Près de 700.000 contribuables sont concernés par le piratage du fisc. Mais comment savoir si vos données font partie de celles qui ont été volées en évitant surtout les arnaques qui pourraient en profiter ? Europe 1 fait le point.
Attention à vos données. Près de 700.000 contribuables sont concernés par le piratage de la Direction générale des Finances publiques (DGFiP). Faites-vous partie du lot ? Sachez qu'à partir de ce lundi 17 août, les personnes touchées doivent être contactées individuellement. Mais attention, cette fuite de données est aussi une aubaine pour les escrocs, qui pourraient profiter de l’inquiétude des contribuables pour lancer de fausses alertes et récupérer leurs données bancaires.
Après avoir confirmé le 14 août des accès illégitimes à son système d’information, la DGFiP a établi que les données de 678.000 particuliers et professionnels avaient été consultées et extraites. Les espaces personnels sur impots.gouv.fr, ainsi que les identifiants et mots de passe, n’ont toutefois pas été compromis selon Bercy.
La question que se posent désormais des centaines de milliers de Français est simple : comment savoir si l’on fait partie des victimes ? La seule façon de le savoir avec certitude est d'attendre le message du fisc. Pour le moment, il n’existe pas de démarche permettant à chaque contribuable de vérifier lui-même s’il figure dans la liste des personnes concernées.
La DGFiP a annoncé qu’elle contactera directement chaque particulier et professionnel touché, à compter de la semaine du 17 août. Cette notification doit être envoyée par courriel ou par courrier et précisera les informations susceptibles d’avoir été consultées ou extraites ainsi que, si nécessaire, les mesures de vigilance à adopter.
Autrement dit, ne pas recevoir de notification ne signifie pas que vous devez effectuer une quelconque démarche particulière. Il faut surtout attendre une communication officielle de l’administration.
Les données potentiellement concernées sont notamment, pour les particuliers, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.
Des cybercriminels souvent très jeunes
Attention aux faux mails du fisc qui pourraient arriver au même moment. C’est précisément là que se trouve l’un des principaux dangers. Alors que les contribuables savent désormais qu’ils peuvent recevoir un message des impôts, les escrocs peuvent profiter de cette actualité pour se faire passer pour la DGFiP en envoyant de faux mails.
Le scénario est classique : le message invite à cliquer sur un lien pour consulter les données volées, sécuriser son compte, confirmer son identité ou encore vérifier ses coordonnées bancaires.
Or, Cybermalveillance.gouv.fr rappelle que les campagnes d’hameçonnage utilisant l’identité des impôts sont fréquentes et peuvent prendre la forme de faux remboursements, de demandes de mise à jour du dossier fiscal ou de prétendus impayés. La prudence est donc de mise, même si le message reçu semble parfaitement cohérent avec le piratage actuellement révélé.
Invité de Jacques Serais dans la matinale d’Europe 1 ce lundi, Clément Domingo, alias SaxX, expert en cybersécurité, explique être entré en contact avec les pirates à l’origine de l’attaque contre la Direction générale des finances publiques (DGFiP). Selon lui, "ils sont deux dans ce collectif" et l’attaque "n’était pas du tout planifiée". Les hackers seraient "tombés par hasard sur des identifiants" avant de décider de s’en prendre à la DGFiP.
Clément Domingo alerte également sur le profil des cybercriminels, souvent très jeunes : "à chaque fois, on a plus ou moins le même type de profil, soit des ados, 13, 14, 15, 16, 17 ans", capables malgré "des moyens très limités" de cibler des institutions parmi les plus sensibles du pays. Pour l’expert, cette affaire doit surtout servir d’avertissement : "Imaginez un peu si un pays hostile à la France mettait toutes ses forces pour nous pirater. Là, ce serait une catastrophe nationale".
Comment vérifier qu'un message vient réellement des impôts ?
Premier réflexe : ne cliquez pas directement sur le lien contenu dans le mail ou le SMS. Pour vérifier une information concernant votre situation fiscale, rendez-vous vous-même sur le site officiel des impôts ou dans votre espace personnel, sans utiliser le lien reçu dans le message. Cybermalveillance.gouv.fr recommande également de contacter directement son centre des finances publiques en cas de doute.
Il faut également se méfier d'un message qui vous demande vos coordonnées bancaires, votre numéro de carte bancaire, votre mot de passe, votre numéro fiscal, une copie de votre pièce d'identité, de cliquer rapidement sur un lien pour "sécuriser" votre compte ou d'effectuer immédiatement un paiement.
L'apparence du message ne suffit pas à prouver son authenticité. Les escrocs peuvent reproduire les logos, les couleurs et la présentation des services publics, et même afficher un nom d'expéditeur trompeur.
Avec un nom, une adresse, un numéro de téléphone et des informations fiscales, un escroc peut construire un message personnalisé et donner l'impression de connaître votre situation.
Plus les fraudeurs disposent d'informations personnelles, plus ils peuvent perfectionner leurs techniques d'hameçonnage. Cybermalveillance.gouv.fr souligne d'ailleurs que les violations de données alimentent les campagnes de phishing en fournissant aux escrocs des informations personnelles plus riches et plus récentes.
Que faire si vous pensez être concerné ?
Pour l'heure, le principal réflexe est de ne pas chercher à confirmer votre situation en répondant à un mail ou à un SMS reçu. Attendez la notification officielle annoncée par la DGFiP. Si vous recevez un message, vérifiez l'information directement depuis votre espace fiscal, en ouvrant vous-même le site officiel.
Et si vous avez déjà cliqué sur un lien suspect ou communiqué des informations sensibles, réagissez rapidement : conservez le message, changez les mots de passe éventuellement communiqués et, en cas de données bancaires transmises ou d'opérations suspectes, contactez immédiatement votre banque. Les messages frauduleux peuvent également être signalés aux dispositifs prévus à cet effet, notamment Signal Spam pour les courriels et le 33700 pour les SMS.
Par ailleurs, une cellule interministérielle de crise sur le piratage informatique à grande échelle est convoquée ce lundi après-midi par le Premier ministre Sébastien Lecornu qu’il présidera en visioconférence sécurisée.
