Le piratage confirmé par la Direction générale des finances publiques (DGFiP) ne se limite pas à une fuite de données administratives. Les informations dérobées peuvent permettre à des escrocs de construire des messages très crédibles au nom des services fiscaux. Au moins 678 000 particuliers et professionnels sont concernés par le premier vol, tandis qu’une seconde intrusion a touché environ 200 000 comptes présents dans les fichiers cadastraux.
La DGFiP a confirmé le 14 août deux accès illégitimes, survenus respectivement fin juin et fin juillet. Les premières informations disponibles ont été détaillées par France 24 dans son point sur les données dérobées. Le groupe utilisant le pseudonyme ZeroBytes affirme ensuite avoir vendu les fichiers, mais cette déclaration reste invérifiable.
Deux intrusions, deux ensembles de données concernés
La première attaque, menée à la fin du mois de juin, a visé le portail impots.gouv.fr et a permis l’accès aux données fiscales d’au moins 678 000 usagers. Ce volume concerne des particuliers et des professionnels, avec une part légèrement supérieure de professionnels selon la DGFiP. Pour les personnes physiques, les informations susceptibles d’avoir été consultées comprennent notamment les noms, les prénoms, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source.
Ces éléments ne constituent pas, à eux seuls, des moyens de paiement. Ils donnent toutefois des indications précises sur la situation fiscale d’une personne. C’est cette précision qui augmente le risque d’une fraude personnalisée, avec un interlocuteur capable de reprendre des informations réelles pour donner une apparence officielle à son message.
La seconde intrusion, survenue à la fin du mois de juillet, a concerné le Serveur professionnel de données cadastrales. La DGFiP évoque environ 200 000 comptes présents dans ses fichiers cadastraux, tout en indiquant que des vérifications complémentaires étaient encore nécessaires. Les données cadastrales peuvent associer l’identité et l’adresse de titulaires de droits sur des parcelles. Elles ne présentent pas exactement la même sensibilité que les informations fiscales, la DGFiP rappelant que l’accès à des données cadastrales détaillées est déjà possible sous certaines conditions.
La vente annoncée par ZeroBytes n’est pas établie
Les deux attaques ont été revendiquées sur un forum du dark web par ZeroBytes. Le groupe affirme avoir vendu les fichiers à deux personnes pour une somme se chiffrant en milliers d’euros. Il ne donne pas l’identité de ces acheteurs et aucune source indépendante ne permet de confirmer la transaction. Sciences et Avenir rapporte également que cette vente alléguée demeure invérifiable.
ZeroBytes affirme par ailleurs que les données restent en vente et qu’une même base peut être copiée puis cédée à plusieurs clients. Cette possibilité est présentée par les pirates eux-mêmes, elle ne permet donc pas de mesurer le nombre réel de personnes ayant obtenu les fichiers. L’affirmation selon laquelle les données auraient déjà été exploitées ne doit pas être confondue avec un fait établi.
Le principal danger identifié pour les victimes est l’hameçonnage. Des fraudeurs peuvent utiliser un nom, un revenu fiscal de référence ou un taux de prélèvement à la source pour envoyer un courriel ou un message qui semble correspondre à une démarche réelle. L’objectif peut être de pousser le destinataire à transmettre d’autres informations ou à verser de l’argent. La précision des données volées rend ce type de manipulation plus difficile à repérer qu’un message frauduleux entièrement générique.
Ce que les usagers doivent surveiller
Les 678 000 usagers concernés devaient commencer à être contactés individuellement à partir du lundi 17 août afin d’être avertis de possibles escroqueries ciblées. Les extraits disponibles ne permettent pas d’affirmer que chaque personne concernée a déjà reçu une notification. L’absence de message ne suffit donc pas à établir qu’un compte n’est pas touché, pas plus que la réception d’un courriel présenté comme provenant du fisc ne garantit son authenticité.
- Un message qui reprend des données fiscales réelles peut néanmoins être frauduleux.
- Une demande d’argent ou d’informations supplémentaires doit être considérée avec prudence lorsqu’elle s’appuie sur l’incident.
- La vente annoncée par ZeroBytes ne permet pas de connaître l’identité des éventuels acheteurs ni le nombre de copies en circulation.
Pour le lecteur, la conséquence la plus concrète est donc une vigilance accrue face aux communications prétendant régulariser une situation fiscale, modifier un prélèvement ou demander une action urgente. Les données cadastrales et fiscales ne produisent pas automatiquement une fraude, mais leur association à un message usurpant les services fiscaux peut fournir aux escrocs un scénario plus convaincant.
Cette affaire rappelle l’importance du suivi des incidents touchant les administrations et les infrastructures numériques. Elle s’inscrit dans les enjeux de sécurité numérique suivis par la rubrique Sciences, alors que la DGFiP doit encore préciser l’étendue exacte des accès et informer les usagers exposés.
