Ένας επιτιθέμενος χρησιμοποίησε κλεμμένους κωδικούς πρόσβασης του προσωπικού της γαλλικής φορολογικής διοίκησης για κλοπή δεδομένων φορολογίας εκατοντάδων χιλιάδων φορολογουμένων και επιχειρήσεων τον Ιούνιο και τον Ιούλιο.
Δείτε επίσης: Η French Football Federation αποκάλυψε παραβίαση δεδομένων
Ούτε η φορολογική διοίκηση ούτε η εθνική υπηρεσία κυβερνοασφάλειας της Γαλλίας ανίχνευσαν τα δεδομένα που έφευγαν. Η επίθεση δεν ήταν περίπλοκη, σύμφωνα με την υπηρεσία ANSSI, η οποία ανέφερε ότι πέτυχε λόγω αδύναμης προστασίας σύνδεσης, κακώς διαχωρισμένων δικτύων και κενών στην παρακολούθηση.
Η φορολογική διοίκηση, γνωστή ως DGFIP, διαχειρίζεται τον φορολογικό ιστότοπο της Γαλλίας, impots.gouv.fr. Τα δεδομένα αποκτήθηκαν από το E-Contact, το εργαλείο που χρησιμοποιούν οι φορολογούμενοι για να επικοινωνούν με τη φορολογική διοίκηση. Τα κλεμμένα δεδομένα περιλαμβάνουν πληροφορίες για πάνω από 350.000 άτομα και πάνω από 250.000 επιχειρήσεις. Οι προσωπικοί λογαριασμοί και οι κωδικοί πρόσβασης των φορολογουμένων δεν παραβιάστηκαν.
Για τα άτομα, τα δεδομένα που ενδέχεται να έχουν προβληθεί ή αντιγραφεί περιλαμβάνουν τον φορολογικό τους αριθμό, τα στοιχεία επικοινωνίας, την οικογενειακή κατάσταση, το αναφοράσιμο φορολογητέο εισόδημα, το ποσοστό παρακράτησης φόρου και μια λίστα με τα μηνύματα που ανταλλάχθηκαν με τη DGFIP. Για λιγότερα από 250 άτομα, τα ίδια τα μηνύματα ενδέχεται επίσης να έχουν ληφθεί.
Για τις επιχειρήσεις, τα κλεμμένα δεδομένα περιλαμβάνουν την επωνυμία της εταιρείας, τον αριθμό εγγραφής SIREN, τη διεύθυνση και βασικές λεπτομέρειες των μηνυμάτων τους. Για λιγότερες από 2.076 επιχειρήσεις, το περιεχόμενο αυτών των μηνυμάτων ενδέχεται να έχει προσπελαστεί.
Η κλοπή δεδομένων έγινε γνωστή στις 12 Αυγούστου, όταν ο επιτιθέμενος ανέλαβε την ευθύνη σε ένα διαδικτυακό φόρουμ, επτά εβδομάδες μετά την αρχική λήψη των δεδομένων. Ο Πρωθυπουργός Σεμπαστιάν Λεκορνύ ζήτησε τότε έναν ενδελεχή έλεγχο από την ANSSI. Τον Αύγουστο, το υπουργείο που επιβλέπει τη DGFIP παρείχε μια διαφορετική εξήγηση, δηλώνοντας ότι οι έλεγχοι πρόσβασης της DGFIP δεν αποκάλυψαν την κλοπή “λόγω της πολυπλοκότητας της επίθεσης“.
Ο επιτιθέμενος χρησιμοποίησε δύο ξεχωριστές μεθόδους για να αποκτήσει πρόσβαση. Η πρώτη ξεκίνησε με ύποπτες συνδέσεις στις αρχές Μαΐου και οδήγησε στο E-Contact. Αυτή η διαδρομή βασίστηκε σε αρκετές δεκάδες κωδικούς πρόσβασης που ανήκαν στο προσωπικό της DGFIP, οι οποίοι κλάπηκαν σε διάστημα τριών μηνών, πιθανώς μέσω infostealers—κακόβουλου λογισμικού που αντιγράφει ήσυχα αποθηκευμένες συνδέσεις—από υπολογιστές που δεν διαχειρίζεται η DGFIP, πιθανώς προσωπικές συσκευές του προσωπικού.
