Ils ont vendu vos données fiscales pour quelques milliers d'euros
Ils disent avoir empoché quelques milliers d'euros. En face, l'État français découvre que ses fichiers fiscaux valaient si peu.
Deux hommes, un canal Telegram, et 678.000 contribuables exposés.
Une vente revendiquée, une somme dérisoire
Lundi, pendant que le gouvernement réunissait ses ministres en urgence, les pirates parlaient à l'AFP. Tranquillement.
ZeroBytes affirme avoir déjà vendu les données dérobées au fisc. Deux acheteurs, disent-ils. Une somme qui se compte en milliers d'euros. Rien de plus sur l'identité des clients : le groupe refuse d'en dire davantage.
Et il ajoute cette phrase qui devrait glacer Bercy : « Les données sont toujours en vente ». Rien n'empêche en effet de copier une même base et de la céder à plusieurs repreneurs. Une fois sortie du système, elle circule.
Ces déclarations sont invérifiables en l'état. Il faut le dire clairement, et se garder de toute surenchère. Mais elles émanent d'un groupe qui a déjà revendiqué, preuves à l'appui, plusieurs intrusions en France.
Le duo se présente comme français. L'AFP a échangé avec lui sur Telegram, à partir de coordonnées publiées sur un forum du dark web spécialisé dans la revente de données volées. Un marché structuré, permanent, où l'offre française ne manque jamais.
Interrogés sur leurs motivations, ils n'ont pas cherché la posture militante. Pas de discours, pas de cause. « L'argent, j'imagine ». Voilà tout.
Le patrimoine fiscal de centaines de milliers de Français, bradé par désœuvrement.
678.000 usagers, et des fichiers d'une précision redoutable
Le 14 août, la Direction générale des finances publiques a confirmé l'essentiel.
Deux intrusions : une fin juin, une seconde fin juillet. Un mois d'écart. La première n'a donc pas suffi à verrouiller la seconde.
Le bilan officiel fait état du vol de données concernant au moins 678.000 particuliers et professionnels, auxquels s'ajoutent environ 200.000 comptes présents dans les fichiers cadastraux.
Ce qui a été emporté n'est pas anodin. Noms et prénoms. Revenu fiscal de référence. Quotient familial. Taux de prélèvement à la source.
Autrement dit : de quoi savoir combien vous gagnez, si vous avez des enfants, et à quel point vous êtes solvable.
C'est précisément cette granularité qui inquiète. Un escroc qui connaît votre revenu fiscal de référence n'a plus besoin de tâtonner. Il ajuste son approche, choisit sa cible, calibre son montant. L'arnaque au faux conseiller devient une opération de précision.
Le mécanisme est connu de tous les spécialistes. Dans l'économie cybercriminelle, celui qui pénètre un système n'est presque jamais celui qui exploite les informations. Les bases volées sont revendues à des professionnels de la fraude, qui les industrialisent.
La DGFiP a prévu de contacter individuellement les 678.000 usagers concernés à partir de lundi, pour les mettre en garde contre d'éventuelles escroqueries ciblées.
Une mesure nécessaire. Tardive, mais nécessaire.
« Faciles à pirater » : le camouflet
Ce n'est pas un coup d'essai.
Avant de s'attaquer au fisc, ZeroBytes avait déjà revendiqué sur les forums du dark web des intrusions visant les supermarchés Intermarché et la Fédération française de handball. Cet été, le groupe a également affirmé avoir dérobé des données à un grand opérateur téléphonique français et à un groupe hôtelier deux attaques que les entreprises concernées n'ont pas confirmées.
Reste une constante. Sur ces plateformes de revente, les organisations françaises reviennent avec une régularité pénible.
Et lorsqu'on demande à ZeroBytes pourquoi la France, la réponse tient en trois mots : « faciles à pirater ».
Trois mots.
On peut évidemment n'y voir que la forfanterie de deux délinquants qui se rêvent redoutables. Ce serait confortable. Ce serait aussi une faute.
Car la France n'est pas victime d'une fatalité technologique. Elle est victime d'un retard accumulé, d'arbitrages budgétaires qui ont longtemps traité la cybersécurité comme une ligne accessoire, et d'une administration qui a numérisé à marche forcée sans blinder ses accès à la même vitesse.
La déclaration en ligne a été rendue quasi obligatoire. Le prélèvement à la source a centralisé des données d'une sensibilité extrême. L'État a demandé aux Français une confiance totale dans ses systèmes.
Cette confiance impliquait une contrepartie : la protection. Elle n'a pas été au rendez-vous.
Le parquet de Paris a ouvert une enquête, notamment pour « extraction frauduleuse de données » et « association de malfaiteurs ». Le Premier ministre Sébastien Lecornu a convoqué une réunion de crise interministérielle.
C'est la réponse minimale. Elle est légitime. Elle ne suffira pas.
Ce que les Français attendent maintenant, ce n'est pas un communiqué de compassion. C'est un audit sans complaisance des systèmes de la DGFiP, une chaîne de responsabilité clairement établie, et des moyens judiciaires réellement dimensionnés pour aller chercher ceux qui pillent nos administrations y compris lorsqu'ils opèrent depuis le territoire national.
Deux individus revendiquent avoir monnayé la vie fiscale de centaines de milliers de contribuables pour quelques milliers d'euros.
Le préjudice, lui, se comptera autrement.
(Crédit photo : Quentin de Groeve / Hans Lucas / Hans Lucas via AFP)
