Cyberattaque à la DGFIP : Qui doit protéger qui ?
Résumé de la BD : Cyberattaque à la DGFIP : Qui doit protéger qui ?
- L'analyse des responsabilités après une cyberattaque visant une administration : si l'auteur de l'attaque est le premier responsable, l'organisme qui détient les données a lui aussi un devoir de protection, de réaction et d'information envers les personnes concernées.
- La compréhension de l'intérêt des données volées pour les pirates (identités, coordonnées, références administratives, informations fiscales et professionnelles), qui suffisent à fabriquer des messages d'hameçonnage extrêmement crédibles.
- L'illustration concrète d'une attaque de suite à travers l'exemple de Novalis Industrie, destinataire, trois jours après l'annonce de la fuite, d'un faux courriel de l'administration fiscale réclamant 8 750 euros, avec un site imité et une demande de réaction urgente.
- Le rappel des obligations de l'organisme victime : évaluer l'incident, contenir l'intrusion, préserver les éléments d'enquête, documenter la violation, notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, et informer les personnes exposées à un risque élevé.
- L'importance d'une communication de crise fondée sur une « transparence organisée », qui évite à la fois de minimiser un incident sérieux et d'annoncer comme certaines des informations non vérifiées, en précisant ce que l'on sait, ce que l'on ignore, ce que l'on fait et ce que chacun peut faire.
- La complexité de la couverture d'assurance cyber : l'intervention de la garantie dépend du contrat souscrit (une fraude au virement, par exemple, relève d'une garantie fraude/transfert de fonds spécifique), d'où l'intérêt de consulter un spécialiste en cyberrisques comme le site dédié créé par Gesco.
Présentatrice du JT : La Direction Générale des Finances Publiques a communiqué sur des accès illégitimes à son système d'information...
[Bandeau TV : Cyberattaque à la DGFiP - Des millions de données personnelles extraites]
Présentatrice du JT : Quand une entreprise est piratée, on dit qu'elle est victime...
Présentatrice du JT : ... Mais lorsqu'il s'agit d'une administration qui détient les données de millions de personnes, peut-on simplement dire qu'elle est victime ?
Maurice SALVATOR : Après une fuite de données, qui doit protéger qui ? ...
Maurice SALVATOR : ... Interrogeons IA² (1) !
IA² : Effectivement, c'est toute la question !
IA² : Il faut distinguer trois acteurs :
- l'auteur de l'attaque,
- l'organisme qui détenait les données,
- les personnes dont les données peuvent avoir été compromises.
IA² : Si l'auteur de l'attaque est le premier responsable, l'organisme qui conserve les données a également un devoir de protection, de réaction et d'information.
(1) Intelligence Assurantielle GESCO SA
Intervenant 1 : Pourquoi les pirates s'intéressent-ils autant aux données détenues par une administration fiscale ?
IA² : Selon les systèmes concernés, les pirates peuvent rechercher :
- des identités ;
- des coordonnées ;
- des informations professionnelles ;
- des références administratives ;
- des informations fiscales ;
- des données relatives à des entreprises ou leurs dirigeants...
IA² : Un nom, une adresse, et une référence administrative peuvent suffire pour fabriquer une attaque extrêmement crédible...
IA² : ... Et vous envoyer un message qui semble parfaitement authentique !
Intervenant 2 : Par exemple ?
IA² : Un courriel portant le logo d'une administration et indiquant :
[Encadré : "Monsieur Martin, une anomalie a été détectée dans le dossier fiscal de votre société. Merci de vous connecter sous 48 heures afin d'éviter une majoration."]
Intervenant 2 : Et comme le message contient des informations exactes, le dirigeant se méfie moins.
IA² : C'est tout le danger. La fuite ne constitue parfois que la première étape. La véritable attaque arrive quelques jours ou quelques semaines plus tard.
Claire MARTIN - Dirigeante de Novalis : C'est justement ce qui vient de nous arriver. Trois jours après l'annonce de la fuite, Sophie a reçu un message concernant notre entreprise.
Sophie LEROY - Directrice administrative et financière : Le message portait le logo de l'administration fiscale. Il indiquait le nom exact de Novalis Industrie, notre adresse et une référence correspondant à notre dossier. Il nous demandait de régulariser une somme de 8 750 euros.
Sophie LEROY - Directrice administrative et financière : Intriguée, j'ai tout de suite transmis à Karim, notre responsable informatique.
Karim BENALI - Responsable informatique : L'adresse du site imitait très bien celle de l'administration, et demandait une réaction urgente.
