Piratage de données des impôts : comment vérifier si mes données ont été compromises ?

Le piratage des données des impôts a potentiellement exposé les informations personnelles et professionnelles de plusieurs centaines de milliers de personnes. Identité, coordonnées, informations fiscales ou encore données relatives à votre entreprise : les informations concernées peuvent être nombreuses.

Vous êtes entrepreneur, indépendant ou dirigeant d’entreprise ? Vous voulez savoir si vos données ont été compromises ?

Dans cet article, nous allons voir quelles informations ont été exposées et surtout comment vérifier si vous êtes concerné par ce piratage de données des impôts.

Pour cela, nous allons procéder en trois étapes :

• Vérifier si vous avez été identifié comme victime de cet incident par la DGFiP.
• Vérifier si votre adresse e-mail apparaît dans d’autres fuites de données.
• Vérifier qu’aucun compte bancaire n’a été ouvert frauduleusement à votre nom.

Les données personnelles et professionnelles compromises.

Avant de chercher à savoir si vous êtes concerné, il est important de comprendre quelles informations ont potentiellement été exposées lors de ce piratage.

Les données concernées ne sont pas les mêmes selon que vous soyez un particulier ou un professionnel.

Les informations personnelles exposées

Pour les particuliers, les informations extraites comprennent notamment :

• Identifiant fiscal.
• État civil.
• Coordonnées (adresse postale, numéro de téléphone et adresse e-mail).
• Situation fiscale (situation familiale, nombre de personnes à charge, nombre de parts, revenu fiscal de référence et taux de prélèvement à la source).
• Messages échangés dans la messagerie sécurisée des impôts.

Pour les professionnels

Pour les entreprises et les professionnels, les informations potentiellement concernées sont notamment :

• Numéro SIREN.
• Dénomination de l’entreprise.
• Adresse de l’entreprise.
• Informations génériques relatives aux échanges dans la messagerie professionnelle.

Le numéro SIREN, la dénomination et l’adresse de l’entreprise sont, pour l’essentiel, des informations déjà publiques.

Le principal point de vigilance porte donc sur les informations relatives aux échanges avec l’administration fiscale et sur l’utilisation que des personnes malveillantes pourraient en faire pour crédibiliser une tentative d’escroquerie.

Les données non compromises

D’après la DGFiP, les mots de passe et les espaces personnels et professionnels sur impots.gouv.fr n’ont pas été compromis lors de cet incident.

Cela signifie que les pirates n’ont pas obtenu directement les identifiants permettant de se connecter aux espaces fiscaux.

Il faut toutefois distinguer la compromission des données personnelles de celle des identifiants de connexion : ce sont deux choses différentes.

Voici les 3 étapes pour vérifier l’exposition de vos données.

Étape 1 : Avez-vous reçu un mail des impôts ?

Si vous faites partie des personnes identifiées comme concernées par cet incident, vous devez recevoir un message d’information de la part de la DGFiP, par courriel ou par courrier.

Ce message répond à l’obligation d’information prévue par l’article 34 du Règlement général sur la protection des données (RGPD).

Attention, ce message ne contient aucun lien direct vers votre espace personnel et ne vous demande aucune information confidentielle.

Soyez donc vigilant face aux éventuelles tentatives de phishing qui pourraient chercher à imiter cette communication officielle.

Pour vérifier l’authenticité d’un courriel, examinez notamment l’adresse complète de l’expéditeur. Le domaine officiel utilisé pour ces communications doit être dgfip.finances.gouv.fr. En cas de doute, ne cliquez sur aucun lien et rendez-vous directement sur le site impots.gouv.fr.

Cette première vérification est la plus importante : elle vous permet de savoir si la DGFiP vous a identifié comme une personne concernée par ce piratage de données des impôts.

Étape 2 : Votre adresse e-mail apparaît-elle dans d’autres fuites de données ?

Ce qui permet aux hackers de mener des campagnes de phishing crédibles ou de tenter d’usurper une identité, c’est notamment le recoupement de données provenant de plusieurs fuites.

Même si votre adresse e-mail ne fait pas partie des données identifiées comme compromises lors de cet incident précis, elle a peut-être été exposée dans une autre fuite de données.

Pour le vérifier, nous allons utiliser un outil gratuit : Have I Been Pwned.

Rendez-vous sur le site : https://haveibeenpwned.com/

Saisissez votre adresse e-mail utilisée pour vous connecter à votre espace professionnel ou personnel sur impots.gouv.fr dans la barre de recherche.

Deux situations sont possibles :

• Votre adresse e-mail n’apparaît dans aucune fuite connue : c’est un résultat rassurant. Les bases de données consultées par le service ne répertorient aucune fuite associée à votre adresse.
• Votre adresse e-mail apparaît dans une ou plusieurs fuites : consultez les résultats pour identifier les services concernés, la date de chaque fuite et les catégories d’informations exposées.

