Fisc piraté: ce que l'on sait des données dérobées

Le fisc a confirmé jeudi une intrusion et un vol de données dans son système informatique, peu après qu'un cybercriminel a revendiqué une seconde attaque visant des fichiers cadastraux.

Cette séquence est susceptible d'alimenter des fraudes ciblées contre "quelques centaines de milliers" d'usagers à ce stade de l'enquête, mais leur nombre pourrait encore gonfler.

Combien y a-t-il eu d'attaques?

Les deux attaques ont été revendiquées sur un forum de revente de données du "darkweb" par un cybercriminel dissimulé sous le pseudonyme "ZeroBytes", qui a déjà un historique d'intrusion dans des cibles françaises, a constaté un journaliste de l'AFP.

La première offensive, confirmée par la DGFiP, remonte à fin juin et a visé le portail "impots.gouv.fr" du fisc.

Le pirate affirme sur le forum avoir récupéré l'accès à un VPN utilisé par les agents du fisc. Ce réseau privé virtuel permet normalement de se connecter à distance, de façon sécurisée, à des outils internes.

Ce sésame lui aurait permis d'aspirer près de 680.000 lignes de données avant que le fisc ne coupe la connexion.

Une seconde attaque, perpétrée fin juillet et toujours revendiquée par "ZeroBytes", mais pas confirmée vendredi en début d'après-midi par la DGFiP, a ciblé le Serveur professionnel de données cadastrales (SPDC).

Pour y pénétrer, le hacker affirme avoir contourné "l'authentification multifacteur", ce système imposant une double vérification pour se connecter.

Jugeant le téléchargement trop lent, il assure l'avoir volontairement interrompu après avoir récupéré plus de 250.000 lignes.

Celles-ci correspondraient, selon son propre décompte, à plus de deux millions de titulaires de biens, plusieurs personnes pouvant être associées à une même parcelle.

Contacté par l'AFP via ses coordonnées de la messagerie Telegram, "ZeroBytes" a déclaré que son accès au système cadastral avait été "rapidement suspendu après la publication" de sa revendication, jeudi soir.

"ZeroBytes" dit être "un groupe de deux personnes", sans "motivation précise", si ce n'est "l'argent, j'imagine".

Quelles données sont concernées?

Selon FrenchBreaches, site spécialisé qui a été le premier à documenter ces incidents, le premier piratage concernerait près de 393.000 particuliers et 285.000 professionnels.

La DGFiP a indiqué vendredi que "quelques centaines de milliers" d'usagers étaient concernés par cet acte malveillant mais que l'enquête était toujours en cours. Un "bilan consolidé" sera communiqué prochainement, précise-t-elle.

Mais selon un échantillon de ces données consulté par l'AFP sur le forum de revente, le fichier contient, outre des informations d'état civil, le revenu fiscal de référence, la situation familiale ou encore le taux de prélèvement à la source.

La seconde fuite revendiquée par "ZeroBytes" associerait l'identité et l'adresse des titulaires de droits sur des parcelles cadastrales.

Le fisc assez réactif?

Concernant la première attaque, Bercy a reconnu jeudi un "accès illégitime" survenu fin juin, à la suite d'une "usurpation d'identité", et a indiqué s'apprêter à notifier l'incident à la Cnil (Commission nationale de l'Informatique et des Libertés) et à informer les victimes.

Mais cette confirmation n'est survenue qu'au lendemain de la mise en vente des données par le pirate.

Sollicitée vendredi par l'AFP, la DGFiP n'a par ailleurs toujours pas confirmé l'attaque touchant le cadastre.

Le règlement européen sur les données personnelles prévoit une notification à la Cnil dans les 72 heures après la découverte d'une violation susceptible de présenter un risque. Les personnes concernées par un risque élevé doivent d'autre part être informées "dans les meilleurs délais".

Le syndicat Solidaires Finances Publiques a dénoncé vendredi une communication "tardive".

"Il aura fallu attendre la revendication du cybercriminel le 12 août et la révélation dans la presse, pour que la DGFiP informe officiellement de cette fuite de données", déplore-t-il.

Quel usage des données volées?

Dans cette économie criminelle, celui qui s'introduit dans un système n'est généralement pas celui qui escroquera les victimes: il ne fait que revendre les fichiers aux futurs escrocs.

Le prix demandé pour le premier fichier se chiffre "en milliers" d'euros, a affirmé "ZeroBytes" à l'AFP, sans confirmer l'avoir effectivement vendu.

Le principal risque pour les victimes est celui de l'hameçonnage, ou "phishing". En s'appuyant sur l'historique réel des démarches d'un contribuable, des escrocs peuvent envoyer des messages crédibles en se faisant passer pour les services fiscaux et tenter de soutirer de l'argent par manipulation.