Fuite DGFiP : votre revenu en face de votre adresse
Fin juin, 678 438 fiches fiscales sont sorties de la Direction générale des finances publiques. Le public l’apprend le 13 août, au lendemain de leur mise en vente. Ces données ne servent pas à vider votre compte : elles servent à rendre un message crédible. Voici lesquels, et comment les reconnaître.
L’essentiel, en quatre points
- Un attaquant obtient les identifiants d’un agent habilité, passe par le VPN, et interroge les dossiers avec l’outil interne prévu pour ça. Aucune faille exotique : il est entré par la porte, avec les clés de quelqu’un d’autre.
- 678 438 lignes extraites, dont un peu moins de 393 000 concernent des particuliers. Chaque fiche contient le nom de naissance, la date et le lieu de naissance, l’adresse, la composition du foyer, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source.
- Sept semaines séparent l’intrusion de l’information du public. Pendant sept semaines, les personnes concernées ont vécu avec leurs données dans la nature sans savoir qu’elles devaient se méfier.
- Quatre mois plus tôt, en février, la même administration perdait 1,2 million de fiches de FICOBA, le fichier des comptes bancaires, par le même type de vecteur.
Pourquoi le revenu change tout
Une base d’adresses sert à envoyer en masse, en espérant qu’une poignée de destinataires clique. Une base triée par revenu déclaré à l’euro près sert à choisir qui on va aller voir. Ce n’est pas la même arme.
Le fichier contient plus de 26 000 déclarations au-dessus de 100 000 euros et quelques centaines au-dessus du million, avec l’adresse en face. À l’autre bout, un quotient familial élevé désigne une famille nombreuse, un revenu faible une personne éligible aux aides. Dans les deux cas, le tri est déjà fait.
Ces données ne périment pas
Une adresse change, un revenu bouge, un mot de passe se remplace en trente secondes. Un nom de naissance et un lieu de naissance vous suivent jusqu’au bout. C’est la différence entre cette fuite et celle d’un mot de passe : il n’y a rien à changer.
Ce qui reste possible, et qui est le sujet de cette page, c’est de reconnaître les messages fabriqués avec. Ils vont arriver, et ils seront bons.
Comment savoir si je suis concerné
L’information individuelle des victimes est en cours, par les canaux officiels. C’est précisément ce qui donne aux faux messages une couverture parfaite : pendant que la vraie notification circule, la fausse passe pour elle.
Il n’existe aucun site qui vous dira « si vos données sont exposées » dans cette fuite. Ceux qui le proposent collectent vos informations, ou pire. En cas de doute, on ne clique pas : on va soi-même sur impots.gouv.fr, en tapant l’adresse, et on regarde sa messagerie sécurisée.