Hacker utiliza senhas de funcionários da DGFIP para acessar dados de centenas de milhares de contribuintes
Entre junho e julho, um atacante obteve dados de pouco mais de 350.000 indivíduos e cerca de 250.000 empresas francesas ao explorar senhas de funcionários da Direção Geral da Fazenda e Receita Pública (DGFIP), organismo responsável pelo site oficial impots.gouv.fr. O acesso foi feito por meio de contas sem privilégios especiais, mas que permitiram a coleta massiva de informações sigilosas.
O vazamento só foi descoberto em 12 de agosto, quando o próprio atacante divulgou o rompimento em um fórum online — sete semanas após o início da extração de dados. Após o caso, o primeiro-ministro Sébastien Lecornu solicitou uma auditoria profunda à Agência Nacional de Segurança Cibernética da França (ANSSI).
Segundo relatório da ANSSI, o ataque não utilizou técnicas sofisticadas. A vulnerabilidade estava em falhas de autenticação frágeis, redes mal segmentadas e ausência de monitoramento eficaz. O grupo alvo foi o sistema E-Contact, ferramenta usada por contribuintes para trocar mensagens com a DGFIP.
O invasor utilizou duas rotas distintas. Na primeira, roubou algumas dezenas de senhas de funcionários entre fevereiro e abril, possivelmente por meio de infostealers em dispositivos pessoais não gerenciados pela DGFIP. Essas credenciais foram usadas para acessar os portais internos PIGP (e-mail e recursos humanos) e ADER (aplicações conectadas à RIE, rede governamental interministerial).
Pelo segundo caminho, o atacante invadiu dados de cartórios de registros públicos por meio do portal APEX, usado por notários e topógrafos. Um computador de escritório privado foi comprometido, permitindo ao invasor contornar o segundo fator de autenticação enviado por e-mail. Os dados roubados entre 27 de julho e 8 de agosto abrangem cerca de 435.000 famílias.
A equipe de Segurança Operacional (SOC) da DGFIP reagiu a alertas isolados, mas não conseguiu conectar os pontos. Por exemplo, em 23 de junho, uma conta comprometida gerou um protocolo às 20h50, mas o atacanteComeçou a exportar dados às 4h26 do dia seguinte. O reset de senha ocorreu às 10h40, mas a sessão no ADER permaneceu ativa, permitindo mais 16 horas de vazamento.
A ANSSI também falhou ao identificar o movimento. Seus sensores de detecção estão localizados apenas nas entradas e saídas da RIE e da internet, sem acesso aos logs das aplicações. Além disso, não havia correlação entre sinais como acessos noturnos, uso de VPNs, conexões de IPs na Índia ou endereços conhecidamente maliciosos.
Outro detalhe preocupante: uma notificação enviada em 9 de junho pelo ministério da Educação alertava outros órgãos sobre uma violação em sua rede, com 17 indicadores de comprometimento compartilhados. O atacante já havia usado um desses endereços IP e retomou o uso em finais de junho.
Com informações de: The Hacker News