Une nouvelle fuite vise les données cadastrales de la DGFiP. L’enjeu dépasse le volume: identité, adresse et patrimoine peuvent être recoupés.
En bref
- 2 041 778 propriétaires seraient concernés
- Le SPDC aurait été visé
- Le recoupement des données inquiète
Nom, date de naissance, adresse, parcelle, droits sur un bien. Mis bout à bout, ça donne un fichier autrement plus sensible qu’une simple base cadastrale. C’est ce qui fait grimper la tension autour de la nouvelle revendication visant la DGFiP, avec plus de 2 millions de propriétaires potentiellement concernés.
Le cadastre devient une mine pour l’ingénierie sociale
Dans les échantillons évoqués, on retrouve les nom et prénoms, le sexe, la date et le lieu de naissance, parfois le nom d’usage, l’adresse du titulaire, l’identifiant foncier MAJIC, mais aussi la commune, le département, la section et le numéro de parcelle. S’y ajoutent les droits associés au bien et, le cas échéant, les autres titulaires liés à la même parcelle.
Ce n’est pas le détail isolé qui pèse le plus. C’est l’assemblage. Une même entrée peut relier une identité civile complète, une adresse précise et des informations sur le patrimoine immobilier. Pour des campagnes de phishing très ciblées, de l’usurpation d’identité ou de faux messages imitant l’administration fiscale, le potentiel est franchement mauvais. Le ministère de l’Économie rappelle d’ailleurs régulièrement que l’image de la DGFiP sert souvent d’appât dans les fraudes.
Ce que revendique ZeroBytes, et ce qui reste à prouver
Le pseudonyme ZeroBytes, relayé par FrenchBreaches, affirme avoir extrait 252 149 lignes depuis le Serveur Professionnel de Données Cadastrales, le SPDC. Comme plusieurs personnes peuvent être rattachées à une même parcelle, ce total représenterait 2 041 778 personnes.
Mais il faut rester carré sur les termes. L’ampleur exacte n’est pas confirmée indépendamment. Même chose pour la méthode décrite par l’attaquant, qui dit avoir maintenu un accès après authentification puis contournement du MFA. Il explique aussi avoir interrompu une extraction jugée trop lente, estimant qu’une collecte plus large aurait demandé plusieurs mois.
Et il avance un autre chiffre, nettement plus spectaculaire, environ 20 millions de personnes potentiellement consultables. À ce stade, ce n’est pas un nombre de victimes. Juste une estimation revendiquée.
Une deuxième affaire qui met la DGFiP sous forte pression
Le calendrier n’aide pas. La veille, la DGFiP avait confirmé une autre intrusion, distincte, après un accès illégitime ayant permis consultation et extraction de données concernant particuliers et professionnels.
Dans ce premier dossier, ZeroBytes revendiquait déjà 678 438 lignes liées à un outil interne connecté à impots.gouv.fr, avec des données fiscales très sensibles, dont identifiants, adresses, revenus fiscaux de référence, taux de prélèvement à la source, e-mails, téléphones ou historique de certaines demandes.
Résultat ? Deux sujets, possiblement liés, possiblement non, mais une même pression sur l’administration. La DGFiP gère un système immense, avec 651 produits numériques en production, plus de 5 000 agents IT et des services touchant jusqu’à 40 millions d’usagers pour la fiscalité des particuliers. Elle avait déjà renforcé certains accès avec un second facteur d’authentification. Il reste maintenant à déterminer quels systèmes ont réellement été compromis, combien de temps l’accès a duré et si d’autres données ont circulé sans être encore rendues publiques.
