L’administration fiscale a été visée par deux cyberattaques en juin et juillet. MOURAD ALLILI/SIPA
Le fisc a confirmé jeudi 13 août une intrusion et un vol de données dans son système informatique, peu après qu’un cybercriminel qui se fait appeler « ZeroBytes » a revendiqué une seconde attaque visant des fichiers cadastraux.
Cette situation pourrait entraîner des fraudes ciblées affectant un nombre indéterminé de particuliers et de professionnels, potentiellement des centaines de milliers.
• Que sait-on du ou des hackers ?
Les deux attaques ont été revendiquées sur un forum de revente de données du « darkweb » par un cybercriminel dissimulé sous le pseudonyme « ZeroBytes », qui a déjà un historique d’intrusions dans des cibles françaises, selon un journaliste de l’Agence France-Presse (AFP).
La première offensive, confirmée par la DGFiP, remonte à fin juin et a visé le portail impots.gouv.fr du fisc. Le pirate prétend avoir eu accès à un VPN utilisé par les agents du fisc, ce qui lui aurait permis d’extraire environ 680 000 lignes de données avant que le fisc ne coupe la connexion.
Une seconde attaque, réalisée fin juillet et toujours revendiquée par « ZeroBytes », n’a pas encore été confirmée par la DGFiP. Elle a ciblé le Serveur professionnel de Données cadastrales (SPDC). Le hacker affirme avoir contourné « l’authentification multifacteur » et a interrompu le téléchargement après avoir récupéré plus de 250 000 lignes, correspondant à plus de 2 millions de titulaires de biens.
Contacté par l’AFP via Telegram, « ZeroBytes » a déclaré que son accès au système cadastral avait été « rapidement suspendu après la publication » de sa revendication.
« ZeroBytes » se décrit comme « un groupe de deux personnes », sans « motivation précise », si ce n’est « l’argent, j’imagine ».
• Combien de personnes sont concernées ?
Selon FrenchBreaches, le premier piratage pourrait concerner environ 393 000 particuliers et 285 000 professionnels.
La direction générale des finances publiques a annoncé que plusieurs centaines de milliers d’usagers sont concernés par le piratage de son système d’information, et un « bilan consolidé prochainement » sera communiqué.
• Quelles sont les données dérobées ?
D’après un échantillon de ces données consulté par l’AFP, le fichier comprend des informations d’état civil, le revenu fiscal de référence, la situation familiale et le taux de prélèvement à la source.
La seconde fuite revendiquée par « ZeroBytes » associe l’identité et l’adresse des titulaires de droits sur des parcelles cadastrales.
• Le fisc a-t-il été assez réactif ?
Concernant la première attaque, Bercy a reconnu un « accès illégitime » survenu fin juin, à la suite d’une « usurpation d’identité », et a annoncé son intention de notifier l’incident à la Commission nationale de l’Informatique et des Libertés (Cnil) ainsi que d’informer les victimes. Cependant, cette confirmation est intervenue seulement après la mise en vente des données par le pirate.
La DGFiP n’a pas encore confirmé l’attaque touchant le cadastre.
Le règlement européen sur les données personnelles impose une notification à la Cnil dans les 72 heures suivant la découverte d’une violation susceptible de présenter un risque. Les personnes concernées par un risque élevé doivent également être informées « dans les meilleurs délais ».
Le syndicat Solidaires Finances publiques a critiqué une communication « tardive », soulignant qu’il a fallu attendre la revendication du cybercriminel le 12 août et sa révélation dans la presse pour que la DGFiP informe officiellement de cette fuite de données.
• Quel usage possible des données volées ?
Dans cette économie criminelle, le hacker ne s’introduit généralement pas dans un système pour escroquer directement les victimes ; il revend plutôt les fichiers aux futurs escrocs.
Le prix demandé pour le premier fichier serait « en milliers » d’euros, selon les déclarations de « ZeroBytes » à l’AFP, sans confirmation de vente.
Les victimes risquent principalement de faire face à des tentatives d’hameçonnage, ou « phishing », où des escrocs peuvent utiliser les informations réelles d’un contribuable pour envoyer des messages crédibles en se faisant passer pour les services fiscaux.
