L’association, représentée par Maître Vincent Poudampa, ne met pas en cause l’administration fiscale, victime des intrusions, mais elle demande que soit examinée l’hypothèse d’un concours interne volontaire ayant facilité l’accès aux données de centaines de milliers de contribuables. Cette fuite de données intervient alors que l’État impose la facturation électronique (voir le communiqué d’AC!! ci-dessous).
L’avocat bordelais Vincent Poudampa a déposé plainte contre X, ce 27 août 2026, au nom de l’association Anti-Corruption AC!!, auprès du Parquet national financier. En cause : une série d’intrusions informatiques ayant touché la Direction générale des finances publiques (DGFiP) en 2026, dont la plus récente aurait permis l’extraction de données concernant environ 678 000 contribuables. La plainte s’articule autour d’une question centrale : ces attaques ont-elles bénéficié d’un concours volontaire, interne à l’administration ou à ses prestataires ?
Une kyrielle d’intrusions informatiques depuis le début de l’année
Selon la plainte, la DGFiP a été la cible de plusieurs accès frauduleux à ses systèmes d’information durant l’année 2026. Une première vague, survenue en début d’année, avait concerné environ 1,2 million de comptes du fichier FICOBA, le fichier national des comptes bancaires et assimilés. AC!! Anticorruption avait alors déjà saisi le tribunal judiciaire de Paris d’une première plainte contre X, avec copie au Parquet national financier, ainsi que la CNIL.
De nouvelles intrusions ont ensuite été constatées en juin et juillet 2026. Elles auraient permis l’extraction de données fiscales concernant environ 678 000 usagers, particuliers et professionnels : état civil, adresses, revenu fiscal de référence ou encore taux de prélèvement à la source. D’autres accès auraient également visé des fichiers cadastraux et, selon des informations mentionnées dans la plainte, les successions vacantes.
L’association tient à préciser que sa démarche ne vise pas à rechercher la responsabilité pénale de l’administration fiscale du seul fait des intrusions qu’elle a subies : la DGFiP est présentée dans la plainte comme elle-même victime de ces cyberattaques.
La question des marchés publics de cybersécurité
AC!! Anticorruption élargit néanmoins le champ de son interrogation. L’association rappelle que des rapports institutionnels antérieurs avaient déjà pointé l’ancienneté d’une partie du système informatique de la DGFiP, l’existence d’une dette technique et des vulnérabilités persistantes – alors qu’une partie importante des missions de maintenance, de modernisation et de sécurisation est confiée à des prestataires privés.
La plainte demande ainsi que soient examinées, pour la période 2019-2026, les conditions d’attribution et d’exécution des marchés publics liés à la cybersécurité de l’administration fiscale, à savoir :
- les marchés, accords-cadres et contrats conclus en matière de cybersécurité, maintenance et modernisation ;
- les entreprises et sous-traitants en ayant bénéficié, et les procédures d’attribution et de renouvellement suivies ;
- les prestations effectivement exécutées ;
- les alertes ou audits ayant identifié des vulnérabilités, et les suites qui leur ont été données ;
- les conditions d’accès aux systèmes accordées aux prestataires extérieurs ou « tiers habilités ».
L’association insiste sur le fait que sa plainte ne repose « sur aucune affirmation selon laquelle ces contrats seraient irréguliers », mais vise à permettre au parquet de vérifier si des irrégularités relevant des atteintes à la probité pourraient se cacher derrière les défaillances techniques révélées par les cyberattaques.
Quatre pistes d’infractions à exlporer
Le corps de la plainte détaille plusieurs qualifications pénales que l’enquête pourrait, selon AC !! Anticorruption, être amenée à caractériser — sans qu’aucune de ces hypothèses ne soit présentée comme établie à ce stade.
Complicité d’accès frauduleux à un système informatique.
L’article 323-1 du code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, avec une peine aggravée lorsque le système visé, comme c’est le cas ici, est mis en œuvre par l’État. La plainte demande qu’il soit vérifié si les auteurs des intrusions ont bénéficié de la fourniture volontaire d’identifiants, de mots de passe ou d’informations sur l’architecture des systèmes — notamment au regard de l’utilisation, relevée dans la plainte, d’identifiants appartenant à un agent de la DGFiP et à un « tiers habilité ».