Δείτε επίσης: French National Bank Authority: Παραβίαση 1,2 εκατομμυρίων λογαριασμών
Ο επιτιθέμενος εκμεταλλεύτηκε δύο πύλες, την PIGP και την ADER, που απαιτούσαν μόνο έναν κωδικό πρόσβασης, επιτρέποντας στους κλεμμένους κωδικούς να λειτουργούν άμεσα. Η PIGP είναι μια διαδικτυακή πύλη που χρησιμοποιείται από το προσωπικό της DGFIP για υπηρεσίες email και HR, ενώ η ADER παρέχει πρόσβαση σε ορισμένες εφαρμογές της DGFIP μέσω του RIE, του δικτύου που συνδέει τα γαλλικά κυβερνητικά υπουργεία.
Ο επιτιθέμενος απέκτησε πρόσβαση στο RIE μέσω συμβιβασμένων συστημάτων του υπουργείου Παιδείας. Οι ευαίσθητες εφαρμογές της DGFIP δεν ήταν επαρκώς διαχωρισμένες από το υπόλοιπο RIE, επιτρέποντας την πρόσβαση από τμήματα του δικτύου χωρίς εμφανή ανάγκη. Οι ερευνητές βρήκαν επίσης αποδείξεις για προσπάθειες διείσδυσης σε άλλα κυβερνητικά σώματα στο δίκτυο.
Οι λογαριασμοί που χρησιμοποιήθηκαν από τον επιτιθέμενο δεν είχαν ειδικά προνόμια, ωστόσο μπορούσαν να έχουν πρόσβαση σε σημαντική ποσότητα δεδομένων. Η ANSSI δεν διερεύνησε πώς διαχειρίζονταν τα δικαιώματα χρήστη για αυτήν την αναφορά.
Η δεύτερη μέθοδος οδήγησε σε δεδομένα κτηματολογίου μέσω της APEX, μιας πύλης για συνεργάτες όπως συμβολαιογράφους και τοπογράφους, που απαιτούσε έναν κωδικό πρόσβασης και έναν κωδικό μιας χρήσης που αποστέλλεται μέσω email. Η έρευνα της DGFIP πρότεινε ότι ένας υπολογιστής τοπογράφου σε ιδιωτική εταιρεία μπορεί να έχει παραβιαστεί, επιτρέποντας στον επιτιθέμενο να παρακάμψει τον κωδικό. Τα δεδομένα λήφθηκαν μεταξύ 27 Ιουλίου και 8 Αυγούστου, επηρεάζοντας σχεδόν 435.000 νοικοκυριά, σύμφωνα με σημείωση της επιτροπής οικονομικών της Γερουσίας με ημερομηνία 4 Σεπτεμβρίου.
Η DGFIP είχε μια ρουτίνα για τη διαχείριση κλεμμένων συνδέσεων προσωπικού, όπως αναφέρθηκε από την ANSSI. Το κέντρο επιχειρήσεων ασφαλείας της (SOC) παρακολουθεί για επιθέσεις. Όταν το SOC ανίχνευσε έναν συμβιβασμένο λογαριασμό ή ένας πάροχος πληροφοριών απειλών τον επισήμανε, επαναφορά του κωδικού πρόσβασης. Αυτή η ρουτίνα εντόπισε κάποια από τη δραστηριότητα του επιτιθέμενου αλλά απέτυχε να αποτρέψει την κλοπή.
Δείτε επίσης: Data Centers AI: Η Καλιφόρνια αυστηροποιεί τους κανόνες
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Στις 7 Ιουνίου, οι αναζητήσεις με χρήση ενός κλεμμένου λογαριασμού προκάλεσαν συναγερμό, αλλά η απάντηση ήταν ανεπαρκής για να σταματήσει την παραβίαση.
