Le fisc a confirmé jeudi une intrusion et un vol de données dans son système informatique, peu après qu’un cybercriminel a revendiqué une seconde attaque visant des fichiers cadastraux. Cette séquence est susceptible d’alimenter des fraudes ciblées contre « quelques centaines de milliers » d’usagers à ce stade de l’enquête, mais leur nombre pourrait encore gonfler.

Les deux attaques ont été revendiquées sur un forum de revente de données du « darkweb » par un cybercriminel dissimulé sous le pseudonyme « ZeroBytes », qui a déjà un historique d’intrusion dans des cibles françaises. D'après le site spécialisé FrenchBreaches, qui documente les cyberattaques en France, il s’agirait également du « même cybercriminel associé à de précédentes revendications visant notamment Intermarché, Eva GG et la Fédération française de handball (FFHandball) ».

La première offensive, confirmée par la Direction générale des finances publiques (DGFiP), remonte à fin juin et a visé le portail « impots.gouv.fr » du fisc. Le pirate affirme sur le forum avoir récupéré l’accès à un VPN utilisé par les agents du fisc. Ce réseau privé virtuel permet normalement de se connecter à distance, de façon sécurisée, à des outils internes.

Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs.

En cliquant sur « J’accepte », les cookies et autres traceurs seront déposés et vous pourrez visualiser les contenus (plus d'informations).

En cliquant sur « J’accepte tous les cookies », vous autorisez des dépôts de cookies et autres traceurs pour le stockage de vos données sur nos sites et applications à des fins de personnalisation et de ciblage publicitaire.

Vous gardez la possibilité de retirer votre consentement à tout moment en consultant notre politique de protection des données.
Gérer mes choix

Une seconde attaque, perpétrée fin juillet et toujours revendiquée par « ZeroBytes », mais pas confirmée ce vendredi en début d’après-midi par la DGFiP, a ciblé le Serveur professionnel de données cadastrales (SPDC). Pour y pénétrer, le hacker affirme avoir contourné « l’authentification multifacteur », ce système imposant une double vérification pour se connecter. Jugeant le téléchargement trop lent, il assure l’avoir volontairement interrompu après avoir récupéré plus de 250 000 lignes. Contacté par l’AFP via Telegram, « ZeroBytes » a déclaré que son accès au système cadastral avait été « rapidement suspendu après la publication » de sa revendication, jeudi soir. 

Qui est concerné ?

Un total de 678 000 particuliers et professionnels sont concernés à ce jour par la cyberattaque. Pour les particuliers, les données concernent notamment les noms et prénoms, le quotient familial, le revenu fiscal de référence, et le taux de prélèvement à la source, a indiqué la directrice générale des finances publiques, Amélie Verdier, lors d'un échange par téléphone avec la presse. Pour les entreprises il s'agit de « données moins sensibles que les particuliers », notamment le numéro de Siren, l'adresse de l'entreprise, du mandataire. Pour les particuliers, les données dérobées « ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr, en revanche l'accès à des données personnelles facilite l'usurpation d'identité », a expliqué Amélie Verdier.

Le fisc a-t-il été assez réactif ?

Concernant la première attaque, Bercy a indiqué s’apprêter à notifier l’incident à la Cnil (Commission nationale de l’Informatique et des Libertés) et à informer les victimes. Mais cette confirmation n’est survenue qu’au lendemain de la mise en vente des données par le pirate. Sollicitée ce vendredi par l’AFP, la DGFiP n’a toujours pas confirmé la possible seconde attaque informatique touchant le cadastre. 

Les services de Bercy ont détecté en juin la compromission de l'accès au compte d'un agent et ont immédiatement « coupé l'accès ». Mais à ce moment-là, l'administration n'avait « pas identifié que l'attaquant avait pu récupérer des données », a détaillé Amélie Verdier. Il s'agit d'une « attaque plus sophistiquée que ce qu'on avait vu par le passé », a-t-elle poursuivi. L'assaillant n'a par exemple pas effectué de « requêtage massif », qui consiste a envoyer un important volume de demandes à un système informatique, ce que l'administration peut repérer plus facilement. C'est seulement lors de la revendication de l'attaque le 12 août que les services de Bercy ont pu repérer certaines activités et notamment l'extraction de ces données personnelles.  « Nous présentons nos excuses à tous les usagers concernés », a déclaré Amélie Verdier, précisant que les personnes concernées seraient contactées en début de semaine prochaine par l'administration.

Le règlement européen sur les données personnelles prévoit une notification à la Cnil dans les 72 heures après la découverte d’une violation susceptible de présenter un risque. Les personnes concernées par un risque élevé doivent d’autre part être informées « dans les meilleurs délais ». Le syndicat Solidaires Finances Publiques a dénoncé ce vendredi une communication « tardive ».« Il aura fallu attendre la revendication du cybercriminel le 12 août et la révélation dans la presse, pour que la DGFiP informe officiellement de cette fuite de données », a-t-il déploré.

Quels sont les risques pour les personnes concernées ?

Dans cette économie criminelle, celui qui s’introduit dans un système n’est généralement pas celui qui escroquera les victimes : il ne fait que revendre les fichiers aux futurs escrocs. Le prix demandé pour le premier fichier se chiffre « en milliers » d’euros, a affirmé « ZeroBytes » à l’AFP, sans confirmer l’avoir effectivement vendu. Ce dernier dit être « un groupe de deux personnes », sans « motivation précise », si ce n’est « l’argent, j’imagine ».

Le principal risque pour les victimes est celui de l’hameçonnage, ou « phishing ». En s’appuyant sur l’historique réel des démarches d’un contribuable, des escrocs peuvent envoyer des messages crédibles en se faisant passer pour les services fiscaux et tenter de soutirer de l’argent par manipulation.

Près de deux millions de propriétaires concernés

La possible seconde fuite, ciblant les données cadastrales en France pourrait concernée deux millions de titulaires de biens immobiliers et fonciers en France seraient concernés, d'après le propre décompte de l'auteur du piratage, qu'il a communiqué à l'AFP. Sachant que plusieurs personnes pouvant être associées à une même parcelle. Ce dernier a affirmé posséder des noms, date de naissance, adresse et même des informations sur les biens détenus.