Fuite de données chez Bulgarian National Revenue Agency

Dans cette fiche, les adresses e-mail, les noms, les numéros de téléphone, les adresses postales et les dossiers fiscaux sont des catégories de données vérifiées. Les adresses e-mail et les numéros de téléphone peuvent servir à contacter directement les personnes concernées. Les noms et les adresses postales peuvent donner un caractère plus personnel aux messages d’hameçonnage ou d’escroquerie. Les dossiers fiscaux peuvent contenir des informations sensibles sur les revenus, les dettes ou la sécurité sociale d’une personne, ainsi que des détails liés à ses démarches administratives.

Les mots de passe ne font pas partie des champs de données vérifiés pour cette fiche. L’évaluation des risques doit donc porter non pas sur le cassage de mots de passe, mais sur l’hameçonnage, l’usurpation de l’identité d’institutions publiques, les escroqueries concernant des dettes fiscales, les fausses notifications et le détournement des procédures de vérification d’identité. Un attaquant peut préparer des messages qui semblent provenir d’une administration fiscale ou se présenter comme des notifications de paiement, des communications liées à une procédure de remboursement ou à une démarche auprès d’un service public. La présence de noms et d’adresses réels ou d’informations fiscales dans ces messages peut les rendre crédibles.

Cette fiche couvre 471 167 adresses e-mail uniques. Les catégories de données vérifiées sont les adresses e-mail, les noms, les numéros de téléphone, les adresses postales et les dossiers fiscaux. Bien que l’incident dans son ensemble puisse être considéré comme faisant partie d’une fuite de données plus vaste à l’échelle nationale, cette page retient comme chiffre principal le nombre d’enregistrements vérifiés pouvant être associés à des adresses e-mail. Cette distinction est importante pour éviter de donner aux utilisateurs l’impression erronée que les 471 167 personnes représentent l’ensemble des personnes touchées par l’incident.

Selon les informations rapportées, l’ensemble de données plus vaste contiendrait des dossiers administratifs concernant des citoyens et des entreprises. Toutefois, les champs présentés à l’utilisateur sur cette page se limitent aux principales catégories de données vérifiées. Les données de carte de paiement, les mots de passe de compte, les messages privés et les dossiers médicaux ne figurent pas parmi les principales catégories de données vérifiées pour cette fiche. Les mesures à prendre doivent être définies en fonction des risques liés aux données fiscales et à l’usurpation d’identité.

Les citoyens enregistrés auprès de l’administration fiscale en Bulgarie, les étrangers percevant des revenus ou ayant des liens avec l’administration publique dans le pays, ainsi que les représentants d’entreprises peuvent faire partie des groupes les plus exposés. Les personnes dont l’adresse e-mail figure dans cet ensemble de données peuvent être ciblées par des messages usurpant l’identité d’institutions publiques. Les utilisateurs dont le numéro de téléphone et l’adresse postale figurent dans les données peuvent subir des tentatives d’escroquerie non seulement par e-mail, mais aussi par téléphone, SMS et courrier.

Les dossiers fiscaux peuvent révéler des informations sensibles sur la situation financière d’une personne ou ses obligations envers l’administration. Le risque ne se limite donc pas à la prise de contrôle d’un compte. L’usurpation d’identité, les fausses notifications de dette, les demandes de paiement présentées comme émanant d’une administration, les promesses de remboursement fiscal ou les tentatives ciblées d’ingénierie sociale visant des représentants d’entreprises sont également possibles. Les enregistrements associés à des adresses e-mail professionnelles doivent aussi être examinés sous l’angle de la sécurité de l’environnement de travail et des procédures du service financier.

Les utilisateurs qui reçoivent une notification signalant une correspondance doivent vérifier directement, par un canal fiable, tout message semblant provenir de l’administration fiscale ou d’un autre organisme public. Plutôt que de se connecter en suivant les liens reçus, ils doivent saisir eux-mêmes l’adresse du site de l’institution ou utiliser ses canaux de communication officiels. Une vigilance accrue s’impose lorsque des messages concernant des dettes fiscales, des remboursements, des pénalités, des mises à jour d’inscription ou des démarches auprès de services publics demandent un paiement ou des documents.

Les utilisateurs doivent protéger leurs comptes de messagerie avec des mots de passe robustes et activer l’authentification à deux facteurs si possible. Même si cette fuite ne concerne pas les mots de passe, la compromission d’un compte de messagerie peut avoir des conséquences plus importantes sur les services publics et les notifications fiscales. Les données personnelles ne doivent pas être communiquées par téléphone, et les demandes de personnes affirmant appeler au nom d’institutions officielles doivent être vérifiées par un canal indépendant. Les représentants d’entreprises doivent être informés du risque d’instructions frauduleuses dans les procédures financières et comptables.

L’incident de la Bulgarian National Revenue Agency montre que les données collectées de manière obligatoire et détenues par les institutions publiques sont très sensibles. Les particuliers doivent renforcer la protection des adresses e-mail utilisées pour les services publics, prendre l’habitude de vérifier les messages reçus d’institutions publiques et veiller à la sécurité des canaux utilisés pour transmettre des documents contenant des données personnelles. Les notifications relatives à la fiscalité, à la sécurité sociale et aux paiements auprès d’organismes publics doivent toujours être vérifiées par les canaux officiels.

Pour les institutions, cet incident rappelle que la protection des dossiers fiscaux et administratifs doit s’appuyer sur le contrôle des accès, la sécurité des réseaux, le cloisonnement des données, les durées de conservation des dossiers et les procédures de signalement des incidents. Pour les utilisateurs, la sensibilisation à l’hameçonnage, la sécurité de la messagerie, l’authentification à deux facteurs et l’habitude de vérifier régulièrement les notifications financières ou administratives constituent une protection à long terme. Les fuites de données détenues par des organismes publics peuvent servir à des opérations d’ingénierie sociale, même plusieurs années plus tard.

Une correspondance avec une adresse e-mail dans cette fiche indique que l’utilisateur figure dans l’un des enregistrements de l’ensemble de données de la Bulgarian National Revenue Agency pouvant être associés à une adresse e-mail. L’utilisateur doit d’abord déterminer si cette adresse a été utilisée pour des démarches administratives, fiscales ou professionnelles. Il convient ensuite de vérifier avec davantage de soin les messages liés aux administrations fiscales, à la comptabilité, aux finances et aux services publics.

Une correspondance n’indique pas que le mot de passe de l’utilisateur ou ses données de carte de paiement ont été exposés. Toutefois, la présence conjointe d’une adresse e-mail, d’un nom, d’un numéro de téléphone, d’une adresse postale et de dossiers fiscaux constitue une alerte importante concernant des données sensibles. Vérifier directement les messages d’institutions officielles par un canal de confiance, protéger son compte de messagerie avec l’authentification à deux facteurs, remettre en question les demandes de paiement inattendues et prévoir une seconde validation dans les procédures de l’entreprise permettent de réduire les risques de fraude et d’hameçonnage pouvant découler de cette fuite.