La DGFiP a confirmé le piratage des données fiscales d’au moins 678 000 particuliers et professionnels. Un duo français, ZeroBytes, revendique l’attaque. Voilà ce que l’on sait
ZeroBytes, c’est qui ?
À ce stade, l’identité réelle des deux membres n’est pas publique.
Selon les échanges rapportés par TF1/AFP et l’expert en cybersécurité Clément Domingo (@Saxx), l’un d’eux serait sans emploi et aurait récemment postulé dans une entreprise pour travailler dans l’informatique mais ça n’a pas marché.
Leur motivation ?
L’argent. Pas de revendication politique ou idéologique affichée.
Ils affirment avoir déjà vendu les données
ZeroBytes assure avoir vendu la base à deux personnes, pour une somme totale se chiffrant en milliers d’euros.
Et surtout : la base serait toujours proposée à la vente.
Une donnée volée peut évidemment être copiée à l’infini : le même fichier peut donc être revendu plusieurs fois.
Que contiendrait cette base ?
Selon les affirmations de ZeroBytes, elle comprendrait notamment :
• 26 805 personnes déclarant plus de 100 000 € de revenu fiscal de référence
• 386 personnes dépassant 1 million €
• 8 personnes dépassant 10 millions €
⚠️ Ces chiffres détaillés sont des revendications des pirates et doivent être distingués des éléments officiellement confirmés par l’administration.
Ce n’est pas leur première revendication
ZeroBytes avait déjà revendiqué des attaques contre :
→ Intermarché
→ la Fédération française de handball
Le duo a également affirmé avoir compromis pendant l’été un grand opérateur télécom français et un groupe hôtelier.
Certaines de ces revendications n’ont toutefois pas été confirmées par les entreprises concernées.
Comment auraient-ils pénétré dans le fisc ?
ZeroBytes affirme avoir récupéré un accès à un VPN utilisé par des agents de la DGFiP.
Cet accès leur aurait permis d’extraire près de 680 000 lignes de données avant que la connexion soit coupée.
Une deuxième intrusion aurait ensuite visé fin juillet le Serveur professionnel de données cadastrales (SPDC), donnant accès à des informations liées aux propriétés immobilières.
La DGFiP évoque de son côté une attaque plus sophistiquée que les précédentes.
Pourquoi cibler la France ?
La réponse attribuée à ZeroBytes est particulièrement intéressante.
Selon eux, les organisations françaises seraient régulièrement ciblées parce qu’elles seraient « faciles à pirater ».
Une affirmation de cybercriminels, évidemment, mais qui pose une vraie question sur la sécurité des accès, des comptes compromis et des systèmes exposés.
Le risque ne s’arrête pas au vol de données
Une base fiscale peut devenir extrêmement intéressante pour construire des attaques de phishing et d’ingénierie sociale ultra-ciblées.
Plus un escroc connaît sa victime, plus son scénario peut paraître crédible.
Les 678 000 usagers concernés doivent donc être particulièrement vigilants face aux mails, SMS et appels prétendant provenir des impôts, d’une banque ou d’une administration.
Une enquête est ouverte
Le parquet de Paris enquête notamment pour :
→ extraction frauduleuse de données
→ association de malfaiteurs
Les auteurs encourraient jusqu’à 7 ans de prison pour l’extraction frauduleuse de données, selon TF1.
ZeroBytes semble donc illustrer une évolution importante de la cybercriminalité : pas forcément besoin d’un groupe international disposant d’une infrastructure gigantesque.
Deux individus, un accès compromis et une motivation financière peuvent potentiellement provoquer une fuite touchant plusieurs centaines de milliers de personnes.
Et dans ce type d’affaire, le piratage initial n’est parfois que le début.
Le véritable danger commence lorsque les données se retrouvent vendues, copiées, recoupées et exploitées par d’autres cybercriminels.
Yann, 35 ans, passionné par les enjeux de société et de politique, porte un regard libre et attentif sur le monde qui l’entoure. Installé à Strasbourg, ville qu’il affectionne tout particulièrement, il décrypte l’actualité avec curiosité, rigueur et une volonté constante de comprendre et faire comprendre les dynamiques à l’œuvre dans notre époque