French Tax Data Theft Using Stolen Staff Passwords Went Undetected for Seven Weeks
The Hacker News · 29 sept, 19:47
Un atacante utilizó contraseñas robadas de empleados de la administración tributaria francesa (DGFIP) para acceder a datos fiscales de más de 350.000 contribuyentes e igual número de empresas entre junio y julio. El robo pasó desapercibido durante siete semanas porque la DGFIP tenía protección débil en los portales de acceso (sin autenticación multifactor), redes mal segmentadas y sistemas de monitorización insuficientes que no detectaron ni el volumen de datos extraído ni los patrones sospechosos de conexión.
El atacante empleó dos rutas de acceso distintas. La primera utilizó contraseñas robadas a empleados de la DGFIP, probablemente por infostealers en dispositivos personales, para acceder a los portales PIGP y ADER que solo requerían contraseña. Desde allí consiguió llegar a la red RIE (que conecta los ministerios franceses) a través de sistemas comprometidos del ministerio de Educación. La segunda ruta atravesó APEX, portal para notarios y topógrafos, tras comprometer un ordenador en una empresa privada para bypassear el código de un solo uso enviado por correo.
La DGFIP disponía de un SOC que reiniciaba contraseñas cuando detectaba cuentas comprometidas, pero nunca monitorizó ADER completamente. Los analistas detectaron actividad sospechosa el 23 de junio a las 20:50 y reiniciaron la contraseña a las 10:40 del día siguiente, pero para entonces el atacante ya estaba extrayendo datos activamente desde ADER con herramientas de scraping automatizado. No se vincularon señales de alerta como conexiones nocturnas, accesos desde VPNs e India ni el volumen de 11 GB transferidos entre el 22 y 25 de junio. La ANSSI también falló: sus sensores solo monitorizan entrada y salida de la RIE e Internet, sin acceso a logs de aplicación.
Puntos clave
- Contraseñas robadas de empleados por infostealers en dispositivos personales no gestionados por la DGFIP
- Portales de acceso (PIGP y ADER) sin autenticación multifactor, solo contraseña
- Red RIE sin segmentación: datos sensibles accesibles desde partes de la red con bajo nivel de privilegios requerido
- SOC no monitorizaba ADER ni correlacionaba señales de alerta (conexiones nocturnas, accesos desde India, volumen de datos)
- Robo detectado públicamente el 12 de agosto, siete semanas después de los primeros datos extraídos