Deux pirates affirmant être français revendiquent les intrusions ayant touché l’administration fiscale et disent avoir déjà vendu une partie des données dérobées. Derrière « ZeroBytes », pas de revendication politique affichée : le groupe assure agir avant tout pour l’argent.
Près de 680 000 usagers concernés, des données fiscales potentiellement revendues et désormais une enquête judiciaire. La cyberattaque contre l’administration fiscale française prend une nouvelle dimension avec les déclarations de ceux qui affirment en être les auteurs.
Ils se font appeler « ZeroBytes ».
Derrière ce nom se trouveraient deux individus dont l’identité reste inconnue. Le binôme affirme être français et revendique plusieurs opérations menées ces derniers mois contre des organisations en France.
Lundi 17 août, alors que le Premier ministre Sébastien Lecornu réunissait plusieurs responsables pour faire le point sur l’attaque, les pirates ont affirmé avoir déjà trouvé des acheteurs pour certaines des informations récupérées.
Selon leur récit, les fichiers auraient été cédés à deux personnes pour une somme de plusieurs milliers d’euros. Ils assurent que d’autres données restent disponibles à la vente.
Ces déclarations demeurent toutefois impossibles à vérifier indépendamment à ce stade.
Piratage d’impots.gouv : Bercy sous pression après une fuite massive de données fiscales
Un accès au VPN du fisc
ZeroBytes affirme avoir pénétré une première fois dans les systèmes de l’administration fiscale en récupérant un accès à un VPN utilisé par ses agents.
Ce type de réseau permet aux employés autorisés d’accéder à distance aux ressources internes de manière sécurisée. Compromettre les identifiants d’un utilisateur peut donc ouvrir une porte particulièrement sensible sur le système d’information d’une organisation.
Selon la version avancée par les pirates, cet accès leur aurait permis d’extraire, en juin, près de 680 000 lignes de données avant que la connexion ne soit finalement interrompue.
L’expert français en cybersécurité Clément Domingo, connu sous le pseudonyme Saxx, affirme avoir récemment échangé avec l’un des membres présumés du groupe. Il décrit ZeroBytes comme un binôme et rapporte que l’un des pirates serait actuellement sans emploi après avoir cherché à travailler dans l’informatique.
Rien ne permet toutefois, à ce stade, d’établir publiquement l’identité des deux personnes.
Une deuxième intrusion visant les données cadastrales
L’affaire ne se limiterait pas à une seule opération.
Une seconde intrusion aurait été menée à la fin du mois de juillet contre le Serveur professionnel de données cadastrales, un système permettant notamment d’accéder à des informations relatives aux propriétés immobilières.
La Direction générale des finances publiques avait reconnu avoir été confrontée à une attaque plus sophistiquée que les précédentes.
Les investigations devront désormais déterminer précisément comment les pirates sont parvenus à progresser dans les systèmes et pendant combien de temps ils ont pu y conserver un accès.
Une question devient particulièrement importante : comment une quantité aussi importante de données a-t-elle pu être extraite sans provoquer suffisamment tôt le blocage de l’opération ?
Des spécialistes interrogés depuis la révélation de l’affaire estiment que l’épisode pourrait également mettre en évidence certaines faiblesses dans les mécanismes de détection de l’administration fiscale.
« Je récupère ce que je peux »
Le profil qui se dessine derrière ZeroBytes tranche avec celui des groupes de hackers revendiquant des motivations politiques ou géopolitiques.
Ici, le moteur revendiqué est beaucoup plus simple : l’argent.
L’un des membres du groupe résume lui-même sa méthode par une logique opportuniste : chercher une vulnérabilité, pénétrer le système puis récupérer les informations disponibles.
Aucune catégorie particulière de données ne semble privilégiée. Dès lors qu’une information peut potentiellement être revendue, elle présente un intérêt.
Le duo affirme ainsi ne poursuivre aucune cause précise et reconnaît que la motivation financière constitue la principale raison de ses opérations.
Cette logique correspond à un marché clandestin particulièrement actif dans lequel fichiers clients, adresses électroniques, numéros de téléphone, informations personnelles ou données administratives peuvent être commercialisés puis utilisés pour différentes formes de fraude.
Plusieurs entreprises françaises revendiquées comme victimes
ZeroBytes ne serait pas apparu avec l’attaque du fisc.
Le nom du groupe a déjà circulé autour de plusieurs fuites de données revendiquées en France ces derniers mois.
Intermarché, Bureau Vallée, la Fédération française de handball ou encore l’Agence pour l’enseignement français à l’étranger figurent parmi les organisations auxquelles le groupe a associé son nom.
Les pirates affirment également avoir pénétré pendant l’été les systèmes d’un grand opérateur téléphonique français et d’un groupe hôtelier.
Ces deux dernières revendications n’ont cependant pas été confirmées par les entreprises concernées.
La multiplication de ces déclarations laisse apparaître une stratégie : frapper régulièrement des organisations françaises, récupérer le maximum d’informations exploitables puis chercher rapidement des acheteurs.
ZeroBytes affirme d’ailleurs considérer les organisations françaises comme relativement faciles à attaquer.
Le danger commence aussi après le piratage
Pour les personnes concernées, la principale menace ne réside désormais plus seulement dans l’intrusion elle-même.
Elle vient de l’utilisation qui pourrait être faite des données récupérées.
Les quelque 678 000 usagers identifiés comme concernés doivent être avertis individuellement afin d’être particulièrement vigilants face aux tentatives d’escroquerie.
Des informations provenant réellement de l’administration fiscale peuvent en effet rendre une campagne de phishing beaucoup plus crédible. Un escroc disposant de renseignements précis sur sa victime peut personnaliser un courriel, un SMS ou un appel téléphonique et se faire passer plus facilement pour l’administration.
Le risque est donc celui d’une deuxième vague : après le vol massif de données, leur exploitation contre les contribuables eux-mêmes.
Une enquête désormais ouverte à Paris
La justice française cherche maintenant à identifier les responsables.
Le parquet de Paris a ouvert une enquête portant notamment sur l’extraction frauduleuse de données et l’association de malfaiteurs.
Les enquêteurs devront vérifier les différentes revendications de ZeroBytes, retracer les accès utilisés pour pénétrer les systèmes du fisc et tenter d’identifier les circuits empruntés pour commercialiser les informations.
Si le récit livré par le groupe se confirme, l’affaire soulèvera également une question embarrassante pour l’administration : celle de la capacité de ses systèmes à détecter suffisamment rapidement une extraction massive de données.
Car derrière le personnage presque désinvolte que cherchent à construire les deux pirates apparaît une opération aux conséquences bien réelles : plusieurs centaines de milliers de contribuables français doivent désormais considérer certaines de leurs informations comme potentiellement compromises.
Et si ZeroBytes affirme n’avoir cherché que de l’argent, la valeur véritable du butin dépendra surtout de ce que ses acheteurs décideront d’en faire.
