L'agenzia fiscale francese ha perso dati su 678.000 persone a causa di un accesso rubato.

      L'agenzia fiscale francese afferma che un attaccante ha rubato dati appartenenti a 678.000 individui e aziende. Le intrusioni sono avvenute a giugno e luglio. L'agenzia non ha stabilito che nulla fosse uscito dai suoi sistemi fino a quando l'attaccante non lo ha dichiarato ad agosto.

      La Direction générale des Finances publiques ha specificato cosa ha raggiunto l'attaccante in una dichiarazione del 14 agosto. Per gli individui, ciò significa reddito fiscale di riferimento, quoziente familiare e aliquota d'imposta alla fonte. Per le aziende, significa il nome registrato e il numero SIREN. L'attaccante ha anche consultato i registri catastali riguardanti gli indirizzi e le superfici degli immobili.

      L'agenzia è stata altrettanto specifica su cosa fosse contenuto. Le intrusioni non hanno compromesso gli account personali o professionali su impots.gouv.fr. L'attaccante non ha rubato nomi utente dei contribuenti né password.

      Credenziali, non una vulnerabilità zero-day

      Il modo di entrare non era un difetto software. Bercy afferma che l'attaccante ha utilizzato le credenziali rubate di un dipendente della DGFiP e di un terzo autorizzato. L'attaccante ha anche descritto come ha eluso l'autenticazione a più fattori, secondo Help Net Security.

      Un terzo autorizzato, in questo contesto, significa un ente esterno al quale l'agenzia fiscale ha concesso un accesso ai suoi sistemi. Notai, ufficiali giudiziari e autorità locali hanno tutti tale accesso. Ognuno di essi amplia il numero di accessi che apriranno la porta.

      Il modello sta diventando familiare. Gli attaccanti hanno raggiunto 75.000 firewall Fortinet a giugno utilizzando vecchie password, non una vulnerabilità zero-day. L'accesso è ora il perimetro.

      La DGFiP afferma di aver disattivato ogni account coinvolto non appena ha rilevato le intrusioni. I controlli di accesso effettuati a quel punto non hanno rivelato segni che i dati fossero usciti. L'agenzia attribuisce questo fallimento alla sofisticatezza dell'attacco.

      Lo stato ha scoperto dal criminale

      Il 12 e 13 agosto, qualcuno con lo pseudonimo ZeroBytes ha rivendicato l'accesso su un forum di crimine informatico. Ha offerto un database in vendita. La DGFiP ha avviato indagini approfondite lo stesso giorno, e quelle indagini hanno prodotto il numero di 678.000.

      “Sono ancora connesso al pannello, quindi se vuoi, puoi acquistarlo insieme al database,” recitava il post del forum, nella versione riportata da Help Net Security.

      Nessuno al di fuori dell'agenzia può verificare quella affermazione. Essa contrasta con il racconto della DGFiP che afferma di aver chiuso ogni account compromesso alla rilevazione. L'agenzia è andata oltre, disattivando l'accesso ai sistemi sensibili per precauzione, e sta collaborando con l'ufficio sicurezza del ministero delle finanze e con l'ANSSI, l'agenzia nazionale per la cybersicurezza.

      I numeri non concordano

      ZeroBytes ha affermato che il portale conteneva registrazioni su circa 20 milioni di cittadini francesi. Ha detto di aver estratto 252.149 registrazioni riguardanti più di due milioni di persone, e che estrarre il resto avrebbe richiesto mesi. La cifra del governo è di 678.000 individui e aziende.

      La DGFiP afferma che le sue indagini continuano. Non ha ancora fissato il volume preciso di dati estratti, né il numero finale di utenti coinvolti.

      Un divario di questo tipo si era già aperto in precedenza. Quando una violazione ha colpito il messaggero sovrano della Francia a giugno, funzionari e hacker hanno discusso su quanto fosse grave.

      Cosa ha prodotto la riunione di crisi

      Il Primo Ministro Sébastien Lecornu ha presieduto una cellula di crisi interministeriale sulla violazione dell'agenzia fiscale francese lunedì. Un'indagine giudiziaria era già in corso prima che si riunisse, ha riportato Bloomberg.

      Lecornu ha chiesto all'ANSSI di auditare l'incidente e stabilirne le cause, ha riportato INCYBER. Ha richiesto separatamente un audit della sicurezza dei sistemi della DGFiP, con conclusioni operative previste per settembre. Il procuratore di Parigi ha aperto un'indagine riguardante l'estrazione fraudolenta di dati e la cospirazione criminale.

      Le notifiche sono iniziate quella sera via email e sono proseguite per tutta la settimana. Ogni messaggio indica i dati che l'attaccante potrebbe aver consultato o estratto, e le precauzioni da adottare. La DGFiP ha deferito la questione alla CNIL, il regolatore della protezione dei dati, e afferma che presenterà una denuncia penale.

      La stessa porta, due volte

      Il governo ha annunciato un piano per rafforzare la cybersicurezza statale alla fine di aprile. Prevede un investimento aggiuntivo di 200 milioni di euro. Stabilisce anche un obiettivo che, a partire dal 2027, ogni ministero spenda il 5% del proprio budget digitale per la cybersicurezza.

      Le intrusioni della DGFiP si sono verificate a giugno e luglio. INCYBER osserva che qualcuno ha ottenuto accesso fraudolento a FICOBA, il registro nazionale dei conti bancari, alcuni mesi prima, e che credenziali rubate hanno aperto anche quella porta. Help Net Security conta un terzo incidente, presso France Titres, ad aprile.

      Altri enti pubblici europei hanno perso dati secondo lo stesso principio. L'ufficio di statistica francese ha subito il furto del proprio elenco del personale a giugno. In Liechtenstein, gli attaccanti hanno raggiunto il registro che nomina i proprietari dietro le società di comodo.

      Cosa affrontano ora i 678.000

      La combinazione esposta è insolita. Il reddito fiscale di riferimento e l'aliquota d'imposta alla fonte descrivono insieme quanto guadagna una famiglia. I dati catastali descrivono dove vive quella famiglia e quanto è grande la proprietà.

      Le autorità francesi hanno avvertito che i dati potrebbero alimentare truffe e frodi d'identità. Il rischio concreto è un chiamante che conosce già il reddito e l'indirizzo della vittima, e che dice di provenire dal ministero delle finanze. Registrazioni come queste viaggiano: una compagnia telefonica ha recentemente perso 1,6 milioni di registrazioni di clienti a causa di una telefonata.

      L'hacker ha pubblicato un campione gratuito dei file. France 24 ha rintracciato una donna i cui dettagli apparivano in esso. Non aveva sentito nulla da nessuno e lo ha appreso dai giornalisti che l'hanno contattata.

      L'ANSSI riporta a settembre. Il suo audit è destinato a stabilire come le credenziali di un dipendente e di un esterno autorizzato abbiano aperto una via a 678.000 registrazioni fiscali. È anche destinato a spiegare perché i controlli interni dell'agenzia non abbiano rilevato il furto. Fino a quando non arriverà, esistono solo due racconti di ciò che è accaduto: quello dell'agenzia e quello della persona che afferma di averlo fatto.