La Direction générale des finances publiques (DGFiP) a confirmé jeudi 13 août une intrusion et un vol de données dans son système informatique, après qu'un cybercriminel se faisant appeler « ZeroBytes » a revendiqué une seconde attaque visant des fichiers cadastraux. Cette séquence pourrait alimenter des fraudes ciblées contre un nombre encore indéterminé de particuliers et de professionnels, potentiellement des centaines de milliers.
Deux attaques revendiquées par « ZeroBytes »
Les deux attaques ont été revendiquées sur un forum de revente de données du « darkweb » par un cybercriminel utilisant le pseudonyme « ZeroBytes », qui a déjà un historique d'intrusions dans des cibles françaises, a constaté un journaliste de l'AFP. La première offensive, confirmée par la DGFiP, remonte à fin juin et a visé le portail impots.gouv.fr. Le pirate affirme avoir récupéré l'accès à un VPN utilisé par les agents du fisc, ce qui lui aurait permis d'aspirer près de 680 000 lignes de données avant que la connexion ne soit coupée.
Une seconde attaque, perpétrée fin juillet et toujours revendiquée par « ZeroBytes », mais non confirmée par la DGFiP vendredi en début d'après-midi, a ciblé le Serveur professionnel de données cadastrales (SPDC). Pour y pénétrer, le hacker affirme avoir contourné « l'authentification multifacteur ». Jugeant le téléchargement trop lent, il assure l'avoir volontairement interrompu après avoir récupéré plus de 250 000 lignes, correspondant selon lui à plus de deux millions de titulaires de biens.
Des données sensibles et un nombre de victimes potentiellement élevé
Selon FrenchBreaches, site spécialisé qui a documenté ces incidents, le premier piratage concernerait près de 393 000 particuliers et 285 000 professionnels. La DGFiP n'a confirmé aucun chiffre, indiquant poursuivre ses investigations. Selon un échantillon des données consulté par l'AFP, le fichier contient des informations d'état civil, le revenu fiscal de référence, la situation familiale ou encore le taux de prélèvement à la source. La seconde fuite associerait l'identité et l'adresse des titulaires de droits sur des parcelles cadastrales.
Contacté par l'AFP via Telegram, « ZeroBytes » a déclaré que son accès au système cadastral avait été « rapidement suspendu après la publication » de sa revendication, jeudi soir. Il dit être « un groupe de deux personnes », sans « motivation précise », si ce n'est « l'argent, j'imagine ».
Une réactivité du fisc jugée tardive
Bercy a reconnu jeudi un « accès illégitime » survenu fin juin, à la suite d'une « usurpation d'identité », et a indiqué s'apprêter à notifier l'incident à la Cnil et à informer les victimes. Mais cette confirmation n'est survenue qu'au lendemain de la mise en vente des données par le pirate. Le syndicat Solidaires Finances Publiques a dénoncé vendredi une communication « tardive » : « Il aura fallu attendre la revendication du cybercriminel le 12 août et la révélation dans la presse, pour que la DGFiP informe officiellement de cette fuite de données », déplore-t-il.
Le règlement européen sur les données personnelles prévoit une notification à la Cnil si possible dans les 72 heures après la découverte d'une violation. Les personnes concernées par un risque élevé doivent être informées « dans les meilleurs délais ».
Quel usage possible des données volées ?
Dans cette économie criminelle, celui qui s'introduit dans un système ne fait généralement que revendre les fichiers aux futurs escrocs. Le prix demandé pour le premier fichier se chiffre « en milliers » d'euros, a affirmé « ZeroBytes » à l'AFP, sans confirmer l'avoir effectivement vendu. Le principal risque pour les victimes est celui de l'hameçonnage, ou « phishing » : en s'appuyant sur l'historique réel des démarches d'un contribuable, des escrocs peuvent envoyer des messages crédibles en se faisant passer pour les services fiscaux et tenter de soutirer de l'argent par manipulation.
