C’est le genre de mail qui n’a rien de rassurant, surtout quand il vient de la DGFiP. Depuis lundi 17 août, plusieurs centaines de milliers de particuliers et de professionnels français ont pourtant reçu le même message. Comme le confirmait récemment l’administration fiscale, deux intrusions distinctes ont été repérées dans son système d’information entre fin juin et fin juillet, après l’usurpation des identifiants d’un agent et d’un tiers habilité. Un groupe pirate connu sous le pseudonyme ZeroBytes a revendiqué le vol de 678 438 lignes de données, avant qu’une conférence de presse du 18 août ne vienne préciser le bilan : environ 350 000 particuliers et 250 000 comptes professionnels sont concernés.
Attention au mail que vous recevez
Le message que reçoivent les victimes ne demande ni mot de passe, ni numéro de carte bancaire, ni clic sur un lien de connexion. Et c’est précisément ce qui doit vous alerter : n’importe quel message qui vous réclamerait ces informations en se faisant passer pour la DGFiP est un faux. La DGFiP l’a précisé dans sa communication tardive, les espaces personnels et professionnels accessibles sur impots.gouv.fr n’ont pas été compromis, pas plus que les identifiants ou les mots de passe qui y sont associés.
Parmi les informations dérobées figurent les noms et prénoms, les dates et lieux de naissance, les adresses postales, les numéros de téléphone, mais aussi des données fiscales comme le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source. Pour les comptes professionnels concernés, la fuite touche également certaines données cadastrales, dont l’identifiant foncier et la localisation des biens.
Concrètement, cette intrusion ne sera pas en mesure d’accéder directement à vos informations. Les pirates possèdent en revanche assez de matière pour monter une tentative de phishing sur-mesure particulièrement bien ficelée. Attention donc aux messages que vous recevrez dans les semaines à venir.
Le vrai risque est là
Le problème, c’est que la DGFiP aussi a envoyé un mail (cette fois officiel) à ses utilisateurs. Il fallait s’y attendre, des versions frauduleuses imitant ce message légitime circulent déjà. Les pirates reprennent la mise en forme et le vocabulaire d’une communication gouvernementale pour pousser la victime vers un site miroir qui, lui, vous demandera identifiants et coordonnées bancaires.
S’il ne fallait retenir que deux règles, retenez celles-là : l’administration fiscale ne demande jamais d’identifiants, de mot de passe ou de numéro de carte bancaire par mail ou par SMS. Si un message, même parfaitement imité, contient un lien vers une page de connexion ou un formulaire de paiement, il s’agit d’une tentative d’escroquerie. Ensuite, en cas de doute, ou pour effectuer n’importe quelle démarche officielle, mieux vaut se rendre directement sur impots.gouv.fr en tapant l’adresse directement dans votre barre de navigation, plutôt que de cliquer sur un lien que vous avez reçu.
Attention, si vous n’avez pas reçu de mail, cela ne signifie pas que vous êtes hors de danger pour autant. La vigilance reste de mise pour tout le monde. Sur le plan légal, la CNIL a été notifiée comme l’exige le règlement général sur la protection des données, et une plainte a été déposée. Mais entre l’intrusion initiale fin juin et la confirmation publique du 14 août, près de sept semaines se sont écoulées, un délai que plusieurs spécialistes en cybersécurité jugent difficilement compatible avec l’obligation de notification rapide prévue par le RGPD.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
