Le ministère de l'Action et des Comptes publics a confirmé jeudi 13 août qu'un « accès illégitime » au système d'information de la Direction générale des Finances publiques (DGFiP) avait eu lieu fin juin. L'intrusion, revendiquée la veille par un « acteur malveillant », aurait été rendue possible par une usurpation d'identité.
Cet accès frauduleux a permis « la consultation et l'extraction de données concernant des particuliers et des professionnels », selon Bercy. Il a été stoppé dès la fin juin, lors des contrôles habituels menés par les services de l'État. Le ministère n'a pas précisé quelles informations ont été consultées, ni combien de contribuables sont exactement touchés.
Le site spécialisé French Breaches, qui recense les cyberattaques en France, avance le chiffre de 678 437 personnes potentiellement concernées : 392 867 particuliers et près de 286 000 professionnels. Bercy reste pour sa part prudent sur l'ampleur réelle de l'incident, les investigations étant toujours en cours.
La DGFiP indique avoir renforcé les restrictions d'accès à son système d'information dès que la revendication a été connue. Ses équipes travaillent avec les services du ministère, le Haut fonctionnaire de défense et de sécurité et l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
Les contribuables dont les données auraient pu être extraites recevront un courrier individuel précisant les informations concernées et les mesures de vigilance recommandées. Conformément à la réglementation sur les violations de données personnelles, la DGFiP a annoncé qu'elle notifierait l'incident à la Commission nationale de l'informatique et des libertés (CNIL), déposerait plainte et communiquerait de nouveaux éléments au fur et à mesure de l'avancée des investigations.
6 commentaires
Moi j'ai rempli ma déclaration en ligne cette année pour la première fois, la voisine m'avait dit que c'était plus simple. Et maintenant j'apprends ça. Mon SIRET, mon chiffre d'affaires, mes charges, tout ce que j'ai rentré là-dedans, ça peut traîner on ne sait où. Les clients qui viennent manger chez moi ils me font confiance, moi j'avais fait confiance à l'État, lé bon merci.
Avant, mon plus gros risque c'était la météo et les vagues. Maintenant je loue des gîtes, j'ai un compte impôts en ligne, et apparemment quelqu'un a peut-être tout vu. Y'a des jours où je regrette le bateau.
On donne nos papiers, nos revenus, tout ce qu'on a de plus personnel à l'État, et voilà ce qui arrive. Les domoun vont recevoir un petit courrier et après quoi ? On leur dit juste de faire attention ? Ma foi, le monde numérique i fo vraiment qu'il fasse mieux que ça pour protéger les gens.
La CNIL va être notifiée, une plainte va être déposée, les courriers individuels vont partir... mais la vraie question lé pa fasil à esquiver : combien de temps entre la fin juin et aujourd'hui ? Presque deux mois sans information publique, ça pose un vrai problème sur le délai de notification aux personnes concernées. Le RGPD prévoit 72 heures pour notifier la CNIL, pas deux mois.
Sérieusement, 286 000 professionnels touchés, ça fait froid dans le dos quand on sait que nos données fiscal sont là-dedans. Pour celles qui font du e-commerce comme moi, nos bilans, notre CA, tout ça peut se retrouver exposé. Je vais surveiller de près le courrier que la DGFiP promet d'envoyer, et en attendant j'active la double authentification partout où c'est possible.
Ce qui me gêne dans cet article c'est qu'on répète les chiffres de French Breaches sans vraiment questionner leur méthodologie. Comment ils arrivent à 678 437 exactement ? Bercy lui-même dit que les investigations sont en cours. Et "usurpation d'identité" comme vecteur d'intrusion, c'est très vague, ça peut vouloir dire des dizaines de choses techniquement. On aurait aimé un peu plus de recul sur ces éléments.