Filtração de dados fiscais em França por senhas roubadas e falhas de autenticação em DGFIP

Em junho e julho, um atacante extraiu dados fiscais de centenas de milhares de contribuintes e empresas do sistema de mensagens da Direcção-Geral das Finanças Públicas (DGFIP), o organismo que gere o portal impots.gouv.fr. De acordo com o relatório da agência nacional de cibersegurança ANSSI e comunicados da DGFIP, a intrusão não explodiu uma vulnerabilidade de dia zero ou técnicas avançadas: baseou-se em senhas de funcionários roubados, ausência de autenticação forte em algumas aplicações e falhas de segmentação e monitoramento de redes.

Atos confirmados: A DGFIP e ANSSI detalham que os registros de E-conta - a ferramenta que os contribuintes usam para trocar mensagens com a administração - foram consultados ou copiados para mais de 350.000 pessoas e cerca de 250 mil empresas. Os tipos de dados em causa incluem identificadores fiscais, endereços, situação familiar, referência de receitas, taxa de retenção e listas de mensagens trocadas; o conteúdo real das mensagens teria sido visto para um subconjunto menor (menos de 250 pessoas e menos de 2.076 empresas, de acordo com os números oficiais). Os registros apontam para duas vias de acesso distintas: uma que aproveitou senhas de modelos internos para acessar portais como PIGP e ADER, e outra vinculada a APEX (portal de colaboradores externos) que permitiu chegar a dados registrais.

Como funcionou tecnicamente (segundo a pesquisa): Os investigadores concluem que muitas senhas de funcionários foram provavelmente sutraídas por malware tipo "infostealer" em equipamentos que a DGFIP não gerenciava (provavelmente dispositivos pessoais ou de terceiros). Os portais empregados pelo atacante pediam apenas senha - ou senha mais código por e-mail -, o que facilitou o acesso quando o atacante controlava essas credenciais ou a caixa de correio do segundo fator. Uma vez dentro, a falta de separação entre aplicações sensíveis e o resto da rede RIE (a rede que interconecta ministérios) permitiu movimentos laterais para E-conta. Além disso, foram usadas ferramentas de scraping automatizadas para copiar páginas uma por um longo período. Vários incidentes iniciais foram detectados pelo SOC, mudaram-se senhas, mas não terminavam as sessões abertas nem se correlacionavam sinais (inicios noturnos, VPNs, endereços IP suspeitos, volume anómalo de pedidos) para parar a extração.

O que falhou em defesa: ANSSI identifica três problemas principais: autenticação insuficiente em aplicações críticas, pobre separação de perímetros e privilégios e monitorização incompleta. Os sensores de ANSSI estavam nos pontos de entrada/saída da rede, sem acesso a registros de aplicações, pelo que a atividade com credenciais legítimas passou desapercibida; o SOC da DGFIP não monitorava ADER nem cruzava indicadores que, combinados, tivessem apontado scraping massivo (por exemplo, número de petições por conta, sessões longas após restabelecimentos de senha, conexões de IPs previamente marcadas).

Entre as consequências confirmadas já ocorreu um impacto operacional: a DGFIP bloqueou o acesso do pessoal a alguns portais (PIGP, ADER) e APEX foi temporariamente fechado para terceiros, o que gerou interrupções em serviços internos e para colaboradores. ANSSI ordenou uma auditoria mais ampla para identificar vulnerabilidades adicionais.

O que pode implicar para afetados e riscos reais: Embora as contas pessoais dos contribuintes não tenham sido autorizadas para iniciar sessão em impots.gouv.fr, a informação filtrada permite ataques de suplantação (phishing) muito mais credíveis, fraudes dirigidas e uso de dados para roubos de identidade. Direcções, números fiscais e referências de receitas são elementos que facilitam fraudes e evasão de controlos de segurança social e bancários. Além disso, a exposição de conversas com a administração pode revelar informações sensíveis sobre situações pessoais ou patrimoniais.

O que está confirmado vs o que continua incerto: É confirmado o número aproximado de registros consultados e vetores gerais (contrasenhas roubadas, acesso por portais). É uma estimativa — não totalmente verificada publicamente — que a segunda via (APEX/registo catastral) afectou quase 435.000 famílias de acordo com um comunicado parlamentar. Não está publicamente confirmado se os dados sutraídos já foram publicados ou vendidos em fóruns, nem o uso posterior que possa ter sido feito da informação. Também não há uma confirmação pública completa sobre o método exato de infecção inicial dos equipamentos que serviram para roubar as senhas (embora ANSSI qualifica como "provavelmente" o uso de infostealers em dispositivos não gerenciados).

Para cidadãos e empresas afectadas ou preocupadas com esta filtragem, as medidas concretas são claras e práticas: verifique qualquer comunicação oficial desde impots.gouv.fr, não responda a mensagens não solicitadas que solicitem dados pessoais e active na medida do possível mecanismos de verificação adicionais nos seus serviços financeiros. Mude senhas críticas se você tiver reutilizado credenciais entre serviços e monitorize extratos bancários e notificações de fraude. Denuncie tentativas de phishing aos canais oficiais da DGFIP e, em caso de sinais de suplantação, contacte o seu banco e as autoridades competentes.

Para os responsáveis pela TI e segurança, as recomendações técnicas são operacionais e priorizadas: implantar autenticação multifatorial sólida em todas as aplicações (evitar o código enviado por e-mail como único segundo fator; preferir tokens físicos ou apps autenticadoras em dispositivos separados), aplicar revogação imediata de todas as sessões ativas quando se restabelece uma senha, implantar monitoramento a nível de aplicação em um SIEM (recolhimento e correlação de logs), impor quotas e limites de acesso a registros e petições para detectar scraping e segmentar redes para impedir movimento lateral a serviços sensíveis. O acesso administrativo a recursos corporativos deve também ser proibido a partir de dispositivos pessoais não geridos e reforçado a protecção endpoint em todos os equipamentos que possam conter credenciais.

ANSSI e a DGFIP publicaram comunicados e alertam que este episódio ilustra como técnicas simples combinadas com falhas operacionais podem resultar em vazamentos massivos de dados. Para mais informações sobre medidas de proteção e guias de boas práticas em autenticação forte, consulte os recursos oficiais do ANSSI em ssi.gouv.fr e avisos ao público no site da DGFIP impots.gouv.fr. A lição central: a segurança não depende apenas de adesivos ou firewalls, mas de controles básicos aplicados de forma constante e da capacidade de correlacionar sinais antes de uma intrusão rotineira se tornar fuga maciça.