Confirmée par le ministère de l'Économie et des Finances, l'intrusion survenue au sein de la Direction générale des Finances publiques (DGFiP) prend une nouvelle tournure. Le groupe cybercriminel ZeroBytes a affirmé avoir déjà cédé les fichiers exfiltrés à deux acheteurs pour quelques milliers d'euros, tout en poursuivant leur distribution sur les forums spécialisés du Dark Web, mentionne l'AFP ce jour.

« Les données sont toujours en vente », a indiqué le groupe ZeroBytes, selon l'AFP.

Selon les données relayées par la plateforme French Breaches, l'attaque concerne au moins 678 437 entités, dont 392 867 particuliers et 285 570 professionnels. Les informations dérobées comprennent des données d'état civil, des identifiants fiscaux, des revenus de référence, ainsi que les taux de prélèvement à la source. À cela s'ajoute une revendication parallèle portant sur deux millions de données cadastrales qui auraient également fait l'objet d'un piratage.

L'inquiétude pour les particuliers comme pour les entreprises suite à l'annonce de la vente des données vient du fait désormais donc du risque d'escroquerie utilisant ces données. Car dans la chaîne de la cybercriminalité, les hackers sont rarement les exploitants de ces données à des fins de malversation.

La revente de ces bases ultra-précises alimente de fait des réseaux spécialisés dans l'escroquerie sur mesure.

Le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs, tandis qu'une réunion de crise interministérielle a été convoquée par le Premier ministre Sébastien Lecornu.

L'attaque initiale ne repose pas sur une faille zero-day, mais sur un vecteur très classique : l'usurpation d'identité et de privilèges d'accès au sein du SI de l'administration.

Bien que la DGFiP ait généralisé l'authentification à double facteur (MFA) pour les usagers lors de la campagne d'imposition, le contrôle des accès internes et la gestion des identités (IAM) ont donc montré leurs limites.

Cet incident remet en question la structure même de l'IT publique en France, devenue le pays d'Europe de l'Ouest le plus touché par les fuites de données.

Le weekend dernier seulement, French Breaches affirme que des données en provenance de bases de la Fédération Française de Danse, de la Fédération Française de Moto et de la Fédération Française de Karaté sont en vente sur des sites spécialisés.

Ces derniers mois, de nombreuses données stockées par des institutions publiques ont été dérobées et mises en vente par des pirates. Ce fut par exemple le cas de Bloctel, de France Travail, ou encore de l'ANTS.

« Il faut remettre de l’ordre dans notre organisation numérique indiquait en mai dernier le Premier ministre Sébastien Lecornu. La multiplication des vols de données par des cyberattaques est une réalité. Des millions de Français sont concernés. L’État est responsable des données des citoyens. » Une annonce d'un investissement de 200 millions d'euros pour sécuriser les SI de ces acteurs a été évoquée par l'exécutif.

Pour les entreprises, la compromission de 285 570 comptes professionnels et de centaines de milliers de contribuables accroît surtout le risque d'attaques par ingénierie sociale. L'association de données fiscales et de coordonnées administratives permet aux cybercriminels de concevoir par exemple des campagnes de phishing d'une crédibilité redoutable ou des tentatives de fraude au président ciblant les directions financières.

Face à la hausse continue des violations de données, les DSI et les RSSI doivent donc durcir leur posture défensive :

• Sensibilisation ciblée contre le phishing fiscal : alerter les équipes comptables et administratives sur l'émergence de courriels ou SMS frauduleux personnalisés imitant la DGFiP ou la CNIL.
• Revue des accès privilèges (IAM) : appliquer les principes du Zero Trust en restreignant les droits d'administration au strict besoin d'en connaître et en imposant une rotation rigoureuse des secrets.
• Surveillance des mouvements de comptes : renforcer le monitoring sur les tentatives d'usurpation d'identité visant les collaborateurs dont les données personnelles ou professionnelles ont été exposées.