Piratage de la DGFiP et de l’Éducation nationale : les données en vente sur le dark web

Les attaques successives contre la DGFiP et l’Éducation nationale par le même pirate ont déjà des conséquences : les données des citoyens français sont mises en vente sur un forum pour cybercriminels sur le dark web. Des vagues de phishing et de tentatives d’arnaque risquent de déferler au cours des prochains mois.

En l’espace de quelques jours, un pirate qui se fait appeler ZeroBytes s’est attaqué à la Direction Générale des Finances publiques (DGFiP), à l’Éducation nationale et à l’opérateur SFR. Il s’est emparé des données personnelles de millions de Français : nom, prénom, date de naissance, numéro de sécurité sociale, adresse postale, adresse email, numéro de téléphone, mais aussi des informations concernant le personnel de ces organismes, des contrats, des dossiers scolaires, ou relatives aux impôts.

Ces données sont à la fois très sensibles et précises. Elles peuvent être exploitées à des fins de hameçonnage pour tromper la vigilance des victimes, voire pour fomenter des actions de chantage ou des agressions. Comme on pouvait le craindre, ZeroBytes n’a pas piraté ces entités pour le sport : il compte bien monétiser toutes les informations qu’il a récupérées, qui vont donc très probablement tomber entre les mains d’individus malveillants.

Des pirates vont se faire passer pour les impôts ou l’école de votre enfant

“Les équipes d’Avast ont identifié la mise en vente par ZeroBytes des données dérobées à la DGFiP sur un forum cybercriminel dès le 12 août, puis de celles du ministère de l’Éducation le 17 août”, nous apprend l’expert en cybersécurité. “Des échantillons ont déjà été partagés et le groupe semble toujours actif sur le forum, où il chercherait à vendre les données volées”, est-il précisé.

Il est donc certain qu’une partie de ces données sont déjà en libre accès dans la nature. On ne sait pas si c’est le cas des bases de données complètes. “Ce qui reste encore à déterminer, c’est si l’intégralité des données est largement accessible ou si elle a été vendue de manière privée à un nombre restreint d’acheteurs”, ajoute l’entreprise. Étant donné la nature des informations et leur pouvoir de nuisance, on peut parier que le pirate n’aura pas de mal à les échanger contre rémunération.

“Le vrai risque ne réside pas uniquement dans les données elles-mêmes, mais dans ce que les cybercriminels peuvent en faire. Des informations réelles rendent les messages frauduleux beaucoup plus crédibles”, Iskander Sanchez-Rola, cadre chez Avast. On peut s’attendre à l’organisation de vastes campagnes de phishing. Les cibles recevront des e-mails, des SMS ou des appels téléphoniques “prétendant provenir de l’administration fiscale, d’un établissement scolaire ou d’un autre organisme public, leur demandant d’effectuer un paiement, de vérifier des informations personnelles ou de cliquer sur un lien”.

Les bons réflexes contre les tentatives de phishing

La précision et la véracité des informations contenues dans ces communications feront qu’elles seront bien plus convaincantes que les tentatives de phishing traditionnelles. De nombreuses personnes risquent de tomber dans le panneau. “Si vous recevez une demande inattendue concernant vos impôts, l’établissement scolaire de votre enfant ou tout autre service public, ne cliquez pas sur le lien contenu dans le message. Rendez-vous directement sur le site officiel de l’organisme concerné ou contactez-le vous-même”, conseille le spécialiste en cybersécurité. Il en va de même en ce qui concerne SFR, dont on ignorait encore l’intrusion dans son infrastructure lors de la prise de parole de Sanchez-Rola.

Il ajoute que les individus dont les informations ont fuité ne doivent pas attendre la confirmation qu’elles ont bel et bien été vendues sur le dark web pour prendre des précautions. “Les cybercriminels commencent souvent à exploiter les données volées dans le cadre de campagnes de phishing et de fraude bien avant qu’elles ne soient largement accessibles ou détectées par les services de surveillance”, fait-il savoir. Il est donc recommandé de faire preuve d’une vigilance accrue dès à présent.

Généralement, les hackers n’exploitent pas eux-mêmes les données qu’ils ont volées. Ils les vendent à des organisations criminelles, qui mettent ensuite en place des stratégies pour les exploiter au mieux. L’objectif final est souvent de réussir à obtenir un paiement ou de subtiliser les coordonnées bancaires des victimes. À ce stade, on ignore si ZeroBytes est un pirate unique, ou le nom d’un groupe de cybercriminels.