Piratage des données fiscales : les Français de l’étranger scrutent leurs messages

Tous les jours, et plusieurs fois dans la journée, Jean-Pierre vérifie s’il n’a pas reçu de message de l’administration fiscale française lui signifiant que ses données ont été piratées.

«C’est une catastrophe, je suis vraiment inquiet depuis cette fuite, et j’attends de savoir si je fais partie du lot. Normalement le règlement sur la protection des données prévoit que les victimes soient alertées dans les 72 heures, mais j’ai vu un reportage hier où une journaliste a réussi à démontrer que ses données avaient été volées, mais qui n’avait toujours pas reçu de notification», raconte cet expatrié français.

En fait, il n’y a pas de délai formellement établi. Les victimes doivent être informées « dans les meilleurs délais dès qu’il existe un risque élevé pour leurs droits et libertés ».

En revanche, l’autorité de contrôle (CNIL) doit, elle, être prévenue sous 72 heures maximum. «Dans les meilleurs délais», signifie sans retard injustifié pour permettre aux victimes de prendre des mesures de protection. Jean-Pierre, comme de nombreux Français de l’étranger, a gardé un lien fiscal avec la France où il réside quelques semaines dans l’année dans une résidence secondaire.

Révélée mi-août par le ministère de l’Économie et la Direction générale des Finances publiques, cette intrusion informatique du site impots.gouv.fr, concerne les données personnelles et fiscales de près de 700 000 contribuables.

Selon le site d’actualités des Français de l’étranger, lesfrancais.press, près de la moitié des expatriés maintiennent des relations régulières avec le fisc français, qu’il s’agisse de déclarer des revenus de source française (loyers, pensions, dividendes), d’acquitter des taxes foncières ou de gérer la fiscalité d’une résidence secondaire.

«Les Français de l’étranger se retrouvent ainsi directement exposés aux répercussions de cette fuite massive», écrit le site d’information.

Ce qui ne rassure pas Jean-Pierre, qui vit à Luxembourg depuis une dizaine d’années, après y avoir passé toute sa carrière. Jeune retraité, il passe toujours le plus clair de son temps chez lui à Luxembourg, près de ses enfants et de ses amis.

Que craint-il ? «Les données sont vendues et permettent à des gens peu scrupuleux de connaître les adresses des résidences secondaires qui sont alors cambriolées ou squattées», explique-t-il.

Il ne sait pas si les dossiers gérés par le Service des impôts des particuliers non-résidents (SIPNR) ou la direction des résidents à l’étranger ont été piratés ou non.

Comme le rappelle le site d’information des expatriés français, l’administration fiscale détient l’identité financière et patrimoniale intégrale des citoyens.

Les données exfiltrées comportent l’état civil complet, l’adresse postale et la situation familiale. Mais également les identifiants fiscaux servant à l’authentification officielle, le revenu fiscal de référence (RFR), le patrimoine immobilier avec les identifiants fonciers, les parcelles cadastrales et les descriptions détaillées des biens immobiliers détenus en France.

Urgence artificielle

Les expatriés sont alertés des risques majeurs qu’engendre cette fuite de données. D’abord, l’escroquerie hyper-ciblée (Spear Phishing et Vishing).

«Un escroc peut élaborer un courriel ou un SMS d’une crédibilité totale. Un faux message prétendant émaner du SIPNR réclamant un « ajustement de taxe sur les non-résidents » devient presque indécelable», prévient le site d’actualité.

Il alerte encore qu’avec un état civil complet, un numéro fiscal et le montant du RFR, des fraudeurs peuvent tenter d’ouvrir des comptes bancaires en ligne, de souscrire des crédits à la consommation ou de réaliser des démarches administratives en France.

«Pour un expatrié qui n’a pas accès à son courrier postal quotidien en France, la découverte d’une fraude peut prendre plusieurs mois», prévient le site lesfrancais.press.

L’autre risque concerne les cambriolages et home-jackings ciblés. Selon le même site, «plusieurs syndicats de police ont tiré la sonnette d’alarme quant aux risques physiques découlant du vol des fichiers fonciers.

Des réseaux criminels disposent désormais de listes qualifiées identifiant les contribuables aisés et localisant leurs résidences secondaires ou investissements locatifs.

Pour les expatriés, dont les logements en France restent souvent vacants de longs mois, le risque de cambriolage ciblé, de squattage ou de home-jacking lors de vacances en France devient bien réel».

C’est ce que redoute Jean-Pierre. «Les cybercriminels savent que les Français de l’étranger rencontrent plus de difficultés à contacter leur centre des impôts ou à se rendre au guichet. Ils exploitent cette distance en instaurant une urgence artificielle (« régularisation sous 48 h sous peine de saisie ») pour inciter la victime à payer rapidement sur de faux comptes bancaires», lit-il sur le site.

Jean-Pierre suit les consignes et consulte sa messagerie. Conformément au RGPD, la DGFIP a l’obligation d’informer individuellement chaque usager dont les données ont été consultées ou exfiltrées.

Il a changé ses mots de passe et surveille ses comptes bancaires français. Mais surtout, il espère ne pas faire partie du lot.