Piratage de la DGFiP : "c’est assez inédit dans le sens où le revenu fiscal de référence, c’est une donnée qui, d’habitude, ne circule pas sur Internet." Au micro de Sud Radio, Baptiste Robert a répondu aux questions de Jacques Cardoze.
Piratage de la DGFiP : "On est sur quelque chose d’inédit, relativement grave"
Jacques Cardoze : L’administration fiscale confirme le vol de données massif. Elle le fait tardivement puisque le vol a eu lieu fin juin et, hier soir, elle a envoyé un courrier bien plus détaillé. Les données ont été dérobées, immédiatement vendues à d’autres hackers. Près de 700 000 foyers sont concernés. On va essayer de comprendre quelles en sont les conséquences pour nous au quotidien.
Baptiste Robert, vous êtes ce que l’on appelle un hacker éthique. Votre société, d’abord, aide à faire face à la protection des données. C’est bien de cela dont il s’agit concernant votre société ?
Baptiste Robert : "Exactement. Notre spécialité, ça va être de travailler sur l’empreinte numérique, c’est-à-dire toutes les données vous concernant sur Internet, de savoir tout ce qui traîne sur vous sur Internet et aussi les supprimer, le cas échéant."
Jacques Cardoze : D’abord un fait : c’est le secret fiscal des Français qui a été dévoilé. Un sénateur socialiste dit que c’est vraiment très grave. Qu’en pensez-vous ?
Baptiste Robert : "Alors, effectivement, c’est assez inédit dans le sens où le revenu fiscal de référence, c’est une donnée qui, d’habitude, ne circule pas sur Internet. C’est quelque chose qui n’apparaît pas sur Internet. Et donc là, on est sur quelque chose d’inédit, relativement grave, dans le sens où il peut y avoir des conséquences dans la vie réelle, puisque maintenant la donnée de combien vous pesez, quel est votre patrimoine, va potentiellement circuler sur Internet et va être mise dans les mains, pas de cybercriminels, mais de criminels qui pourraient utiliser cette information pour vous cibler et potentiellement venir chez vous pour du cambriolage, de la séquestration, etc."
"Si vous avez de l’argent et que vous êtes dans la fuite de données, il y a une nécessité de considérer sa sécurité physique"
Jacques Cardoze : Concrètement, lorsqu’un criminel possède le revenu fiscal de référence, le taux de prélèvement à la source, ça veut dire qu’il peut cibler et qu’il peut être encore plus dans le détail, et donc apparaître encore plus vrai et authentique aux yeux de quelqu’un qui va se faire arnaquer. C’est bien comme cela que ça fonctionne ?
Baptiste Robert : "Alors, il y a plusieurs sujets. Il y a le sujet des e-mails de phishing. C’est les fameux e-mails qui vont vous inciter à cliquer sur un lien. Et effectivement, plus vous avez de la donnée personnalisée, plus votre e-mail de phishing va être crédible et donc, potentiellement, vous allez cliquer."
"Mais il faut garder en tête que le but de ces cybercriminels, quand ils envoient des e-mails de phishing, c’est de faire du nombre. Ils en envoient des millions et des millions. Et ce qu’ils veulent attraper, c’est les gens qui sont un peu les moins adeptes de la technologie. Donc même s’il y a des erreurs, même si c’est pas personnalisé, si on arrive à attraper quelqu’un avec un e-mail de phishing qui n’est pas très, très bien fait, ça veut dire qu’on va pouvoir l’emmener très loin et qu’on va pouvoir lui soutirer un maximum d’argent. Il y a effectivement ce risque, qui est aussi un risque théorique de personnalisation."
"Et le deuxième risque, c’est ce que je racontais sur le ciblage des personnes. Mais on parle, encore une fois, d’assez peu de personnes en réalité puisque, vous l’avez dit, il y a 600 000 contribuables qui ont fuité. Mais sur les 700 000, il y a 300 000 personnes physiques, donc vous et moi, et 300 000 sociétés, personnes morales. Et dans ces 300 000 personnes physiques, tous ne sont pas très fortunés. Il doit y avoir une petite portion, proportionnelle à la population française, qui a beaucoup d’argent. Et j’espère, en tout cas, que le travail a été fait par la Direction générale des finances pour prévenir ces gens qui ont un patrimoine important, parce que c’est eux qui ont été mis en danger. Et ils doivent, à l’issue de cette fuite de données, prendre des mesures en termes de sécurité physique, c’est-à-dire installer des caméras, des alarmes, si c’est pas déjà le cas chez eux."
Jacques Cardoze : Ah bon ? Carrément ? Vous iriez jusque-là, installer des caméras chez soi ?
Baptiste Robert : "Tout à fait. Si vous avez de l’argent, et beaucoup d’argent, et que vous êtes dans la fuite de données, il y a une nécessité de considérer sa sécurité physique et d’installer autour de chez soi les mesures adéquates. Si vous avez des tableaux, si vous avez beaucoup d’argent, ça arrive chez plein de Français. Il y a une nécessité puisque, aujourd’hui, on a un peu mis une cible sur votre tête de par cette fuite de données."
