Налоговая служба Франции потеряла данные о 678 000 человек из-за украденного логина

      Французское налоговое агентство сообщает, что злоумышленник получил данные, принадлежащие 678 000 физическим лицам и компаниям. Вторжения произошли в июне и июле. Агентство не установило, что что-либо покинуло его системы, пока злоумышленник не сказал об этом в августе.

      Генеральная дирекция публичных финансов изложила, к чему добрался злоумышленник, в заявлении 14 августа. Для физических лиц это означает справочный налоговый доход, семейный коэффициент и ставку удерживаемого налога. Для компаний это означает зарегистрированное название и номер SIREN. Злоумышленник также проконсультировался с кадастровыми записями, охватывающими адреса и площади объектов недвижимости.

      Агентство также было конкретным в том, что было затронуто. Вторжения не скомпрометировали личные или профессиональные аккаунты на impots.gouv.fr. Злоумышленник не забрал имена пользователей налогоплательщиков и пароли.

      Учетные данные, а не нулевой день

      Способ доступа не был связан с уязвимостью программного обеспечения. Берси сообщает, что злоумышленник использовал украденные идентификаторы сотрудника DGFiP и уполномоченной третьей стороны. Злоумышленник также описал обход многофакторной аутентификации, согласно Help Net Security.

      Уполномоченная третья сторона в этом контексте означает внешнюю организацию, которой налоговое агентство предоставило доступ к своим системам. Нотариусы, судебные исполнители и местные власти все имеют такой доступ. Каждый из них увеличивает количество логинов, которые откроют дверь.

      Схема становится знакомой. Злоумышленники получили доступ к 75 000 брандмауэров Fortinet в июне, используя старые пароли, а не нулевой день. Логин сейчас является периметром.

      DGFiP сообщает, что отключила все вовлеченные аккаунты, как только обнаружила вторжения. Проверки доступа, проведенные в тот момент, не выявили признаков того, что данные покинули систему. Агентство связывает эту неудачу сSophistication атаки.

      Государство узнало от преступника

      12 и 13 августа кто-то под псевдонимом ZeroBytes заявил о доступе на форуме киберпреступности. Они предложили базу данных на продажу. DGFiP начала углубленные расследования в тот же день, и эти расследования привели к цифре 678 000.

      «Я все еще вошел в панель, так что, если хотите, вы можете купить ее вместе с базой данных», — гласило сообщение на форуме, в версии, о которой сообщила Help Net Security.

      Никто вне агентства не может проверить это утверждение. Оно противоречит отчету DGFiP о том, что она закрыла каждый скомпрометированный аккаунт при обнаружении. Агентство с тех пор пошло дальше, отключив доступ к чувствительным системам в качестве меры предосторожности, и работает с офисом безопасности министерства финансов и с ANSSI, национальным агентством кибербезопасности.

      Цифры не совпадают

      ZeroBytes утверждал, что портал содержит записи примерно о 20 миллионах французских граждан. Они заявили, что извлекли 252 149 записей, охватывающих более двух миллионов человек, и что извлечение остальных заняло бы месяцы. Цифра правительства составляет 678 000 физических лиц и компаний.

      DGFiP сообщает, что ее расследования продолжаются. Она еще не установила точный объем извлеченных данных и окончательное число затронутых пользователей.

      Такой разрыв уже возникал. Когда утечка затронула собственный суверенный мессенджер Франции в июне, чиновники и хакер не сошлись во мнениях о том, насколько это было серьезно.

      Что дало кризисное совещание

      Премьер-министр Себастьен Лекорню возглавил межведомственную кризисную ячейку по утечке данных французского налогового агентства в понедельник. Судебное расследование уже велось до его заседания, сообщило Bloomberg.

      Лекорню попросил ANSSI провести аудит инцидента и установить его причины, сообщает INCYBER. Он отдельно запросил аудит безопасности систем DGFiP, с оперативными выводами, ожидаемыми в сентябре. Парижский прокурор открыл расследование, охватывающее мошенническое извлечение данных и уголовный заговор.

      Уведомления начались в тот вечер по электронной почте и продолжались на протяжении недели. Каждое сообщение указывает данные, которые злоумышленник мог проконсультировать или извлечь, и меры предосторожности, которые следует принять. DGFiP передала дело в CNIL, регулятору по защите данных, и заявляет, что подаст уголовную жалобу.

      Та же дверь, дважды

      Правительство объявило план по укреплению кибербезопасности государства в конце апреля. Он включает в себя дополнительные инвестиции в размере 200 миллионов евро. Он также устанавливает цель, что с 2027 года каждое министерство будет тратить 5% своего цифрового бюджета на кибербезопасность.

      Вторжения DGFiP произошли в июне и июле. INCYBER отмечает, что кто-то получил мошеннический доступ к FICOBA, национальному реестру банковских счетов, несколько месяцев ранее, и что украденные учетные данные также открыли эту дверь. Help Net Security учитывает третий инцидент в France Titres в апреле.

      Другие европейские государственные учреждения потеряли данные по тому же принципу. Статистическое управление Франции потеряло свой справочник сотрудников в июне. В Лихтенштейне злоумышленники получили доступ к реестру, указывающему владельцев подставных компаний.

      С чем теперь сталкиваются 678 000

      Выставленная комбинация является необычной. Справочный налоговый доход и ставка удержания вместе описывают, что зарабатывает домохозяйство. Кадастровые данные описывают, где живет это домохозяйство и какова площадь недвижимости.

      Французские власти предупредили, что данные могут быть использованы для мошенничества и кражи личных данных. Конкретный риск заключается в том, что звонящий уже знает доход и адрес цели и говорит, что он из министерства финансов. Такие записи путешествуют: телекоммуникационная компания недавно потеряла 1,6 миллиона записей клиентов из-за телефонного звонка.

      Хакер опубликовал бесплатный образец файлов. France 24 нашла женщину, чьи данные появились в нем. Она ничего не слышала от кого-либо и узнала об этом от репортеров, которые ей позвонили.

      ANSSI представит отчет в сентябре. Его аудит должен установить, как учетные данные одного сотрудника и одного уполномоченного внешнего лица открыли путь к 678 000 налоговым записям. Он также должен объяснить, почему собственные проверки агентства не заметили кражу. Пока он не будет опубликован, существуют только два отчета о том, что произошло: один от агентства и один от человека, который утверждает, что это он сделал.