Um ciberataque contra a administração fiscal francesa comprometeu dados de 678 mil pessoas e empresas, num incidente que está a ser investigado pelas autoridades e que já levou o Governo francês a desencadear uma operação de resposta e auditoria aos sistemas informáticos da Direcção-Geral das Finanças Públicas (DGFiP).

O ataque afectou informação fiscal e patrimonial de contribuintes individuais e profissionais. Entre os dados que terão sido acedidos encontram-se informação sobre rendimento tributável de referência, taxas de retenção na fonte e dados cadastrais relativos a imóveis, incluindo moradas e áreas. No caso das empresas, foram comprometidos, entre outros elementos, nomes e números de identificação SIREN.

A DGFiP esclareceu, contudo, que as contas fiscais online dos contribuintes não foram comprometidas e que os nomes de utilizador e palavras-passe não foram expostos.

Ataque detectado, mas extracção de dados só descoberta posteriormente

Segundo as informações divulgadas pelas autoridades francesas, o acesso não autorizado aos sistemas ocorreu durante os meses de Junho e Julho, através de credenciais comprometidas. O acesso utilizado pelos atacantes foi entretanto bloqueado.

A investigação inicial não terá identificado imediatamente a extracção de dados. A extensão da intrusão só foi determinada depois de um atacante ter reivindicado publicamente a operação, nos dias 12 e 13 de Agosto, levando as autoridades a aprofundar a análise forense dos sistemas.

O caso ganhou dimensão pública a 13 de Agosto e levou o primeiro-ministro francês, Sébastien Lecornu, a convocar uma reunião de crise interministerial. As autoridades começaram também a contactar individualmente as pessoas e empresas potencialmente afectadas, informando-as sobre os dados que poderão ter sido expostos e sobre as medidas de precaução a adoptar.

ANSSI vai auditar sistemas da administração fiscal

A Agência Nacional de Segurança dos Sistemas de Informação francesa (ANSSI) foi chamada a acompanhar a resposta ao incidente e deverá supervisionar uma auditoria aos sistemas informáticos da administração fiscal.

As conclusões da auditoria são esperadas em Setembro. O Governo francês anunciou igualmente a intenção de acelerar o plano de reforço da cibersegurança das administrações públicas, que inclui financiamento adicional para segurança informática, inteligência artificial e protecção dos sistemas ministeriais.

O ministro do Orçamento francês, David Amiel, reconheceu entretanto a existência de problemas relacionados com a modernização dos sistemas informáticos e defendeu a necessidade de acelerar as medidas de cibersegurança. Entre as medidas em preparação estão o reforço da autenticação de dois factores, formação dos funcionários e utilização de ferramentas de inteligência artificial para identificar vulnerabilidades.

Dados fiscais podem alimentar novas campanhas de fraude

Embora as palavras-passe e as contas fiscais não tenham sido comprometidas, a informação exposta poderá representar um risco significativo para as vítimas.

Dados fiscais, patrimoniais e empresariais detalhados podem ser utilizados para construir campanhas de phishing e engenharia social mais credíveis, permitindo aos atacantes fazer-se passar por entidades públicas, instituições financeiras ou parceiros comerciais.

No caso das empresas, a exposição de informação fiscal e de identificação pode também facilitar tentativas de fraude de identidade empresarial ou ataques dirigidos a colaboradores e responsáveis financeiros.

O caso demonstra, assim, que uma violação de dados não depende necessariamente da obtenção de palavras-passe para criar riscos relevantes. A combinação de informação pessoal, financeira, patrimonial e empresarial pode fornecer aos atacantes matéria-prima suficiente para desenvolver campanhas altamente direccionadas.

Um alerta para as administrações públicas

O incidente francês volta a colocar em evidência a importância da protecção dos sistemas de informação que suportam serviços públicos essenciais. A dimensão dos dados tratados pela administração fiscal torna estas plataformas particularmente atractivas para cibercriminosos, enquanto a existência de sistemas antigos e complexos pode aumentar a superfície de ataque.

Para as organizações, o caso reforça a necessidade de combinar gestão de identidades e acessos, autenticação multifactor, monitorização contínua, detecção de extracção de dados e capacidade de resposta a incidentes.

Mais do que impedir um acesso não autorizado, o desafio passa também por detectar rapidamente aquilo que um atacante consegue fazer depois de obter credenciais legítimas, nomeadamente consultar, movimentar ou extrair grandes volumes de informação.

A investigação francesa continua em curso e as autoridades deverão esclarecer nas próximas semanas a extensão total do incidente e as vulnerabilidades que permitiram o acesso aos sistemas da DGFiP.