Le ministère français de l’Économie et des Finances a révélé une intrusion dans les systèmes de la Direction générale des finances publiques (DGFiP), qui a entraîné l’accès aux données de 678 000 particuliers et professionnels. Les premières investigations ont établi que les données comprenaient des informations fiscales et immobilières, tandis que le ministère a déclaré que les comptes en ligne des utilisateurs, les identifiants de connexion et les mots de passe n’avaient pas été compromis.
Les autorités ont découvert l’incident après qu’une personne utilisant le nom ZeroBytes a revendiqué l’attaque et proposé à la vente une base de données volée le 12 août sur le forum de piratage PwnForums. Des investigations approfondies ont commencé à cette date afin de déterminer l’étendue de l’accès ainsi que les données consultées ou extraites.
Quelles données ont été affectées ?
Selon le ministère français des Finances, les données auxquelles il a été accédé comprenaient notamment le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Pour les entreprises, elles comprenaient le nom de l’entreprise et son numéro SIREN.
L’accès a également concerné des données cadastrales liées aux adresses et aux superficies des biens immobiliers. La Direction générale des finances publiques a informé la Commission nationale de l’informatique et des libertés (CNIL) de l’incident dès qu’il a été identifié, tandis que l’administration fiscale a fermé les points d’accès aux systèmes d’information sensibles et poursuivi l’évaluation de l’impact avec l’aide de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Allégations supplémentaires concernant le cadastre
ZeroBytes a également affirmé avoir réussi à accéder à la plateforme Serveur Professionnel de Données Cadastrales (SPDC), une plateforme gérée par l’administration fiscale française qui permet d’accéder au cadastre central et aux registres de propriété immobilière du pays.
L’attaquant a déclaré que la plateforme permettait d’accéder aux données d’environ 20 millions de citoyens français, mais qu’il n’avait, selon ses dires, pu extraire que 252 149 enregistrements concernant les données de plus de deux millions de personnes. Ces chiffres et ces allégations supplémentaires restent distincts du périmètre officiellement confirmé par le ministère des Finances, qui concerne 678 000 particuliers et professionnels.
Qu’est-ce que cela signifie pour les personnes concernées ?
Les données fiscales et immobilières peuvent révéler des informations sensibles sur la situation financière et familiale ainsi que sur la propriété, même en l’absence de fuite de mots de passe ou de données de connexion. Le ministère des Finances a donc indiqué qu’il contacterait toutes les personnes concernées à partir de la semaine suivant l’annonce, par courrier électronique ou par lettre, afin de les informer des données auxquelles il pourrait avoir été accédé ou qui pourraient avoir été volées, ainsi que des mesures de précaution nécessaires.
L’incident s’inscrit dans une série de piratages ayant touché des organismes publics français au cours des derniers mois. En janvier, la Commission nationale de l’informatique et des libertés a infligé une amende de 5 millions d’euros à l’agence nationale pour l’emploi France Travail après le vol d’informations personnelles concernant 43 millions de personnes. Le mois suivant, le ministère des Finances a annoncé une autre intrusion ayant affecté plus de 1,2 million de comptes utilisateurs, après le vol d’une base de données des systèmes du registre national des comptes bancaires FICOBA. France Titres a ensuite annoncé une intrusion liée à une base de données comprenant 19 millions d’enregistrements, qui aurait été volée à l’Agence nationale des titres sécurisés (ANTS).