagne d’information auprès des victimes. AC !! Anticorruption, elle, a déposé mercredi 26 août une plainte contre X devant le parquet national financier (PNF) pour poser une autre hypothèse : celle d’un coup de main.
La plainte vise plusieurs infractions, dont l’extraction frauduleuse de données, la corruption et la violation du secret fiscal, selon Le Figaro et l’AFP. Elle prend soin de ne pas transformer l’administration en accusée. « Il ne s’agit pas de mettre en cause l’administration fiscale, mais de rechercher l’éventuelle existence d’un acte individuel de corruption commis au sein ou à proximité de celle-ci au bénéfice des auteurs des cyberattaques », précise le texte.
Selon le site Infodujour, la plainte a été rédigée par l’avocat bordelais Vincent Poudampa et s’appuie notamment sur l’article 323-1 du code pénal, qui réprime l’accès frauduleux à un système de traitement automatisé de données, sur l’article 432-11 relatif à la corruption d’agent public, et sur l’article L. 103 du livre des procédures fiscales, qui fonde le secret professionnel en matière fiscale.
Les budgets de sécurisation passent à la question
Le second volet de la plainte ne porte pas sur les pirates mais sur l’argent. AC !! Anticorruption demande que la justice se penche sur l’utilisation des sommes allouées ces dernières années à « la maintenance, la modernisation et la sécurisation du système d’information de la DGFiP », et sur la façon dont cette mission a pu être confiée en partie au privé. Combien a été dépensé, par qui, pour quel résultat.
« AC !! demande que toute la lumière soit faite sur l’origine des intrusions, leurs éventuelles complicités et la destination des données dérobées », a déclaré son président Marcel Claude. L’association, créée en juin 2021, se présente comme indépendante de tout parti politique et intervient régulièrement par voie de plainte, notamment sur des dossiers d’élus locaux.
Trois vagues, un portail et des excuses
Le calendrier de la crise s’étire sur tout l’été. Économie Matin décrit une première fuite en juin portant sur environ 600 000 profils, particuliers et entreprises confondus, puis une seconde en juillet touchant 1,8 million de dossiers cadastraux, avant qu’un accès au portail des successions vacantes ne soit compromis le 17 août et interrompu le jour même. Le parquet de Paris avait ouvert mi-août une enquête, retenant les chefs d’extraction frauduleuse de données et d’association de malfaiteurs.
La Commission nationale de l’informatique et des libertés (CNIL), destinataire des notifications de violation, indique mener des investigations sur pièces ou sur place pour vérifier la conformité des mesures de sécurité de l’administration, et n’exclut pas de sanctionner d’éventuels manquements au règlement général sur la protection des données. Elle précise qu’il n’est pas nécessaire de la saisir d’une plainte individuelle. Les données exposées comprennent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, des numéros SIREN et raisons sociales, ainsi que des informations cadastrales. Les identifiants et mots de passe ne seraient pas concernés.
Le ministre de l’Action et des Comptes publics, David Amiel, a qualifié la situation d’« insupportable pour les Français », rapporte Économie Matin, et le gouvernement a présenté ses excuses aux contribuables. Trois mesures ont été annoncées dans la foulée : la généralisation de l’authentification à deux facteurs, une sensibilisation interne aux risques cyber et le lancement d’un programme de recherche de vulnérabilités rémunérée, dit bug bounty.
La facturation électronique en salle d’attente
Marcel Claude ajoute une demande qui déborde le cadre judiciaire : « le report de la réforme de la facturation électronique tant que des garanties concrètes de cybersécurité n’auront pas été apportées » par l’administration fiscale. Cette réforme prévoit de faire transiter par des plateformes agréées les factures échangées entre entreprises, soit un volume de données commerciales considérable adossé au même système d’information que celui visé par les intrusions de l’été.
Le parquet national financier n’a pas indiqué s’il donnerait suite à la plainte. Les 678 000 contribuables concernés, eux, reçoivent depuis mi-août des messages de l’administration leur conseillant de se méfier des messages.