Las autoridades fiscales confirmaron el jueves una intrusión y robo de datos en su sistema informático, poco después de que un ciberdelincuente que se hacía llamar “Cerobytes” se atribuyó la responsabilidad de un segundo ataque contra archivos catastrales.
Una secuencia que probablemente impulse el fraude dirigido contra un número aún indeterminado de personas y profesionales, potencialmente cientos de miles.
La primera ofensiva, confirmada por la DGFiP, se remonta a finales de junio y tuvo como objetivo el portal. “impots.gouv.fr” de la oficina de impuestos. El hacker afirma en el foro haber obtenido acceso a una VPN utilizada por los agentes fiscales. Esta red privada virtual normalmente le permite conectarse de forma remota y segura a herramientas internas. Este sésamo le habría permitido absorber cerca de 680.000 líneas de datos antes de que las autoridades fiscales cortaran la conexión.
Un segundo ataque, perpetrado a finales de julio y todavía reivindicado por “Cerobytes”pero no confirmado el viernes por la tarde por la DGFiP, apuntaba al Servidor de Datos Catastrales Profesional (SPDC). Para poder entrar, el hacker afirma haber pasado por alto “autenticación multifactor”este sistema requiere doble verificación para conectarse. Considerando que la descarga era demasiado lenta, afirma haberla interrumpido voluntariamente después de haber recuperado más de 250.000 líneas. Estos corresponderían, según su propio recuento, a más de dos millones de propietarios, pudiendo estar varias personas asociadas a una misma parcela.
“Cerobytes” se dice que es “un grupo de dos personas”sin “motivación específica”si no “dinero, supongo”.
Según FrenchBreaches, sitio especializado que fue el primero en documentar estos incidentes, el primer hackeo afectaría a cerca de 393.000 personas y 285.000 profesionales.
La DGFiP no confirmó ninguna cifra, indicando que continuaba sus investigaciones para determinar el número de usuarios afectados y la naturaleza exacta de los datos robados.
La segunda filtración alegada por “Cerobytes” asociaría la identidad y dirección de los titulares de derechos en las parcelas catastrales.
Respecto al primer ataque, Bercy reconoció el jueves una “acceso ilegítimo” ocurrió a finales de junio, tras una “robo de identidad”e indicó que se disponían a notificar el incidente a la CNIL (Comisión Nacional de Informática y Libertades) e informar a las víctimas. Pero esta confirmación sólo llegó el día después de que el hacker pusiera los datos a la venta.
El reglamento europeo sobre datos personales prevé la notificación a la CNIL, si es posible, dentro de las 72 horas siguientes al descubrimiento de una infracción que pueda presentar un riesgo. También se debe informar a las personas afectadas por un alto riesgo. “lo antes posible”.
El sindicato Solidaires Finances Publiques denunció una comunicación el viernes “tarde”. “Tuvimos que esperar el reclamo del cibercriminal el 12 de agosto y la revelación en la prensa para que la DGFiP informara oficialmente de esta filtración de datos”se lamenta.
En esta economía criminal, la persona que irrumpe en un sistema generalmente no es la que defrauda a las víctimas: sólo revende los archivos a futuros delincuentes.
El principal riesgo para las víctimas es el de phishing, o “phishing”. Al confiar en la historia real de los procedimientos de un contribuyente, los estafadores pueden enviar mensajes creíbles haciéndose pasar por los servicios tributarios e intentar extraer dinero mediante manipulación.
