Cyberattaques contre la DGFiP : les entreprises appelées à la vigilance

L’été dernier, la DGFiP a été victime d’attaques ayant permis des accès illégitimes à certaines données de son système d’information. Les investigations menées ont identifié près de 250 000 comptes professionnels et 350 000 comptes particuliers susceptibles d’être concernés. Si les mots de passe, déclarations, paiements et coordonnées bancaires n’ont pas été consultés, certaines informations relatives aux entreprises et à leurs échanges avec la DGFiP ont pu l’être. Cette situation appelle à une vigilance renforcée face aux tentatives de fraude susceptibles de s’appuyer sur ces informations.

Quelles sont les données concernées par ces accès frauduleux ?

Concernant les entreprises, l’incident a porté sur la consultation abusive du numéro de SIREN, de la raison sociale, de l’adresse et des messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr. Les mots de passe, déclarations, paiements et coordonnées bancaires n’ont, en revanche, pas été consultés.

Côté particuliers, les données potentiellement concernées comprennent l’identifiant fiscal, l’état civil et les coordonnées postales, téléphoniques et électroniques du contribuable. S’y ajoutent plusieurs informations relatives à la situation fiscale, telles que la situation familiale, le nombre de personnes à charge, le nombre de parts, le revenu fiscal de référence et le taux de prélèvement à la source. Les messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr pourraient également avoir été consultés.

Il ne s’agit pas d’un accès aux comptes fiscaux permettant directement de réaliser une opération à la place de l’entreprise ou du contribuable. Le risque porte principalement sur l’exploitation des informations accessibles pour préparer des tentatives de fraude.

La DGFIP a, en principe, communiqué avec les contribuables impactés par ces accès frauduleux, via un message spécifique.

Pourquoi ces données peuvent-elles faciliter les fraudes ?

Une fraude est d’autant plus difficile à détecter qu’elle paraît crédible. Or, certaines informations issues du système de la DGFiP peuvent permettre à un fraudeur de mieux connaître sa cible. Le fait de disposer de la raison sociale, de l’adresse ou d’informations issues des échanges avec l’administration peut notamment permettre de personnaliser une prise de contact et de se présenter comme un interlocuteur légitime.

Un fraudeur peut ainsi utiliser ces éléments pour créer un contexte de confiance et tromper sa victime : se faire passer pour un organisme public, un conseiller bancaire, un fournisseur ou encore un interlocuteur habituel de l’entreprise.

Le risque ne réside donc pas uniquement dans les données elles-mêmes, mais dans leur utilisation pour gagner la confiance du destinataire.

Quelles formes de fraude peuvent être redoutées ?

Le phishing et l’hameçonnage ciblé

Un message frauduleux peut reprendre des informations réelles concernant l’entreprise afin de donner davantage de crédibilité à la demande.

Le fraudeur peut, par exemple, prétendre qu’une démarche administrative doit être régularisée ou qu’une information doit être confirmée. L’objectif est ensuite d’inciter le destinataire à communiquer un mot de passe, un code ou d’autres informations confidentielles.

Le faux conseiller bancaire

La DGFiP appelle également à la vigilance face aux personnes qui chercheraient à obtenir des informations confidentielles ou à faire valider une opération bancaire en se faisant passer pour un conseiller.

La connaissance préalable de certaines informations sur l’entreprise peut rendre ce type d’escroquerie particulièrement convaincant.

La fraude au changement de coordonnées bancaires

Une vigilance particulière doit également être portée aux demandes de modification de RIB ou de coordonnées bancaires.

Même si les coordonnées bancaires n’ont pas été consultées dans le cadre de l’incident, les informations récupérées peuvent être exploitées pour tenter d’obtenir ultérieurement une modification frauduleuse.

Toute demande inhabituelle portant sur les coordonnées bancaires doit donc faire l’objet d’une vérification indépendante.

Quels réflexes adopter en entreprise ?

Face à ce type de menaces, quelques mesures simples permettent de limiter le risque :

• Ne communiquez jamais vos identifiants ou codes confidentiels à la suite d’un appel, d’un SMS ou d’un courriel inattendu. Ces données sont strictement personnelles et ne vous seront jamais demandées par l’administration.
• En cas de doute, accédez directement à votre espace professionnel via le site officiel de l’organisme concerné, sans utiliser les liens contenus dans le message reçu. N’hésitez pas à contacter votre correspondant habituel pour vérifier la légitimité de la demande.
• De même, toute demande portant sur une opération financière ou une modification de coordonnées bancaires doit être vérifiée via un canal distinct de celui utilisé pour transmettre la demande.

Il est également recommandé de :

• sensibiliser les collaborateurs aux techniques de fraude et d’hameçonnage ;
• instaurer une procédure de double vérification pour les opérations bancaires sensibles ;
• vérifier régulièrement les mouvements effectués sur les comptes de l’entreprise ;
• contrôler toute demande inhabituelle provenant d’un interlocuteur connu par le biais de la demande de confirmation ;
• changer le mot de passe de l’espace professionnel si l’entreprise a été informée qu’elle fait partie des comptes concernés.

La DGFiP rappelle, par ailleurs, qu’elle ne demande jamais d’informations confidentielles en dehors de l’espace fiscal sécurisé.

Une vigilance renforcée dans les prochains mois

Pour les entreprises concernées, la vigilance ne doit pas se limiter aux semaines qui suivent l’incident. Des informations obtenues par un fraudeur peuvent, en effet, être utilisées ultérieurement, notamment dans le cadre d’une tentative d’ingénierie sociale. D’autant qu’avec l’IA, les personnes malveillantes disposent de nouveaux moyens pour croiser et exploiter les données, générer facilement des contenus ou les falsifier.

La DGFiP indique avoir renforcé la protection des comptes fiscaux concernés et porter une attention particulière aux modifications qui pourraient y être apportées dans les prochains mois, notamment concernant l’adresse ou les coordonnées bancaires.

Une question sur la sécurité de vos données ? Nos experts vous accompagnent pour évaluer les risques auxquels votre entreprise est exposée et mettre en place les mesures de vigilance adaptées.

Nous contacter