En quelques semaines, l'administration fiscale vient de connaître trois fuites de données successives, dont une exposant des informations très sensibles (et couvertes par le secret fiscal) concernant près de 600 000 contribuables particuliers et professionnels.

Piratage du fisc : voici la liste précise des données qui ont fuité

Parmi les risques évoqués suite à ce vol figure celui du « phishing », ou « hameçonnage » en français. « Les conséquences [de la fuite, NDLR] portent principalement sur de possibles tentatives d'escroqueries par l'intermédiaire de messages (« hameçonnage ») ou d'appels frauduleux (par exemple des fraudes par manipulation, notamment au faux conseiller bancaire, au président, etc.) rendus plus crédibles par la mention de vos données personnelles », explique par exemple la Direction générale des Finances publiques (DGFiP) dans une foire aux questions publiée lundi 17 août.

Des « hameçons » innombrables

D'où vient exactement ce terme de Phishing ? Il s'agit d'un mot-valise anglais, contraction de phreaking, terme issu de la culture hacker et désignant le piratage de réseaux téléphoniques, et de fishing (pêcher en anglais). On peut, comme la DGFiP, lui préférer le néologisme francophone « hameçonnage », né au Québec, mais force est de constater qu'il est aujourd'hui beaucoup moins utilisé en France.

Le phishing consiste, pour le cybercriminel, à usurper l'identité d'un tiers supposé de confiance pour soutirer à sa victime des données confidentielles et sensibles. La liste est longue : état civil, adresses, numéros de téléphone, identifiants divers, mots de passe, numéros de compte ou de carte, copies de pièces d'identité ou d'avis d'imposition, etc.

Les formes prises par les « hameçons » utilisés sont innombrables. Le tiers dont l'identité est usurpée peut être une banque, une administration, un service en ligne, une entreprise de livraison, etc. Le médium peut être un courriel, un SMS (on parle alors de smishing), un appel téléphonique (vishing), un QR Code (quishing)...

Un préalable à la fraude véritable

Les données volées (et souvent revendues sur l'internet clandestin, sous forme de bases de données) sont ensuite utilisées de manière directe, par exemple pour prendre le contrôle du compte bancaire de la victime, ou indirectement, pour crédibiliser une interaction frauduleuse.

C'est ce qui se passe dans le cas des redoutables fraudes par manipulation : le cybercriminel utilise les données recueillies par phishing pour se rendre crédible auprès de sa victime, par exemple en tant que conseiller bancaire, et la manipuler afin de contourner les systèmes d'authentification forte mis en place par la banque.

En clair, le phishing ne constitue pas la fraude en elle-même, mais la technique permettant le vol de données préalable à cette fraude.

Un risque de phishing après la fuite du fisc ?

Alors, a-t-on raison d'évoquer un risque de phishing à la suite des fuites de données à la DGFiP ? Oui, car les informations volées ont beau être hautement confidentielles, elles ne suffisent pas en elles-mêmes à débiter frauduleusement un compte bancaire.

Elles peuvent, en revanche, être utilisées pour crédibiliser des opérations de phishing, usurpant par exemple l'identité de l'administration fiscale. Des campagnes destinées à recueillir des identifiants de compte, des mots de passe, des numéros de cartes et des clés numériques, qui permettent de vider des comptes.