Violation de la DGFiP française : les données fiscales de plus de 600 000 personnes pourraient être entre les mains d’un hacker

Accès non autorisé fin juin

Le ministère français de l’Économie a confirmé une compromission des systèmes d’information de la Direction générale des finances publiques (DGFiP), l’administration chargée de la gestion fiscale du pays.

L’accès non autorisé aurait eu lieu fin juin, après le vol ou l’utilisation abusive de l’identité numérique d’une autre personne. L’intrusion a été détectée et bloquée à la même période. Par la suite, la DGFiP a renforcé les restrictions afin d’empêcher tout nouvel accès illicite.

L’affaire a été rendue publique en début de semaine, lorsqu’un hacker a revendiqué l’opération. Le ministère de l’Économie a ensuite officiellement confirmé l’incident dans un communiqué diffusé jeudi soir.

L’attaque aurait permis de consulter et d’extraire des informations concernant des particuliers et des entreprises. Le nombre exact de personnes concernées, les données consultées et celles effectivement copiées depuis les systèmes de l’administration ne sont toutefois pas encore connus.

La revendication de ZeroBytes et les données potentiellement exposées

Selon FrenchBreaches, l’attaque a été revendiquée par un hacker utilisant le pseudonyme ZeroBytes. L’attaquant affirme avoir obtenu des informations concernant plus de 600 000 personnes.

Les données mentionnées dans cette revendication comprennent notamment :

• des noms ;
• d’autres informations personnelles ;
• des identifiants fiscaux ;
• des adresses e-mail ;
• la situation familiale ;
• des éléments relatifs au statut fiscal.

La revendication n’a pas été vérifiée de manière indépendante. L’authenticité et l’exhaustivité des données qui auraient été dérobées restent également à établir.

FrenchBreaches indique par ailleurs que l’attaquant aurait compromis des serveurs internes, obtenu la possibilité de se connecter au VPN de la DGFiP et utilisé un outil interne pour rechercher des informations sur des particuliers et des entreprises. Selon cette version des faits, l’exfiltration se serait poursuivie avant la révocation de l’accès.

La DGFiP n’a publiquement attribué l’opération à aucun groupe en particulier et n’a pas confirmé les déclarations de ZeroBytes. Les versions des systèmes concernés, le vecteur d’accès technique exact et le nom de l’éventuel outil interne utilisé n’ont pas non plus été communiqués.

Ce qui reste à déterminer

L’enquête devra établir si l’attaquant s’est contenté de consulter les données ou s’il les a également exportées à grande échelle. Cette distinction est importante : la simple exposition d’informations personnelles peut présenter des risques, mais une base de données copiée et réutilisable augmente la probabilité de campagnes ciblées.

Les données fiscales présentent un intérêt particulier pour les fraudeurs et les auteurs d’opérations d’ingénierie sociale. Un identifiant fiscal associé à un nom, une adresse e-mail et des informations familiales peut rendre plus crédibles de faux messages attribués à l’administration, à des banques ou à des conseillers.

Aucune évaluation officielle de la gravité de l’incident n’a pour l’instant été publiée. Le chiffre de plus de 600 000 personnes correspond aux déclarations de l’attaquant et non à un décompte confirmé par les autorités.

La DGFiP a indiqué qu’elle contacterait individuellement les personnes concernées. Les notifications devraient préciser les catégories de données potentiellement touchées ainsi que les précautions à prendre. L’administration a également annoncé un signalement auprès de la Commission nationale de l’informatique et des libertés (CNIL) et le dépôt d’une plainte pénale.

Que peuvent faire les personnes potentiellement concernées ?

Les personnes qui recevront une communication de la DGFiP doivent en vérifier attentivement l’authenticité et éviter d’utiliser les liens ou numéros de téléphone figurant dans des messages suspects. Les informations fiscales exposées peuvent servir à élaborer des e-mails très personnalisés, et pas uniquement à envoyer du spam générique.

Il est recommandé de :

• se méfier des demandes urgentes de paiement ou de documents fiscaux ;
• ne jamais communiquer de mots de passe, codes temporaires ou coordonnées bancaires par e-mail ou téléphone ;
• accéder aux services publics en saisissant manuellement l’adresse officielle ;
• vérifier plus attentivement les avis relatifs aux impôts, aux remboursements et aux démarches administratives ;
• modifier les mots de passe réutilisés sur plusieurs services ;
• activer l’authentification multifacteur lorsqu’elle est disponible ;
• conserver les communications reçues de la DGFiP afin de les comparer avec d’éventuels contacts ultérieurs.

On ignore si des données d’authentification ou des identifiants d’utilisateurs ont été exposés. Il n’est donc pas possible de déterminer, sur la base des informations disponibles, si tous les destinataires doivent changer de mot de passe ou prendre des mesures spécifiques. Les consignes personnalisées de l’administration seront déterminantes.

Les entreprises devraient informer les collaborateurs chargés des démarches fiscales et des paiements. Un attaquant disposant de données réelles peut tenter de modifier des coordonnées bancaires, de falsifier des demandes de remboursement ou de se faire passer pour un interlocuteur connu.

Un nouvel incident dans la série d’attaques visant les organismes publics français

La compromission de la DGFiP s’ajoute à une série d’incidents ayant touché des structures publiques françaises cette année.

En avril, des attaquants ont ciblé le site de l’Agence nationale des titres sécurisés (ANTS), l’organisme qui gère les démarches liées aux passeports, aux cartes d’identité, aux titres de séjour et aux permis de conduire. Le même mois, le ministère de l’Éducation nationale a signalé une attaque visant un système dédié à la gestion des comptes des élèves, avec exposition d’informations personnelles.

En février, une violation a touché une partie du Fichier national des comptes bancaires et assimilés (FICOBA), la base recensant les comptes bancaires détenus en France. L’incident a concerné des informations associées à environ 1,2 million de comptes, au sein d’un fichier contenant plus de 300 millions d’enregistrements.

En début d’année, la police a également arrêté un homme de 20 ans, soupçonné d’avoir mené des dizaines d’attaques contre des organismes gouvernementaux, des fédérations sportives et des entreprises privées. Aucun lien n’a été publiquement établi entre cette arrestation et la compromission de la DGFiP.

L’affaire actuelle illustre une nouvelle fois les risques liés aux comptes à privilèges et aux identités numériques compromises. Même en l’absence de vulnérabilité logicielle rendue publique, le vol ou l’utilisation abusive d’une identité peut ouvrir l’accès à des systèmes internes, à des VPN et à des outils de recherche contenant des informations hautement sensibles.