Ataki na DGFiP: „To zdarza się kilka razy w tygodniu”

DGFiP przyznaje się do "sophistykowanej" ataku

Wyciek danych dotyczących administracji i instytucji publicznych we Francji nie jest już incydentem jednostkowym. Teraz następują one w szybkim tempie, czasami kilka razy w ciągu kilku dni. Po France Travail, ANTS czy Bloctel, Dyrekcja Generalna Finansów Publicznych (DGFiP) również staje w obliczu serii włamań.

Dyrektor generalny Finansów Publicznych, Amélie Verdier, przyznała, że dostęp do systemu informacyjnego DGFiP był nielegalny.
„Przepraszamy wszystkich użytkowników, których to dotyczy” – powiedziała, odnosząc się do ataku „bardziej wyszukanego niż to, co widzieliśmy w przeszłości”. Napastnik nie przeprowadził „masowego zapytania”, które zazwyczaj jest łatwiejsze do wykrycia.

Włamania miały miejsce w czerwcu i lipcu i opierały się na podszywaniu się pod identyfikatory pracownika DGFiP oraz uprawnionej osoby trzeciej. W sumie dotyczy to 678 000 osób fizycznych i profesjonalnych. W przypadku osób fizycznych ujawnione informacje obejmują m.in. imiona i nazwiska, wskaźnik rodzinny, dochód podatkowy oraz stawkę poboru u źródła.

DGFiP zapewnia jednak, że strona impots.gouv.fr oraz osobiste konta podatników nie zostały naruszone.

Jednak w międzyczasie cyberprzestępca ogłosił inne włamanie, tym razem dotyczące danych katastralnych ponad 2 milionów francuskich właścicieli. Dotyczyłyby one imion, dat urodzenia i adresów.

„Państwo poważnie nas zagraża”

Dla Alexandre'a Stachtchenko, postaci francuskiego ekosystemu Bitcoin, problem wykracza daleko poza samą DGFiP.
Skarbówka. France Travail. Katastr. ANTS. Bloctel... Państwo poważnie nas zagraża. Dość.
Alexandre Stachtchenko, szef strategii i komunikacji w Bitstack.

W poście na LinkedIn przypomina, że ta nowa sprawa jest trzecim włamaniem do skarbówki w ciągu siedmiu miesięcy, po kompromitacji FICOBA w styczniu, która dotyczyła 1,2 miliona kont. Do tego dochodzi France Travail z 36,8 miliona osób, 19 milionów zapisów ANTS oferowanych na sprzedaż lub nawet do 3 milionów numerów związanych z Bloctel.

Stachtchenko bezpośrednio zwraca się do władz publicznych.
Ile wycieków potrzeba, zanim wprowadzi się prostą MFA dla tak wrażliwych plików?
Alexandre Stachtchenko, szef strategii i komunikacji w Bitstack.

Obawia się również, że pewnego dnia dane biometryczne mogą zostać skompromitowane: „Adres to bardzo kłopotliwe, ale można go zmienić. Twarz, odciski palców, nie.”

Jego obserwacje są tym bardziej alarmujące dla posiadaczy kryptowalut. „Francja przekracza 50 porwań i agresji związanych z kryptowalutami” – przypomina, podkreślając również, że jedna z pracownic skarbówki, która została postawiona w stan oskarżenia, przyznała się do sprzedaży przestępcom adresów posiadaczy.

Ryzyko tkwi w krzyżowaniu różnych baz: adres pochodzący z wycieku może być powiązany z dochodem podatkowym z innej bazy, a następnie z numerem telefonu, datą urodzenia lub innymi informacjami uzyskanymi gdzie indziej.

Raphaël Grably, dziennikarz specjalizujący się w kwestiach cybernetycznych w BFMTV, również regularnie ostrzega przed tym wzrostem liczby kompromitacji. W poście na X podkreśla nowy odcinek tej serii włamań, ilustrując, jak bliskie są ogłoszenia o wyciekach.

Włamania odkryte z opóźnieniem

DGFiP informuje, że powiadomiła CNIL zaraz po zidentyfikowaniu kradzieży danych, 12 sierpnia, podczas gdy włamania miały miejsce w czerwcu i lipcu. Administracja uzasadnia ten czas opóźnienia złożonością ataku.

Ten punkt jest szczególnie krytykowany przez Alexandre'a Stachtchenko, który zwraca uwagę na rozbieżność między włamaniem a jego komunikacją publiczną. Domaga się teraz „moratorium” na nowe zbieranie danych.
Nie ma więcej zbierania, dopóki państwo nie potrafi utrzymać tego, co ma.
Alexandre Stachtchenko, szef strategii i komunikacji w Bitstack.

Prokuratura w Paryżu wszczęła śledztwo, a międzyresortowa komórka kryzysowa została zwołana. DGFiP ogłasza również dodatkowe środki bezpieczeństwa we współpracy z ANSSI.

W obliczu kompromitacji, które teraz następują kilka razy w tygodniu, problem wykracza jednak poza samą skarbówkę. To zdolność państwa do ochrony, izolowania i monitorowania dostępu do ogromnych ilości danych osobowych, które posiada, jest teraz kwestionowana.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.