« Piratage à Bercy : des milliers de feuilles d’impôts trafiquées. » C’est la une du « Canard Enchaîné » à paraître mercredi 21 août 2019 qui révèle cette cyberattaque inédite. Selon le journal satirique, les pirates se sont connectés fin juin à environ 2 000 comptes fiscaux de contribuables pour modifier leur déclaration d’impôts. Le plus souvent, les hackers ont ajouté des crédits et réductions d’impôts à la déclaration de leurs victimes, et remplacé leurs coordonnées bancaires par d’autres, entièrement fictives. Mais ces intrusions ont été rapidement bloquées et n’ont pas eu de conséquences, a déclaré mardi 20 août la Direction générale des finances publiques (DGFiP).
DEMAIN DANS LE CANARD
Docs sur un piratage à Bercy : des milliers de feuilles d'impôts trafiquées— Le Canard enchaîné (@canardenchaine) August 20, 2019
« Chez nous il n’y a rien à voler »
Il ne s’agissait pas d’une volonté de se faire de l’argent car « chez nous il n’y a rien à voler », a expliqué à l’AFP un fonctionnaire de la DGFiP.
En fait, la direction des impôts est une « victime collatérale » du piratage de boîtes mail mal protégées par des mots de passe trop simples, et dont les hackers avaient pris le contrôle, selon cette source. Si un contribuable a perdu son identifiant fiscal à 13 chiffres, il peut se le faire renvoyer par mail, ce qui permet l’intrusion.
Dans un communiqué, la DGFiP indique qu’elle avait constaté « une vague inhabituelle de renouvellement de mots de passe de plusieurs espaces particuliers sur impots.gouv.fr ».
2 000 sur 31 millions de comptes, une goutte d’eau
Comme le piratage n’a concerné qu’environ 2 000 des quelques 31 millions de comptes fiscaux en ligne (soit moins d’1%), les agents du fisc ont pu rapidement bloquer les comptes affectés avant d’appeler en une seule journée les victimes par téléphone et de réinitialiser leur compte après s’être assurés qu’elles avaient repris le contrôle de leur boîte mail. Pour ceux qu’ils n’ont pu avoir au téléphone, un courrier postal leur a été adressé.
Pour prévenir la répétition de ce type d’incidents, la DGFiP, qui a informé les fournisseurs de boîtes mail et a porté plainte, appelle les contribuables à bien sécuriser leur service de courrier électronique.
Le fisc va également renforcer dès la fin août l’accès à son site: les contribuables devront donner leur date de naissance pour pouvoir accéder à leur espace personnel. Un listing de bonnes pratiques est disponible sur impots.gouv.fr
À plus long terme, des sécurisations supplémentaires sont envisagées telles « l’envoi d’un code par SMS ou l’application d’un système biométrique comme le suggère l’UE », toujours selon le bulletin officiel. Plus généralement, la DGFiP met également en garde contre « les tentatives de fraude à la carte bancaire via la promesse d’un remboursement d’impôts par courriel » ou des appels invitant à rappeler un numéro surtaxé facturé 5 euros la minute, soi-disant pour éviter une sanction.
Source : Ministère de l’Économie et des Finances [PDF]
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