Pourquoi est-ce important ?

Des personnes malveillantes peuvent recouper les informations provenant de différentes fuites pour obtenir davantage de renseignements sur vous. Elles peuvent ensuite les utiliser pour rendre leurs tentatives de phishing plus crédibles. Si vous réutilisez un mot de passe qui a fuité, celui-ci permettra aux pirates d’accéder à votre compte.

Cette deuxième vérification permet donc d’avoir une meilleure vision de votre exposition numérique, au-delà du seul piratage des impôts.

Étape 3 : Vérifier une éventuelle usurpation d’identité

Comme nous venons de le voir, le recoupement d’informations provenant de plusieurs fuites de données peut permettre aux personnes malveillantes de réunir de nombreux renseignements sur une même personne.

Les personnes malveillantes peuvent notamment utiliser ces informations pour remplir des formulaires en ligne ou ouvrir des comptes à votre nom. C’est ce que l’on appelle l’usurpation d’identité.

Pour vérifier si quelqu’un a ouvert un compte bancaire à votre nom sans votre autorisation, consultez le Fichier des comptes bancaires et assimilés (FICOBA).

Ce fichier recense les comptes bancaires ouverts en France. Vous pouvez le consulter pour identifier d’éventuels comptes que vous n’avez jamais ouverts.

Comment accéder à FICOBA ?

Le service est accessible directement depuis votre espace personnel sur le site des impôts, dans la rubrique « Autres services ».

Il vous suffit d’effectuer une demande pour consulter la liste des comptes bancaires enregistrés à votre nom.

Le délai de traitement peut aller jusqu’à 7 jours. Il faudra donc faire preuve d’un peu de patience avant d’obtenir le résultat.

Je ne souhaite pas non plus vous alarmer inutilement. Les cas d’usurpation d’identité existent. Mais une cela ne signifie pas automatiquement qu’un compte bancaire sera ouvert frauduleusement à votre nom.

Cette vérification constitue simplement une précaution supplémentaire permettant de détecter une éventuelle anomalie.Cette vérification constitue simplement une précaution supplémentaire permettant de détecter une éventuelle anomalie.

Quelques précautions supplémentaires

Si votre adresse e-mail ou votre mot de passe apparaît dans une autre fuite de données et que vous réutilisez ce mot de passe pour vous connecter à impots.gouv.fr, changez-le immédiatement.

Privilégiez également un mot de passe unique et suffisamment robuste pour chaque service. L’utilisation d’un gestionnaire de mots de passe peut faciliter cette démarche.

Vous pouvez aussi utiliser une adresse e-mail dédiée à vos démarches administratives et fiscales afin de mieux séparer vos différents usages numériques.

Que faire en cas d’usurpation d’identité ou de fraude ?

Si vous constatez que vos informations personnelles ont été utilisées de manière frauduleuse, plusieurs dispositifs existent pour vous accompagner.

• 17Cyber.gouv.fr : ce service public vous aide à identifier la nature de la situation et les démarches à effectuer.
• Cybermalveillance.gouv.fr : vous pouvez y signaler une situation de cybermalveillance et obtenir des conseils adaptés.
• Dépôt de plainte : en cas de préjudice, la CNIL recommande de déposer plainte auprès d’un commissariat de police ou d’une gendarmerie, via la plateforme THÉSÉE pour certaines arnaques sur Internet, ou par écrit auprès du procureur de la République du tribunal judiciaire dont vous dépendez.

Pensez à conserver toutes les preuves à votre disposition : SMS, courriels, captures d’écran ou documents pouvant aider à établir les faits.

Conclusion

Le piratage des données des impôts montre que des personnes malveillantes peuvent accéder à nos informations personnelles et professionnelles sans pour autant compromettre nos identifiants de connexion.

Pour vérifier votre situation, retenez les trois niveaux de contrôle abordés dans cet article :

1. La DGFiP : pour savoir si vous avez été identifié comme victime de cet incident.
2. Have I Been Pwned : pour vérifier si votre adresse e-mail apparaît dans d’autres fuites de données connues.
3. FICOBA : pour détecter d’éventuels comptes bancaires ouverts à votre nom.

Ces vérifications sont complémentaires et ne permettent pas de garantir que toutes vos informations sont intactes. Elles constituent néanmoins un premier moyen de mieux connaître votre exposition numérique et de détecter certaines anomalies.

En tant qu’entrepreneur, vos données personnelles et professionnelles font partie de votre patrimoine numérique. Savoir où elles sont exposées et comment les surveiller constitue une première étape pour mieux protéger votre activité.

Dites moi en commentaire si vous avez bien suivi ces étapes 😉