Une brèche DGFiP a été révélée par la Direction générale des Finances publiques (DGFiP), avec un impact estimé à environ 680 000 personnes. L’incident a été mis au jour après qu’un acteur malveillant ait revendiqué l’accès à des systèmes internes sur un forum de piratage.
Selon l’administration fiscale, l’intrusion a eu lieu entre juin et juillet. Après la détection, l’accès non autorisé a été interrompu rapidement. Cependant, les éléments publics disponibles indiquent que l’exfiltration n’avait pas été prouvée à ce stade.
Comment la brèche DGFiP a été découverte
D’après la DGFiP, l’attaque a été rendue possible grâce à des identifiants compromis utilisés pour accéder aux systèmes. L’accès aurait concerné à la fois un compte lié à un employé et un compte tiers.
Une semaine avant la confirmation officielle, la DGFiP a établi que les attaquants ont pu extraire des informations concernant 678 000 utilisateurs (chiffre évoqué par l’agence). L’autorité précise également que l’incident a été signalé immédiatement à la CNIL, l’autorité française de protection des données.
Dans le même temps, l’administration indique qu’aucune autre information sensible, notamment des noms d’utilisateurs et mots de passe, n’aurait été compromise lors de cette attaque.
Quelles données ont été exposées ?
La DGFiP détaille la nature des informations concernées par la brèche DGFiP. Les données compromises incluent notamment :
- le revenu fiscal de référence ;
- le taux de prélèvement à la source ;
- les noms d’entreprise et des identifiants uniques ;
- des informations relatives à des biens immobiliers : données cadastrales (surfaces et adresses).
Autrement dit, l’incident n’aurait pas seulement touché des informations purement administratives, mais aussi des éléments liés à des dossiers immobiliers, tels que les données cadastrales associées à des adresses et superficies.
Quand l’accès a eu lieu et que s’est-il passé après détection
La DGFiP explique que l’accès aux systèmes a été observé sur une période allant de juin à juillet. Dès que l’intrusion a été détectée, l’accès non autorisé a été interrompu.
Toutefois, les informations rendues publiques indiquent que la preuve d’une exfiltration n’avait pas été établie au moment où l’événement a été initialement constaté. Ce n’est que plus tard, lors d’investigations complémentaires, que la DGFiP a confirmé le vol de données pour le nombre d’utilisateurs mentionné.
La CNIL et la prise en charge des personnes concernées
La DGFiP a indiqué avoir rapporté l’incident sans délai à la CNIL. L’autorité affirme également poursuivre ses travaux pour déterminer plus précisément :
- la nature de l’incident ;
- l’ampleur réelle de la compromission ;
- le nombre exact de personnes potentiellement touchées.
Concernant la communication aux personnes concernées, la DGFiP annonce qu’elle contactera directement chaque individu dont les informations seraient affectées. Cette approche vise à fournir des informations concrètes et à permettre aux personnes concernées d’évaluer les impacts possibles sur leur situation.
Contexte : une vague d’incidents touchant des administrations
La révélation de cette brèche DGFiP intervient environ un mois après une attaque ayant frappé un autre organisme public en Europe. En Roumanie, la National Agency for Cadastre and Property Registration (ANCPI) a été victime d’une cyberattaque jugée perturbatrice.
D’après les informations relayées dans le même contexte, l’ANCPI aurait été ciblée par un acteur connu sous le nom de ByteToBreach. L’incident aurait inclus le vol d’informations, avec l’usage de comptes et de documents internes, ainsi qu’une tentative de chantage. Lorsque la demande aurait échoué, l’attaquant aurait effacé des données chiffrées, entraînant des perturbations sur des applications et services, jusqu’à impacter le fonctionnement lié au secteur immobilier.
Dans ce cas roumain, la base centrale du système cadastral n’aurait pas été affectée ; l’agence aurait néanmoins dû reconstruire ses serveurs et restaurer les services touchés pendant plusieurs semaines.
Ce que révèle la brèche DGFiP sur les risques actuels
Au-delà du volume de données, la brèche DGFiP illustre plusieurs tendances fréquentes dans les attaques récentes contre les organisations publiques :
- l’exploitation d’identifiants compromis pour obtenir un accès initial ;
- la difficulté, au tout début, à établir immédiatement si des données ont réellement été exfiltrées ;
- l’importance de la détection rapide, qui peut limiter la durée de l’accès non autorisé ;
- le rôle des enquêtes approfondies pour confirmer l’étendue exacte des données concernées.
Dans ce dossier, la DGFiP affirme que l’accès a été suspendu après détection et que la CNIL a été avertie. Mais la confirmation ultérieure du vol de données montre aussi que le travail d’analyse se poursuit après l’incident initial.
Quels impacts pour les personnes concernées ?
Les informations mentionnées par la DGFiP — revenu fiscal de référence, taux de prélèvement, identifiants uniques, données cadastrales (adresse et surface) — peuvent intéresser des fraudeurs à plusieurs niveaux. Même sans mots de passe, la disponibilité d’éléments administratifs et d’informations liées au patrimoine immobilier peut faciliter des tentatives d’usurpation, de phishing plus crédible ou d’autres formes d’escroquerie.
La DGFiP indique par ailleurs qu’elle prendra contact directement avec les personnes concernées. Cette démarche est essentielle pour préciser les faits, rappeler les risques et orienter les utilisateurs vers les bonnes pratiques en matière de sécurité.
Conclusion
La brèche DGFiP frappe environ 680 000 personnes, après un accès non autorisé aux systèmes de la DGFiP rendu possible par des identifiants compromis. Les données exposées incluent des informations fiscales et des éléments cadastraux, tandis que la DGFiP précise qu’aucun nom d’utilisateur ni mot de passe n’aurait été compromis dans l’attaque.
La DGFiP poursuit ses investigations afin de préciser l’étendue exacte de l’incident, et l’autorité annonce contacter directement chaque individu potentiellement concerné. Dans un contexte européen marqué par plusieurs cyberattaques contre des services publics, cet événement rappelle l’importance de la vigilance et de la protection des accès.
Source: https://www.securityweek.com/680000-impacted-by-french-tax-authority-data-breach/