Corruption d’un agent public.
Sur le fondement de l’article 432-11 du code pénal, la plainte envisage l’hypothèse qu’un agent ayant accès aux fichiers fiscaux ait, en contrepartie d’un avantage, communiqué des identifiants ou facilité un accès — ce qui pourrait caractériser une corruption passive, ainsi qu’une corruption active pour ceux qui auraient sollicité ou rémunéré ce concours.
Violation du secret professionnel et du secret fiscal.
En application de l’article L. 103 du livre des procédures fiscales et de l’article 226-13 du code pénal, la plainte demande que soit recherchée une éventuelle transmission volontaire, par une personne astreinte au secret fiscal, de données relatives à des contribuables — y compris en l’absence de toute contrepartie financière.
Risques d’escroquerie et d’usurpation d’identité au préjudice des contribuables.
L’association souligne enfin que l’ampleur des données extraites — identité, adresse, revenu fiscal de référence, taux de prélèvement à la source — pourrait servir à des opérations de hameçonnage particulièrement ciblées, à des usurpations d’identité ou à des tentatives d’escroquerie se faisant passer pour l’administration fiscale ou un établissement bancaire. La plainte demande que soit déterminée la destination effective des données dérobées.
Ce que demande la plainte
Dans ses conclusions, AC !! Anticorruption sollicite du procureur de la République financier qu’il fasse procéder à toutes investigations utiles afin d’identifier les auteurs des intrusions, de déterminer s’ils ont bénéficié d’un concours volontaire interne, de rechercher la destination des données extraites et d’examiner l’ensemble des qualifications pénales susceptibles d’être retenues. L’association demande également que les faits ne relevant pas de la compétence du Parquet national financier soient transmis au parquet ou au service compétent.
Communiqué du 27 août 2026 relatif aux vols de données à la DGFiP/Bercy, et demande de report de la facturation électronique
En mars 2026, l’association AC !! Anticorruption avait déposé une plainte contre X au tribunal judiciaire de Paris (avec copie au parquet national financier) après les accès illégitimes au fichier FICOBA (fichier national des comptes bancaires), qui ont concerné environ 1,2 million de comptes entre fin janvier et mi-février 2026. La CNIL avait également été saisie. AC !! Anti-Corruption vient de déposer une nouvelle plainte contre X relative à des vols récents, confirmés par l’administration du fisc en août 2026 :
•Accès illégitime fin juin 2026 (découvert/publicisé mi-août) ayant permis l’extraction de données fiscales concernant environ 678 000 usagers (particuliers et professionnels, dont autour de 250 000-285 000 professionnels selon les décomptes). Données incluant état civil, adresses, revenu fiscal de référence, taux de prélèvement à la source, etc.
•Autre intrusion fin juillet visant des fichiers cadastraux (centaines de milliers de comptes selon les estimations évolutives).
•Mention d’une brèche supplémentaire (successions vacantes).
La réforme de la facturation électronique visant notamment à lutter contre la fraude à la TVA et à améliorer le suivi en temps quasi réel des données fiscales n’est pas de nature à rassurer les entreprises.
Les incidents récents à Bercy soulèvent légitimement des questions de confiance et de sécurisation des systèmes qui traiteront un volume massif de données d’entreprises.
En outre, en Italie, le problème du piratage des factures électroniques est particulièrement préoccupant en 2026. Une campagne de phishing récente a ciblé spécifiquement les factures électroniques, avec plus de 650 événements liés à des comptes PEC (Posta Elettronica Certificata) abusés ou enregistrés à des fins illicites entre janvier et juin 2026. Ces attaques ont été signalées par le CERT-AGID, l’équipe italienne de réponse aux incidents de cybersécurité, qui surveille les menaces transmises via le courrier électronique certifié. Les cybercriminels utilisent de fausses factures électroniques pour tromper les entreprises et les particuliers, exploitant la confiance accordée à ce système obligatoire en Italie depuis plusieurs années.
Dans ces conditions et sans remettre en cause la DGFiP, nous demandons que toute la lumière soit faite sur l’origine des intrusions ainsi que le report de la réforme de la facturation électronique tant que des garanties concrètes de cybersécurité n’auront pas été mises en place.
Le président d’AC!! anticorruption, Marcel Claude