A Procuradoria de Paris anunciou este sábado a abertura de uma investigação ao ciberataque contra o fisco francês, que resultou no roubo de dados de 678 mil contribuintes, entre particulares e empresas. O caso está a ser conduzido pela unidade de cibercrime da polícia francesa, Ofac (Office de lutte contre la cybercriminalité).

A investigação visa esclarecer como ocorreu a intrusão nos sistemas informáticos da Direção-Geral das Finanças Públicas (DGFIP), estabelecer eventuais responsabilidades e determinar se a violação foi levada a cabo por um grupo organizado. O crime no centro deste processo prevê uma pena mínima de cinco anos de prisão.

Além do inquérito judicial, o ministro das Finanças, David Amiel, anunciou este sábado uma auditoria paralela, liderada pela Agência Nacional de Cibersegurança e Ciberdefesa (ANSSI). Segundo David Amiel, a auditoria servirá "para tirar lições desta crise", e as conclusões serão submetidas às Comissões de Finanças da Assembleia Nacional e do Senado.

Numa mensagem na rede social X, David Amiel alertou para a proliferação dos ciberataques dirigidos às autoridades fiscais e a inúmeros serviços públicos. O ministro apontou ainda que, à medida que a inteligência artificial (IA) aumenta os meios para realizar estes ataques, a ameaça irá crescer e exigirá maior proteção. David Amiel reconheceu que o Estado acumulou "certas 'dívidas técnicas'" e defendeu uma resposta rápida, justificando as medidas tomadas durante o seu mandato para acelerar a modernização da cibersegurança.

Entre essas medidas estão a implementação generalizada da autenticação de dois fatores para os servidores públicos que acedem aos ficheiros, sistemas de alerta precoce para detetar fugas de dados após uma intrusão e uma revisão abrangente dos protocolos de acesso aos dados.

A responsável da DGFIP, Amélie Verdier, tinha reconhecido na sexta-feira que, em junho, foi detetada uma intrusão na conta de um dos agentes, rapidamente contida. Inicialmente, acreditou-se que nenhum dado tinha sido roubado, mas o roubo só foi confirmado depois de o alegado pirata informático se ter gabado da operação, a 12 de agosto.

Verdier explicou que o pirata informático, que utilizava o pseudónimo ZeroBytes, obteve informações como nomes completos e moradas de contribuintes particulares, rendimento tributável de referência e taxas de imposto sobre o rendimento aplicáveis. No caso das empresas, foram obtidos dados menos sensíveis, como moradas, números de identificação administrativa ou o nome do responsável.

A diretora-geral das Finanças Públicas salientou que o pirata ou piratas informáticos não acederam a elementos que permitissem entrar nas contas pessoais dos contribuintes, nem obter as declarações de IRS completas. Verdier anunciou que, a partir da próxima semana, as pessoas afetadas serão contactadas, para receberem explicações sobre a situação e orientações sobre como se protegerem contra a exposição dos dados.

O alegado autor do ciberataque afirmou ter colocado o ficheiro roubado à venda por vários milhares de euros.