Les premières victimes doivent être prévenues à partir de ce lundi. Environ 678 000 particuliers et professionnels sont concernés par le vol de données qui a touché la Direction générale des Finances publiques (DGFiP). Face à l’ampleur de l’affaire, Sébastien Lecornu doit également présider une cellule interministérielle de crise dans l’après-midi.
Parmi les informations dérobées figurent notamment les noms et prénoms, le quotient familial, le revenu fiscal de référence ou encore le taux de prélèvement à la source. Pour les professionnels, les données concernent notamment le numéro Siren et l’adresse de l’entreprise. La DGFiP assure toutefois que ces informations ne permettent pas d’accéder directement au compte sécurisé sur impots.gouv.fr.
Que deviennent les données une fois volées ?
L’attaque a été revendiquée par un cybercriminel utilisant le pseudonyme « ZeroBytes » sur un forum fréquenté pour la revente de données. Plusieurs médias et sites spécialisés indiquent que les fichiers ont été proposés à la vente. En revanche, aucune transaction ni aucun prix de vente n’ont été officiellement confirmés à ce stade.
La revente n’est qu’une possibilité. Les données peuvent aussi être conservées et surtout croisées avec celles provenant d’autres piratages. Plus les informations réunies sur une même personne sont nombreuses, plus elles permettent de construire une escroquerie personnalisée et crédible. Cybermalveillance.gouv.fr rappelle que les données personnelles volées peuvent être utilisées directement par les pirates ou revendues à d’autres cybercriminels.
Le principal risque : des arnaques beaucoup plus crédibles
Un escroc qui connaît déjà votre nom, votre situation familiale ou certaines informations fiscales peut plus facilement se faire passer pour les impôts, une banque ou une autre administration.
La victime peut par exemple recevoir un appel ou un message contenant plusieurs informations exactes sur sa situation. L’objectif est alors d’obtenir ce que le pirate ne possède pas encore : un mot de passe, un numéro de carte bancaire, un code reçu par SMS ou une copie d’un document d’identité.
Les spécialistes alertent principalement sur les risques de phishing, d’escroquerie et d’usurpation d’identité.
Que faire si vous êtes concerné ?
L’administration doit contacter individuellement les victimes en précisant les données susceptibles d’avoir été exposées.
Il faut ensuite être particulièrement vigilant face aux appels, SMS et courriels reçus dans les prochaines semaines. Le fait qu’un interlocuteur connaisse des informations exactes sur vous ne prouve plus qu’il s’agit réellement de votre banque ou de l’administration fiscale.
Cybermalveillance.gouv.fr recommande de ne jamais communiquer de mot de passe, de code de validation ou de données bancaires à quelqu’un qui vous contacte spontanément. En cas de doute, mieux vaut raccrocher puis contacter soi-même l’organisme concerné à partir de ses coordonnées officielles. En cas d’utilisation frauduleuse de ses données, il est également conseillé de conserver les preuves et de déposer plainte.