L'administration fiscale britannique HMRC (Her Majesty’s Revenue and Customs) a annoncé que des cybercriminels avaient dérobé environ 47 millions de livres sterling via des comptes fiscaux ouverts de manière frauduleuse. Plus de 100 000 personnes sont concernées, souvent à leur insu. Il ne s’agissait pas d’un piratage classique, mais d’une HameçonnageCampagne d'ingénierie sociale basée sur [...]. Les pirates ont utilisé des identifiants d'accès légitimes pour se faire passer pour des contribuables et demander des remboursements.
Hameçonnage plutôt que compromission technique
L'attaque contre le HMRC n'était pas un incident de sécurité informatique classique, dans lequel un système aurait été compromis par un logiciel malveillant ou une faille technique aurait été exploitée. Il s'agissait plutôt d'une attaque sophistiquée Hameçonnage-campagne.
Les criminels ont envoyé des e-mails frauduleux visant à dérober des informations personnelles sensibles, telles que les noms, dates de naissance et numéros de sécurité sociale des citoyens. À l'aide de ces informations, les pirates ont créé, à des fins frauduleuses, de nouveaux comptes fiscaux auprès du HMRC, par le biais desquels les contribuables peuvent normalement demander leurs remboursements ou gérer leurs données fiscales.
En créant ces faux comptes au nom de personnes réelles, les pirates ont tenté de demander illégalement des remboursements d'impôts et de se faire verser ces sommes. Ce qui est particulièrement perfide : bon nombre des personnes concernées n'avaient jamais créé de compte en ligne auprès du HMRC auparavant et ne pouvaient donc pas se douter, même de loin, que des activités frauduleuses étaient menées en leur nom.
La démarche montre clairement l'efficacité Ingénierie sociale ce qui, combiné à une vérification d'identité insuffisante, pouvait avoir des conséquences graves. Il n'était pas nécessaire de pirater techniquement les systèmes, car la faille résidait dans la logique d'authentification et dans l'hypothèse selon laquelle les identifiants d'une identité réelle garantissaient automatiquement un accès légitime. C'est précisément là que les attaquants ont agi, ce qui leur a permis de créer un grand nombre de faux comptes sans que cela ne soit remarqué dans un premier temps.
Réaction et évaluation des risques par le HMRC
Dans un communiqué, l'administration fiscale britannique (HMRC) a expressément souligné qu'aucune somme n'avait été directement dérobée aux citoyens concernés. C'est en réalité l'HMRC elle-même qui était la cible de ces attaques. Les fraudeurs ont utilisé des données d'identité volées pour demander frauduleusement des remboursements d'impôts et escroquer l'administration de plusieurs millions.
Par la suite, des milliers de comptes piratés ont été identifiés et bloqués. Le HMRC a pris des mesures pour rétablir la légitimité des comptes existants et empêcher de nouveaux abus. Selon ses propres déclarations, il s'est avéré particulièrement difficile de distinguer a posteriori les véritables clients des pirates, car bon nombre des personnes concernées ne disposaient jusqu'alors d'aucun compte en ligne auprès du HMRC.
Par ailleurs, la communication interne et externe du HMRC a fait l'objet de critiques. Les membres de la commission parlementaire chargée des affaires financières n'ont appris l'incident que par la presse. Cela a donné lieu à une réprimande au Parlement. Ces critiques soulignent à quel point des canaux de communication clairement définis et une communication transparente sont essentiels pour la gestion de crise dans de tels cas.
Conseil de lecture : Méfiez-vous des escroqueries liées à l'ESMA : voici comment vous protéger contre les fausses identités
Classification destinée aux consultants en conformité et en informatique
Risque lié à l'usurpation d'identité sur les plateformes de type libre-service
Cet incident souligne la nécessité, dans le cas des plateformes hautement automatisées (par exemple, les portails fiscaux en ligne, les applications bancaires, les services en libre-service destinés aux clients), de ne pas se limiter à la seule perspective technique du piratage informatique. Ingénierie sociale L'usurpation d'identité ne constitue pas seulement un risque informatique, mais aussi un problème de gouvernance.
Le KYC et la vérification d'identité sont également essentiels pour les organismes publics
Le fait que le HMRC accepte aussi facilement de nouveaux comptes créés à partir de données volées met en évidence des lacunes dans la vérification d'identité (Know Your Customer). Les organismes publics doivent eux aussi mettre en place des mécanismes tels que l'authentification à deux facteurs, la biométrie ou la procédure d'identification par vidéo afin d'éviter de tels abus.
Transparence et communication dans le cadre de la stratégie de conformité
La réprimande parlementaire adressée à HMRC, au motif que le Parlement n'a appris l'incident que par les médias, constitue un avertissement clair à l'intention de toutes les organisations : en cas de cyberincident, la communication interne et externe doit également respecter un protocole. La gestion des incidents et le signalement doivent faire partie intégrante d'une stratégie de sécurité informatique et Conformité-Plan.
Leçons stratégiques de l'incident HMRC
L'affaire HMRC montre de manière impressionnante que Hameçonnage reste l'un des vecteurs d'attaque les plus efficaces des cybercriminels. Il convient de noter qu'il ne s'agissait pas d'une attaque technique classique, mais que les pirates ont atteint leurs objectifs en utilisant des méthodes habiles. Ingénierie sociale et ont pu exploiter des données d'identité volées. Cet incident montre clairement que les principales failles ne résident pas nécessairement dans l'infrastructure informatique elle-même, mais souvent dans des processus organisationnels défaillants, des contrôles d'identité insuffisants et un manque de sensibilisation.
Il ne suffit pas de mettre en place des solutions techniques de sécurité telles que les pare-feu, Cryptage ou de mettre en place des systèmes de détection d'intrusion. Il convient plutôt d'adopter une approche globale de la sécurité, qui tienne également compte des facteurs organisationnels et humains. Cela inclut des procédures robustes de vérification d'identité, des canaux de communication et de signalement internes clairs, ainsi qu'une Sensibilisation-Des programmes destinés à tous les participants.
Ce n'est qu'en adoptant cette approche globale qu'il est possible de développer une véritable résilience face aux cybermenaces modernes. L'objectif doit être non seulement de prévenir les attaques, mais aussi de rester capable d'agir en cas d'incident afin d'identifier, de circonscrire et de maîtriser rapidement les risques.
Source : Communiqué de la HMRC sur l'incident de phishing
Source : Des escrocs ont dérobé 47 millions de livres sterling au HMRC lors d'une attaque par hameçonnage (BBC)
German 
English 
Italian 
French