As autoridades judiciais francesas abriram uma investigação a um ciberataque contra o fisco em junho, que resultou no roubo de dados fiscais de 678.000 contribuintes (particulares e empresas), embora só tenha descoberto a violação esta semana.

A Procuradoria de Paris anunciou hoje a abertura da investigação e o caso está a ser conduzido pela unidade de cibercrime da polícia francesa (Ofac - Office de lutte contre la cybercriminalité).

A investigação visa esclarecer como ocorreu a intrusão nos sistemas informáticos da Direção-Geral das Finanças Públicas (DGFIP), estabelecer a alegada responsabilidade e determinar se a violação foi levada a cabo por um grupo organizado (uma conspiração criminosa, em termos jurídicos).

O crime no centro deste processo prevê uma pena mínima de prisão de cinco anos.

Além do inquérito judicial, o ministro das Finanças, David Amiel, anunciou hoje que será realizada uma auditoria paralela - liderada pela Agência Nacional de Cibersegurança e Ciberdefesa (ANSSI) - "para tirar lições desta crise" e as conclusões serão submetidas às Comissões de Finanças da Assembleia Nacional e do Senado.

Numa mensagem na rede social X, David Amiel alertou que os ciberataques dirigidos às autoridades fiscais e a inúmeros serviços públicos estão a proliferar e apontou que, à medida que a inteligência artificial [IA] aumenta os meios para realizar tais ataques, a ameaça irá crescer, exigindo uma maior proteção.

A este respeito, reconheceu que o Estado acumulou "certas 'dívidas técnicas'" e deve responder rapidamente, justificando as ações tomadas durante o seu mandato para "acelerar a modernização da cibersegurança".

Isto implica a implementação generalizada da autenticação de dois fatores para os servidores públicos que acedem aos ficheiros, sistemas de alerta precoce para detetar fugas de dados após uma intrusão e uma "revisão abrangente de todos os protocolos de acesso a dados".

A responsável da DGFIP, Amélie Verdier, tinha reconhecido na sexta-feira que, em junho, foi detetada uma intrusão na conta de um dos seus agentes, que foi rapidamente contida. No entanto, inicialmente acreditou-se que nenhum dado tinha sido roubado, mas a constatação do roubo só ocorreu depois de o alegado 'hacker' se ter gabado da operação a 12 de agosto.

Verdier explicou que o 'hacker', utilizando o pseudónimo ZeroBytes, obteve informações como os nomes completos e moradas dos contribuintes particulares, o rendimento tributável de referência e as taxas de imposto sobre o rendimento aplicáveis aos mesmos.

Quanto às empresas, os dados obtidos eram menos sensíveis --- como moradas, números de identificação administrativa ou o nome do responsável.

A diretora-geral das Finanças Públicas salientou que o pirata ou piratas informáticos não acederam a elementos que permitissem entrar nas contas pessoais dos contribuintes, nem obter as suas declarações de IRS completas.

Verdier anunciou que, a partir da próxima semana, as pessoas afetadas serão contactadas para que a situação lhes seja explicada e para que recebam orientações sobre como se proteger contra a exposição destes dados.

O alegado autor do ciberataque afirmou ter colocado o ficheiro roubado à venda por vários milhares de euros.