Justiça francesa investiga roubo de dados fiscais de 678 mil contribuintes

As autoridades judiciais francesas abriram uma investigação a um ciberataque contra o fisco em junho, que resultou no roubo de dados fiscais de 678 mil contribuintes (particulares e empresas), embora só tenha descoberto a violação esta semana.
A Procuradoria de Paris anunciou este sábado, 15 de agosto,  a abertura da investigação e o caso está a ser conduzido pela unidade de cibercrime da polícia francesa (Ofac – Office de lutte contre la cybercriminalité).
A investigação visa esclarecer como ocorreu a intrusão nos sistemas informáticos da Direção-Geral das Finanças Públicas (DGFIP), estabelecer a alegada responsabilidade e determinar se a violação foi levada a cabo por um grupo organizado (uma conspiração criminosa, em termos jurídicos).
O crime no centro deste processo prevê uma pena mínima de prisão de cinco anos.
Além do inquérito judicial, o ministro das Finanças, David Amiel, anunciou hoje que será realizada uma auditoria paralela — liderada pela Agência Nacional de Cibersegurança e Ciberdefesa (ANSSI) — “para tirar lições desta crise” e as conclusões serão submetidas às Comissões de Finanças da Assembleia Nacional e do Senado.
Numa mensagem na rede social X, David Amiel alertou que os ciberataques dirigidos às autoridades fiscais e a inúmeros serviços públicos estão a proliferar e apontou que, à medida que a inteligência artificial [IA] aumenta os meios para realizar tais ataques, a ameaça irá crescer, exigindo uma maior proteção.
A este respeito, reconheceu que o Estado acumulou “certas ‘dívidas técnicas’” e deve responder rapidamente, justificando as ações tomadas durante o seu mandato para “acelerar a modernização da cibersegurança”.
Isto implica a implementação generalizada da autenticação de dois fatores para os servidores públicos que acedem aos ficheiros, sistemas de alerta precoce para detetar fugas de dados após uma intrusão e uma “revisão abrangente de todos os protocolos de acesso a dados”.
A responsável da DGFIP, Amélie Verdier, tinha reconhecido na sexta-feira que, em junho, foi detetada uma intrusão na conta de um dos seus agentes, que foi rapidamente contida. No entanto, inicialmente acreditou-se que nenhum dado tinha sido roubado, mas a constatação do roubo só ocorreu depois de o alegado ‘hacker’ se ter gabado da operação a 12 de agosto.
Verdier explicou que o ‘hacker’, utilizando o pseudónimo ZeroBytes, obteve informações como os nomes completos e moradas dos contribuintes particulares, o rendimento tributável de referência e as taxas de imposto sobre o rendimento aplicáveis aos mesmos.
Quanto às empresas, os dados obtidos eram menos sensíveis — como moradas, números de identificação administrativa ou o nome do responsável.
A diretora-geral das Finanças Públicas salientou que o pirata ou piratas informáticos não acederam a elementos que permitissem entrar nas contas pessoais dos contribuintes, nem obter as suas declarações de IRS completas.
Verdier anunciou que, a partir da próxima semana, as pessoas afetadas serão contactadas para que a situação lhes seja explicada e para que recebam orientações sobre como se proteger contra a exposição destes dados.
O alegado autor do ciberataque afirmou ter colocado o ficheiro roubado à venda por vários milhares de euros.