"Le revenu fiscal de référence est un vrai problème dans la fuite de la DGFIP"
Jacques Cardoze : Oui, parce que, pour qu’on comprenne bien, que tout le monde ait le même niveau d’information, ce qui a été vendu, c’est l’identifiant fiscal, l’état civil, l’adresse postale, l’adresse mail, le numéro de téléphone, la situation familiale, le nombre de personnes à charge, le nombre de parts fiscales, le revenu fiscal de référence, le taux de prélèvement à la source et la liste des messages échangés avec le fisc. Donc on imagine un peu toutes les mécaniques qu’il peut y avoir dans la tête des criminels à partir de ça. Qu’est-ce que vous en pensez, vous qui êtes hacker éthique ?
Baptiste Robert : "En fait, le sujet, il est assez simple. Dans tout ce que vous avez listé dans ces données-là, ce qui va m’intéresser le plus, ça va être l’adresse postale de la personne et le revenu fiscal de référence. Ça, ça donne une indication sur : est-ce que vous avez de l’argent ou pas ?"
"Et quand je suis un cambrioleur, quand je vais monter une petite équipe pour potentiellement aller faire des enlèvements, des séquestrations, cette information, elle est capitale, parce que je vais tout de suite aller chez, entre guillemets, un « bon client », chez quelqu’un qui aura de l’argent et qui va être potentiellement amené à payer. Donc c’est ce fameux revenu fiscal de référence qui est un vrai problème dans la fuite, puisque ça permet vraiment de classer tout de suite les bons clients des mauvais clients."
"Ce ne sont pas les cybercriminels qui vont faire ça. Et c’est là où il faut faire la distinction. Les cybercriminels, ils sont rentrés dans le système, ils ont pris les informations. Là, la problématique, elle est s’il y a une collaboration, une communication entre cybercriminels et criminels."
"On l’a vu dans le passé, c’est déjà arrivé. Il y a eu, par exemple, tous les enlèvements, les séquestrations sur les détenteurs de cryptomonnaies. Les détenteurs de cryptomonnaies ont été ciblés notamment à l’issue de fuites de données sur des sites spécialisés de cryptomonnaie. Donc c’est une mécanique qu’on a déjà vue se mettre en place. Espérons qu’elle ne se mette pas en place dans le cas présent. En tout cas, ce qui est sûr, c’est que cette fuite de données, aujourd’hui, elle est vendue sur le dark web, mais elle n’est pas publiée largement pour l’instant."
"Il faut avoir un niveau de vigilance accru"
Jacques Cardoze : Sur les 680 000, vous dites : il y a 300 000 particuliers, puis pour les autres, ce sont des entreprises. Mais j’imagine qu’en nombre de foyers, nombre de personnes touchées, en réalité, on parle quand même de 700 000 personnes qui, potentiellement, peuvent à un moment donné être attaquées, être ciblées. Concrètement, pour Madame Michu, qu’est-ce que ça veut dire ? Qu’est-ce que je dois craindre ?
Baptiste Robert : "Alors, ce serait même une personne, ce serait déjà trop, qu’on se le dise. Et ce hack, il est inédit de par la cible qui a été touchée : la Direction générale des finances publiques. Donc l’acte en lui-même est déjà grave, et c’est important de le redire."
"Ensuite, qu’est-ce que monsieur et madame Tout-le-Monde peuvent faire ? Aujourd’hui, la chose première que vous devez faire, même avant ce hack, c’est être vigilant. C’est-à-dire que, dans toutes les communications que vous allez recevoir de la part de la Direction générale des finances publiques, il faut être extrêmement méfiant. Vous recevez un e-mail, vous recevez un texto qui va être siglé, qui va être de la part des finances publiques : le premier réflexe, c’est de ne cliquer sur absolument rien et d’aller sur impots.gouv.fr, et d’aller dans votre espace voir si vous avez des messages, si effectivement il y a bien quelque chose à faire. Au lieu de cliquer sur les liens dans les messages, c’est d’aller sur le site concerné directement. Vous ouvrez un navigateur sur le téléphone ou sur l’ordi, peu importe, et vous regardez directement."
"Il faut avoir un niveau de vigilance qui est accru et être en capacité de considérer chaque message et de ne pas aller vite. Il faut réfléchir. Et c’est le problème du téléphone, c’est que souvent on lit vite, on réfléchit pas, on clique très vite. Il faut prendre son temps, réfléchir."
Jacques Cardoze : Face à la problématique du piratage du fisc, on répond trop vite. Il y a une sorte d’immédiateté, d’injonction à répondre. Donc, si je comprends bien, que ce soit un mail, un texto, un WhatsApp, à chaque fois je suis informé, j’ai un doute, je ne fais absolument rien et je vérifie tout de suite, je double-check et je vais sur le site, comme si j’appelais mon banquier, en fait. C’est ça. J’appelle le fisc, j’appelle l’administration en question. On est bien d’accord ?
