Nenhuma palavra-passe foi roubada nesta fuga de dados - e isso não é o alívio que parece
O ministério das Finanças francês confirmou que alguém entrou nos sistemas da DGFiP, a sua administração fiscal, e extraiu dados pertencentes a 678 mil pessoas e empresas. Não houve nenhuma exploração engenhosa envolvida. O intruso usou as credenciais de um funcionário de uma repartição de finanças e de um prestador externo, ligou-se à VPN da agência e executou pesquisas através de uma ferramenta de busca interna. Isso aconteceu no final de junho, no dia 26. Foi detetado e cortado na altura, e manteve-se fora do conhecimento público até um vendedor com o nome "ZeroBytes" ter colocado a base de dados à venda num fórum de piratas informáticos a 12 de agosto.
O ministério é claro ao afirmar que identificadores de utilizador, palavras-passe e contas online não foram comprometidos. Agora repare no que foi: nomes, datas de nascimento, moradas, números de telefone, situação familiar, rendimento coletável de referência e taxa de retenção na fonte, além de nomes de empresas e registos de propriedades, incluindo moradas e áreas de terrenos. O vendedor afirma ainda possuir mais 252 149 registos do cadastro predial, abrangendo mais de dois milhões de pessoas, algo que o ministério não confirmou.
Para um burlão, essa lista vale consideravelmente mais do que uma palavra-passe. Alguém que já conhece a sua morada, a sua situação familiar e o seu rendimento coletável real não precisa de se esforçar para parecer legítimo. E o calendário torna a situação ainda mais aguda: o ministério afirma que vai começar a contactar as pessoas afetadas na próxima semana, por email ou carta. Quem esteja agora a acompanhar as notícias tem à disposição um guião pronto a usar e um motivo plausível para lhe enviar um link.
O que lhe dá uma regra simples para as próximas semanas. Se surgir uma mensagem sobre o seu processo fiscal, ignore o link e ignore o número de telefone, por mais oficial que pareça o papel timbrado. Abra o navegador, escreva você mesmo o endereço da administração fiscal e inicie sessão como faz sempre. Reembolsos genuínos nunca implicam uma taxa, e repartições de finanças genuínas não recolhem números de cartão por telefone.
A verificação de Privacidade e contas do Tendvane mostra quais dos seus endereços de email já apareceram em fugas de dados conhecidas, o que dá uma ideia útil de quanto de si já anda a circular antes de chegar o email convincente.