Aucun mot de passe n'a été volé dans cette fuite - et ce n'est pas le signe rassurant qu'on croit
Le ministère des Finances français a confirmé que quelqu'un s'est introduit dans les systèmes de la DGFiP, son administration fiscale, et a extrait des données appartenant à 678 000 particuliers et entreprises. Aucune faille technique sophistiquée n'était en jeu. L'intrus a utilisé les identifiants d'un agent des impôts et d'un prestataire extérieur, s'est connecté au VPN de l'administration, et a lancé des requêtes via un outil de recherche interne. C'était fin juin, le 26. L'intrusion a été détectée et stoppée sur le moment, et est restée hors du regard public jusqu'à ce qu'un vendeur utilisant le pseudonyme "ZeroBytes" mette la base de données en vente sur un forum de piratage le 12 août.
Le ministère est clair sur le fait que les identifiants, mots de passe et comptes en ligne n'ont pas été compromis. Regardez maintenant ce qui l'a été : noms, dates de naissance, adresses, numéros de téléphone, situation familiale, revenu fiscal de référence et taux de prélèvement à la source, ainsi que les noms d'entreprises et les données cadastrales incluant adresses et superficies des parcelles. Le vendeur revendique en outre 252 149 autres fiches cadastrales couvrant plus de deux millions de personnes, ce que le ministère n'a pas confirmé.
Pour un escroc, cette liste vaut nettement plus qu'un mot de passe. Quelqu'un qui connaît déjà votre adresse, votre situation familiale et votre revenu imposable réel n'a pas besoin de se donner du mal pour paraître légitime. Et le calendrier rend la chose encore plus aiguë : le ministère annonce qu'il commencera à contacter les personnes concernées la semaine prochaine, par e-mail ou courrier. Quiconque suit l'actualité dispose désormais à la fois d'un script tout prêt et d'une raison plausible de vous envoyer un lien.
Ce qui donne une règle simple pour les prochaines semaines. Si un message concernant votre dossier fiscal arrive, ignorez son lien et ignorez son numéro de téléphone, aussi officiel que paraisse l'en-tête. Ouvrez votre navigateur, tapez vous-même l'adresse de l'administration fiscale, et connectez-vous comme vous le faites toujours. Les vrais remboursements ne comportent jamais de frais, et les vrais services fiscaux ne collectent pas de numéros de carte par téléphone.
Le contrôle Confidentialité et comptes de Tendvane montre lesquelles de vos adresses e-mail ont déjà été retrouvées dans des fuites connues, ce qui donne une idée utile de la part de vous déjà en circulation avant l'arrivée de l'e-mail convaincant.