Après plusieurs jours de révélations sur le piratage du fisc, le gouvernement a tenu aujourd’hui une conférence de presse pour préciser l’ampleur des fuites de données et présenter ses premières mesures. L’administration fiscale reconnaît désormais plusieurs intrusions ayant touché des centaines de milliers de particuliers et de professionnels.
Lors de cette conférence, le ministre de l’action et des comptes publics David Amiel a notamment présenté ses excuses. L’administration fiscale a reconnu qu’il n’y avait pas eu une, mais plusieurs fuites de données. Des informations fiscales et cadastrales ont été récupérées par les pirates, tandis qu’une troisième fuite concernant les successions a également été découverte. Les autorités assurent cependant que les mots de passe et les espaces personnels des contribuables n’ont pas été piratés.
Après Bloctel, les impôts : des centaines de milliers de données fiscales auraient été dérobées
Au total, au moins 678 000 particuliers et professionnels seraient concernés par ces différentes fuites. La première touche plus de 350 000 personnes et concerne notamment des informations liées aux échanges entre les contribuables et l’administration. La deuxième concerne les données cadastrales de plus de 433 000 particuliers et d’un peu plus de 1 000 professionnels.
La troisième fuite, découverte plus récemment, concerne quant à elle des données liées aux successions. La directrice générale des finances publiques a toutefois relativisé l’ampleur de cette dernière brèche, estimant qu’elle était bien moins importante que la première et qu’elle concernait des données beaucoup moins sensibles.
Les données récupérées sont particulièrement sensibles. Elles peuvent notamment contenir le numéro fiscal des personnes concernées, leur nombre de parts fiscales ou encore leur revenu fiscal de référence. À cela peuvent s’ajouter différentes informations personnelles, comme l’adresse postale, le numéro de téléphone, l’adresse e-mail ou encore des éléments sur la situation familiale. Des données qui pourraient notamment être utilisées pour rendre des tentatives de phishing ou d’usurpation d’identité beaucoup plus crédibles.
Le gouvernement tente maintenant de déterminer précisément les circonstances ayant permis ces vols de données et pourquoi leur exfiltration n’a pas été détectée plus tôt. Les premières intrusions ont reposé sur l’utilisation d’identifiants usurpés appartenant à un agent de la DGFiP et à un tiers habilité par l’administration. Les accès avaient été coupés en juin et juillet, mais l’administration affirme ne pas avoir identifié à l’époque que des données avaient été récupérées.
En attendant, les personnes touchées doivent être prévenues directement par l’administration, notamment afin de les mettre en garde contre les risques d’hameçonnage et d’usurpation d’identité. Le gouvernement a reconnu « certaines faiblesses » dans les systèmes informatiques de l’État et promet désormais de renforcer la sécurité des comptes des agents ainsi que leur formation face aux cyberattaques.