Baptiste Robert : "Exactement. C’est exactement ça, et c’est la même logique partout, que ce soit pour les impôts ou pour tous les autres sites. Quand vous recevez des textos avec : « Vous avez reçu une amende », des choses comme ça, « Un colis est arrivé, cliquez sur le lien pour suivre votre Chronopost », c’est la même logique partout. À chaque fois que vous recevez des textos un peu étranges, un peu suspects, eh ben il faut aller sur le site et ensuite vous allez avoir votre information."
"On a eu des attaques personnalisées"
Jacques Cardoze : Parfois, les mails vous attirent. Même si vous vous dites : « Non, il faut pas que je le fasse », ça vous attire. Pourquoi ? Parce qu’ils sont malins. Ils vous disent, par exemple : « Vous devez recevoir un remboursement, un trop-perçu de l’administration. » Et donc c’est essentiellement grâce à ce genre de message mensonger qu’en général les gens se font avoir. En ce moment, c’est ce qui circule : c’est un trop-perçu de l’administration.
Baptiste Robert : "En fait, c’est un biais psychologique. On est tous pareils. Quand on va vous dire : « On va vous donner de l’argent », vous avez tout de suite, mais immédiatement, envie de savoir de quoi on parle. Et donc on va jouer sur ces biais-là, de la même façon que, dans la période de Noël, on va vous dire : « Ah, un colis est en attente. » Il y a de grandes chances que, pendant la période de Noël, vous ayez des colis en attente. Ils vont jouer, ils vont s’adapter. Les attaquants, les cybercriminels qui sont en face, sont des gens malins, ils sont pas idiots. Et ils s’adaptent au contexte, à la période. On l’a vu pendant le Covid aussi, par exemple, on a eu des attaques qui étaient personnalisées."
"Donc c’est quelque chose qui bouge énormément et c’est un réflexe. Il faut vraiment lutter contre ces réflexes primaires. Ne pas se dire : « Ah vite, je vais avoir de l’argent, je vais essayer de cliquer. » Mais se dire : « Attends, attends, ça vient de qui ? Qu’est-ce que c’est ? Tiens, c’est bizarre quand même. »"
Jacques Cardoze : Il y a ça, et puis il y a aussi ce que j’appellerais l’effet papillon dans le processus de vol. Je m’explique. Le piratage de la Fédération française de tir avait conduit à un vol, ensuite, d’arme à feu. On peut imaginer des arnaques donc très recherchées, c’est-à-dire qu’il y a un effet papillon.
Baptiste Robert : "Exactement. Et c’est même le problème principal de cette fuite de données de la Direction générale des finances publiques."
"Quand la Fédération française de tir a fuité, il y a une liste d’adhérents de la Fédération française de tir. Donc c’est des gens qui aiment aller tirer dans un cadre sportif. Des criminels, donc des personnes qui ne sont pas forcément férues de technologie, ont récupéré cette liste et sont allés, déguisés par exemple en faux policiers, à deux, à trois, sonner aux portes des adhérents en disant : « Bonjour, c’est la police, il y a un problème avec vos armes. »"
"Pour avoir une arme à la maison, c’est extrêmement réglementé. Vous devez avoir un coffre, il y a toute une manière de faire. « On est la police, on va récupérer votre arme et venez demain au commissariat pour la récupérer. » Sans aucune violence, sans rien du tout, ces criminels ont réussi à récupérer une arme et c’est toujours ça de pris pour eux, et c’est plusieurs milliers d’euros facilement récupérés pour eux."
"Des fuites de données, on en a toutes les semaines, tous les mois"
Jacques Cardoze : Pour terminer, je voudrais vous citer la déclaration d’un sénateur, Thierry Cozic. Il dit : « Il semble qu’il y ait beaucoup de zones d’ombre sur ce vol de données qui s’annonce comme la cyberattaque la plus grave de l’histoire de notre pays. » Qu’est-ce que ça veut dire ? On nous cache quelque chose ? On ne sait pas encore tout ?
Baptiste Robert : "Il faut un peu raison garder. Il y a beaucoup d’agitation autour de cette cyberattaque. Malheureusement, des fuites de données, on en a toutes les semaines, tous les mois, depuis plusieurs mois, plusieurs années maintenant. Il y a un effort concentré d’attaquer la France, les institutions françaises et les entreprises françaises. Il y a l’Éducation nationale qui a été touchée également. Il y a eu le ministère de l’Intérieur, de grandes institutions françaises qui ont été touchées. Il y en a beaucoup. Et c’est un vrai problème et ça nécessite vraiment un sursaut et un plan de modernisation immédiat de la part du gouvernement."
"Aujourd’hui, on nous cache pas forcément quelque chose. Je pense qu’il y a plus une question de délai. Comment ça se fait que l’attaque, qui a eu lieu il y a un mois et demi maintenant, n’est révélée qu’aujourd’hui ? Probablement plus par incompétence que par une certaine volonté de cacher des choses."
Retrouvez "L’invité politique" chaque jour à 8h15 dans le Grand Matin Sud Radio
Cliquez ici pour écouter "L’invité politique"
Toutes les fréquences de Sud Radio sont ici !