Intervenant 3 : Revenons à la fuite initiale ...
Intervenant 3 : ... Lorsqu'une administration découvre qu'un pirate a pu accéder à ses données, que doit-elle faire ?
Maître Antoine VAUTRIN - Avocat spécialisé en protection des données : Comme tout responsable de traitement de données personnelles, elle doit d'abord évaluer l'incident...
Maître Antoine VAUTRIN : Elle doit notamment :
- identifier les systèmes et les données concernés
- contenir l'intrusion
- préserver les éléments nécessaires à l'enquête
- documenter la violation
- évaluer les conséquences possibles pour les personnes.
Intervenant 3 : Doit-elle prévenir la CNIL ?
Maître Antoine VAUTRIN : Lorsque la violation est susceptible de présenter un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte.
Paul - Dirigeant d'une PME de services : Les 72 heures commencent donc au moment de l'attaque ?
Maître Antoine VAUTRIN : Non. Elles commencent lorsque l'organisme a connaissance de la violation ...
Maître Antoine VAUTRIN : ... Une intrusion peut malheureusement rester invisible pendant plusieurs semaines.
Claire MARTIN - Dirigeante de Novalis : L'administration doit-elle également prévenir chaque personne dont les données ont été volées ?
Maître Antoine VAUTRIN : Lorsque la violation présente un risque élevé pour les personnes, celles-ci doivent être informées dans les meilleurs délais, sauf exceptions prévues par les textes ...
Maître Antoine VAUTRIN : ... L'information doit être claire et compréhensible.
Intervenant 4 : Que devrait contenir cette information ?
IA² : Elle devrait notamment préciser :
- la nature de l'incident,
- les catégories de données concernées,
- les conséquences possibles,
- les mesures déjà prises,
- les précautions recommandées,
- un point de contact permettant d'obtenir des renseignements.
Intervenant 5 : Informer trop vite ne risque-t-il pas d'inquiéter inutilement les citoyens ?
Intervenant 6 : Et informer trop tard peut empêcher les victimes de se protéger.
Maurice SALVATOR : Tout l'enjeu est là. La communication de crise doit éviter deux écueils :
- minimiser un incident sérieux
- annoncer comme certaines des informations encore non vérifiées.
IA² : Une bonne communication peut dire : « Voici ce que nous savons. Voici ce que nous ne savons pas encore. Voici ce que nous faisons. Et voici ce que vous pouvez faire dès maintenant. »
Intervenant 7 : C'est donc une forme de transparence organisée.
Maurice SALVATOR : Oui. La transparence ne consiste pas à tout annoncer dans la précipitation. Elle consiste à communiquer régulièrement des informations exactes et utiles.
Intervenant 8 : Si mon entreprise est victime d'une attaque consécutive à cette fuite, mon assurance cyber interviendra-t-elle ?
Maurice SALVATOR : Cela dépend du contrat que vous avez souscrit.
Maurice SALVATOR : L'assurance cyber n'est pas simple. Exemple :
- Si l'entreprise effectue un virement pour le compte d'un escroc, la fraude financière n'est pas automatiquement couverte.
- Elle peut relever d'une garantie fraude/transfert de fonds spécifique.
Maurice SALVATOR : D'où votre intérêt à consulter un spécialiste en cyberrisques...
IA² : ... Voilà pourquoi Gesco a créé un nouveau site spécialisé, et s'est doté d'une IA² !
[Affiche : CyberRisques - Une initiative Assurances Gesco - L'assurance cyberrisques sans faille - [https://cyberrisques-assurances-gesco.fr/](https://cyberrisques-assurances-gesco.fr/) - 01 48 37 68 68]
Naaïma : Pour être conseillé : [01 48 37 68 68](tel:+33148376868)
Pour nous joindre, c'est ici !
Notre rôle est de comparer les offres, de personnaliser vos contrats selon vos besoins et d’assurer le suivi continu de votre couverture.
Cette exigence de transparence, de sécurité et de conseil sur mesure fonde la relation durable que nous entretenons avec chacun de nos clients.
Chez Gesco, la confiance est au cœur de chaque échange. Vos données sont traitées avec la plus grande rigueur et protégées conformément au RGPD. Chaque information partagée nous permet de mieux vous accompagner, sans jamais être transmise à des tiers sans votre accord. Ensemble, construisons une relation durable, fondée sur la transparence, la sécurité et l’accompagnement sur mesure. C’est cette confiance qui fait de nous un partenaire utile, engagé et attentif dans le suivi de vos dossiers.