Le fisc dans la tourmente après un double pillage de données, des millions de contribuables exposés

Deux intrusions ont visé les systèmes du fisc français, révélées par un pirate sur un forum du darkweb. Les données de centaines de milliers de contribuables sont en cause, avec un risque sérieux d’arnaques ciblées.

Le fisc a fini par l’admettre, jeudi. Un intrus a bien réussi à pénétrer ses systèmes et à voler des données. Cette confirmation arrive après les messages d’un cybercriminel qui se fait appeler ZeroBytes sur un forum du darkweb. Il affirme avoir mené deux attaques distinctes. La première remonte à fin juin et visait le portail impots.gouv.fr. Selon lui, il a profité d’un VPN utilisé par l’administration pour se connecter à des outils internes, puis a aspiré près de 680 000 lignes de données avant que la connexion ne soit coupée.

La seconde offensive, lancée fin juillet, a touché le Serveur professionnel de données cadastrales. ZeroBytes dit avoir contourné l’authentification multifacteur, cette vérification en deux étapes censée renforcer la sécurité. Il assure avoir interrompu le téléchargement à cause d’une lenteur excessive, après avoir récupéré plus de 250 000 lignes. Cela représenterait plus de deux millions de titulaires de biens, car une parcelle peut avoir plusieurs propriétaires. Les fichiers prélevés contiennent des informations d’état civil, le revenu fiscal de référence, la situation familiale ou le taux de prélèvement à la source.

Sur la première attaque, Bercy a évoqué un accès illégitime dû à une usurpation d’identité. L’administration assure s’apprêter à prévenir la Cnil et à informer les victimes. Mais le calendrier interroge. L’incident date de juin, et il a fallu attendre la mise en vente des données pour qu’une réaction officielle se fasse entendre. Le syndicat Solidaires Finances Publiques parle d’une communication tardive. Il souligne que la déclaration est intervenue après la revendication du pirate sur internet, alors que le règlement européen prévoit une notification sous 72 heures.

Le danger ne s’arrête pas au vol. Dans les circuits criminels, l’attaquant revend souvent son butin à des escrocs qui exploitent les données. Le principal risque est le hameçonnage, ou phishing. Des malfaiteurs peuvent envoyer des messages très crédibles en se faisant passer pour les impôts, en s’appuyant sur l’historique réel des démarches des contribuables. Le prix demandé pour le premier fichier se chiffre en milliers d’euros, selon ZeroBytes. L’enquête doit encore déterminer le nombre exact de personnes concernées, qui pourrait dépasser les centaines de milliers déjà évoquées.

À lire aussi

• Nuit de feu sur la côte croate, 2.000 personnes évacuées
• En Allemagne, les flammes rôdent à dix mètres des maisons
• Un ado de 15 ans reconnaît le geste à l’origine de la mort de deux pompiers