O Ministério da Economia e das Finanças da França revelou uma invasão aos sistemas da Direção-Geral das Finanças Públicas (DGFiP), que resultou no acesso a dados relativos a 678 mil pessoas e profissionais. As investigações preliminares indicaram que os dados incluíam informações fiscais e imobiliárias, enquanto o ministério afirmou que as contas dos usuários na internet, os identificadores de acesso e as senhas não foram comprometidos.
As autoridades descobriram o incidente depois que uma pessoa usando o nome ZeroBytes assumiu a responsabilidade pelo ataque e ofereceu uma base de dados roubada para venda em 12 de agosto, no fórum de hackers PwnForums. As investigações aprofundadas começaram nessa data para determinar o alcance do acesso e os dados que foram consultados ou extraídos.
Quais dados foram afetados?
Segundo o Ministério das Finanças francês, os dados acessados incluíam informações como a renda tributável de referência, o quociente familiar e a taxa de retenção na fonte. No caso das empresas, os dados incluíam o nome da empresa e seu número SIREN.
O acesso também abrangeu dados cadastrais vinculados a endereços e áreas de imóveis. A Direção-Geral das Finanças Públicas notificou a autoridade francesa de proteção de dados (CNIL) sobre o incidente assim que ele foi identificado, enquanto a administração tributária bloqueou os pontos de acesso aos sistemas de informação sensíveis e continuou avaliando o impacto com a ajuda da Agência Nacional Francesa de Segurança dos Sistemas de Informação (ANSSI).
Alegações adicionais sobre o cadastro imobiliário
ZeroBytes também alegou ter conseguido acessar a plataforma Serveur Professionnel de Données Cadastrales (SPDC), administrada pela administração fiscal francesa e que oferece acesso ao cadastro imobiliário central e aos registros de propriedade de imóveis no país.
O atacante afirmou que a plataforma permitia o acesso a dados de cerca de 20 milhões de cidadãos franceses, mas que, segundo sua alegação, só conseguiu extrair 252.149 registros relacionados aos dados de mais de dois milhões de pessoas. Esses números e alegações adicionais permanecem separados do alcance oficialmente confirmado pelo Ministério das Finanças, que corresponde a 678 mil pessoas e profissionais.
O que isso significa para os afetados?
Os dados fiscais e imobiliários podem revelar detalhes sensíveis sobre a situação financeira e familiar e sobre a propriedade, mesmo sem o vazamento de senhas ou dados de login. Por isso, o Ministério das Finanças informou que entrará em contato com todos os afetados a partir da semana seguinte ao anúncio, por e-mail ou carta, para informá-los sobre os dados que podem ter sido acessados ou roubados e sobre as medidas de precaução necessárias.
O incidente ocorre em meio a uma série de ataques que atingiram órgãos governamentais franceses nos últimos meses. Em janeiro, a autoridade de proteção de dados aplicou uma multa de 5 milhões de euros à agência nacional de emprego France Travail, após o roubo de informações pessoais relativas a 43 milhões de pessoas. No mês seguinte, o Ministério das Finanças anunciou outro ataque que afetou mais de 1,2 milhão de contas de usuários, após o roubo de uma base de dados dos sistemas do registro nacional de contas bancárias FICOBA. Mais tarde, a agência France Titres também anunciou uma invasão relacionada a uma base de dados que continha 19 milhões de registros, supostamente roubada da Agência Nacional de Documentos Seguros (ANTS).