Le fisc français victime d’un piratage massif de données personnelles
Le système d’information du fisc a été la cible d’un « accès illégitime » fin juin, permettant la consultation et l’extraction de données concernant des particuliers et des professionnels, a annoncé jeudi Bercy. Une seconde attaque aurait également visé des fichiers cadastraux, suscitant des inquiétudes quant à la sécurité des informations fiscales.
La Direction Générale des Finances Publiques (DGFiP) a confirmé une intrusion et un vol de données, peu après qu’un cybercriminel, connu sous le pseudonyme « ZeroBytes », a revendiqué une deuxième attaque. Selon la DGFiP, « quelques centaines de milliers d’usagers » seraient concernés par ce piratage.
Les deux attaques ont été revendiquées sur un forum du dark web par « ZeroBytes », qui a un historique d’intrusions ciblant des entités françaises. La première attaque, qui a eu lieu fin juin, a visé le site « impots.gouv.fr ». Le hacker prétend avoir accédé à un VPN utilisé par les agents du fisc, ce qui lui a permis d’extraire près de 680 000 lignes de données avant que la connexion ne soit interrompue. Une seconde attaque, annoncée fin juillet, a ciblé le Serveur professionnel de données cadastrales (SPDC). Le pirate a affirmé avoir contourné l’authentification multifacteur pour accéder aux données, récupérant plus de 250 000 lignes avant d’interrompre le téléchargement.
D’après les estimations du site spécialisé FrenchBreaches, le premier piratage concernerait environ 393 000 particuliers et 285 000 professionnels. Cependant, la DGFiP n’a pas encore confirmé ces chiffres et continue ses investigations pour évaluer le nombre exact de victimes et la nature des données dérobées.
Les données volées incluraient des informations d’état civil, le revenu fiscal de référence, la situation familiale et le taux de prélèvement à la source. La seconde fuite pourrait également associer l’identité et l’adresse des titulaires de droits sur des parcelles cadastrales.
Concernant la réactivité du fisc, Bercy a reconnu, jeudi, un « accès illégitime » survenu fin juin à la suite d’une usurpation d’identité. La notification de l’incident à la Commission nationale de l’Informatique et des Libertés (Cnil) est prévue, mais cette confirmation est intervenue seulement après la mise en vente des données par le pirate. Le règlement européen sur les données personnelles exige une notification à la Cnil dans les 72 heures suivant la découverte d’une violation.
Les personnes exposées à un risque élevé devraient être informées « dans les meilleurs délais ». Le syndicat Solidaires Finances publiques a critiqué la communication tardive de la DGFiP, indiquant qu’il a fallu attendre la revendication du cybercriminel pour que l’administration informe officiellement sur cette fuite de données.
Dans ce type d’économie criminelle, les hackers ne sont souvent pas ceux qui escroquent directement les victimes, mais revendent les fichiers à d’autres escrocs. Le prix demandé pour le premier fichier se chiffrerait « en milliers » d’euros. Le principal risque pour les victimes reste l’hameçonnage, où des escrocs peuvent se faire passer pour les services fiscaux afin de soutirer de l’argent.
Source : AFP
