French Tax Data Theft Using Stolen Staff Passwords Went Undetected for Seven Weeks

Un ata­can­te logró sus­traer in­for­ma­ción fis­cal de cien­tos de miles de con­tri­bu­yen­tes y em­pre­sas fran­ce­sas entre los meses de junio y julio, uti­li­zan­do cre­den­cia­les ro­ba­das a em­plea­dos de la ad­mi­nis­tra­ción tri­bu­ta­ria. Según un in­for­me de la agen­cia na­cio­nal de ci­ber­se­gu­ri­dad, la in­tru­sión no re­qui­rió de gran com­ple­ji­dad téc­ni­ca, sino que pros­pe­ró de­bi­do a la de­bi­li­dad en las me­di­das de ac­ce­so, de­fi­cien­cias en la seg­men­ta­ción de redes y la falta de su­per­vi­sión ade­cua­da. El robo pasó des­aper­ci­bi­do tanto para la ad­mi­nis­tra­ción como para la pro­pia agen­cia hasta que el res­pon­sa­ble lo hizo pú­bli­co en un foro en línea.

Para lo­grar el ac­ce­so ini­cial, se em­plea­ron cre­den­cia­les ob­te­ni­das me­dian­te pro­gra­mas ma­li­cio­sos de robo de in­for­ma­ción en equi­pos de tra­ba­ja­do­res que no es­ta­ban ges­tio­na­dos por la ins­ti­tu­ción. El in­tru­so apro­ve­chó por­ta­les que úni­ca­men­te re­que­rían con­tra­se­ña para au­ten­ti­car­se, lo­gran­do in­fil­trar­se a tra­vés de co­ne­xio­nes pro­ve­nien­tes de otro mi­nis­te­rio y al­can­zan­do los sis­te­mas de la ad­mi­nis­tra­ción tri­bu­ta­ria de­bi­do a la es­ca­sa se­pa­ra­ción entre las redes gu­ber­na­men­ta­les. Adi­cio­nal­men­te, se vul­ne­ró un por­tal des­ti­na­do a so­cios ex­ter­nos me­dian­te la su­plan­ta­ción fa­ci­li­ta­da por el po­si­ble com­pro­mi­so del equi­po de un no­ti­fi­ca­dor o to­pó­gra­fo.

Los me­ca­nis­mos de vi­gi­lan­cia de­tec­ta­ron al­gu­nas ano­ma­lías y pro­ce­die­ron a res­ta­ble­cer cla­ves en va­rias oca­sio­nes, pero no lo­gra­ron fre­nar la ex­trac­ción de datos ni iden­ti­fi­car la mag­ni­tud del pro­ble­ma a tiem­po. Las aler­tas no co­rre­la­cio­na­ban se­ña­les de ries­go como co­ne­xio­nes noc­tur­nas, uso de redes pri­va­das vir­tua­les o vo­lú­me­nes ele­va­dos de in­for­ma­ción trans­fe­ri­da, y las se­sio­nes ac­ti­vas no se ce­rra­ban de in­me­dia­to al cam­biar las con­tra­se­ñas. Como res­pues­ta al in­ci­den­te, se han blo­quea­do los por­ta­les afec­ta­dos, se prohi­bió el uso de dis­po­si­ti­vos per­so­na­les para ac­ce­der a he­rra­mien­tas la­bo­ra­les y se pla­ni­fi­can nue­vas me­di­das de au­ten­ti­ca­ción y con­trol de mo­ni­to­reo.