Une annonce pirate vise le portail fiscal MyTax, avec une base supposée de 10 millions de dossiers fiscaux mêlant identifiants nationaux, impôts et données bancaires.
Un acteur pirate affirme vendre une base issue du portail MyTax de l’Inland Revenue Board malaisien, aussi appelé LHDN ou IRBM. L’annonce décrit 10 millions d’enregistrements fiscaux au format JSON, prétendument exfiltrés en juin 2026. Le lot serait proposé à 18 400 euros. Les données annoncées combineraient NRIC, numéro fiscal TIN, identité, adresse, contacts, employeur et coordonnées bancaires pour environ 5,29 millions de personnes.
Une annonce qui cible le cœur fiscal malaisien
La scène décrite est classique dans l’économie souterraine de la donnée, avec une annonce courte, un alias, un prix et une promesse de preuve réservée aux acheteurs jugés sérieux. Ici, la cible revendiquée donne à l’affaire une portée particulière : le portail MyTax, lié à l’administration fiscale malaisienne. Selon le message découvert par le Service de veille et d’investigation de ZATAZ, le pirate dit disposer d’une base de l’Inland Revenue Board, connue sous les sigles LHDN et IRBM, contenant 10 millions de dossiers de contribuables.
Le format annoncé, JSON, suggère une extraction structurée, directement exploitable par des outils de recherche, de tri ou d’enrichissement. Cette précision ne prouve pas l’origine de la fuite, ni son authenticité. Elle éclaire toutefois l’intérêt opérationnel d’un tel fichier pour des groupes spécialisés dans la fraude, l’hameçonnage ou la revente de profils complets. Une donnée isolée a une valeur limitée. Une fiche fiscale complète devient un matériau de renseignement personnel.
L’annonce fixe le prix à 20 000 $ (18 400 euros). Le montant indiqué ne mesure pas la gravité réelle d’une compromission. Il renseigne surtout sur le positionnement commercial du vendeur, qui présente son lot comme massif, récent et exploitable.
D’après le schéma mentionné, chaque entrée inclurait le numéro NRIC, équivalent d’un identifiant national permanent, le nom, le numéro fiscal TIN, la date de naissance, la situation matrimoniale, l’adresse complète, l’adresse électronique et le téléphone. Le fichier contiendrait aussi des informations sur l’employeur. Pour une partie très importante des dossiers, des coordonnées bancaires seraient ajoutées, avec le nom de la banque.
Le vendeur avance environ 5,29 millions d’enregistrements associés à un numéro de compte bancaire. Rapporté aux 10 millions de dossiers revendiqués, cela représente 52,9 % du total.
Un risque durable d’usurpation et de fraude
L’hypothèse la plus préoccupante tient à la combinaison des champs. Le NRIC, le TIN, la date de naissance, l’adresse, le téléphone et les adresses électroniques créent un socle robuste pour l’usurpation d’identité. Les coordonnées bancaires ajoutent une couche financière. Les données d’employeur et de société permettent d’affiner des scénarios crédibles, adaptés à la situation professionnelle de la victime.
Dans une logique de cybercriminalité, le danger ne se limite pas à la consultation d’un fichier. Une base fiscale peut nourrir des campagnes ciblées, avec des messages se présentant comme des notifications administratives, des demandes de mise à jour, des remboursements ou des contrôles. La présence d’informations exactes dans le message augmente la confiance de la personne visée. Un fraudeur peut citer un numéro fiscal, une adresse ou un employeur afin de rendre l’approche plus convaincante.
L’exposition d’un identifiant national permanent aggrave encore la situation. Un mot de passe se change. Une carte bancaire se remplace. Un NRIC ne se réinitialise pas comme un compte en ligne. Si la base est authentique, l’impact dépasse donc l’incident ponctuel. Il s’inscrit dans la durée, avec des réutilisations possibles longtemps après la première publication.
Les données bancaires revendiquées ne signifient pas nécessairement un accès direct aux comptes. Elles peuvent toutefois servir à renforcer des arnaques, vérifier une identité, préparer des appels frauduleux ou alimenter des dossiers de fraude plus complets. L’information bancaire, associée à l’état civil et aux données fiscales, augmente la crédibilité des manipulations.
L’angle renseignement est central. Une telle base, si elle existe, cartographie une partie de la population contribuable, ses affiliations professionnelles, ses coordonnées, ses liens bancaires et ses éléments fiscaux. Ce type d’ensemble intéresse à la fois des escrocs, des courtiers en données illicites et des acteurs capables de mener des opérations d’influence ou de collecte ciblée. La valeur ne repose pas seulement sur le volume. Elle vient de la précision, de la fraîcheur revendiquée, juin 2026, et de la possibilité de croiser ces informations avec d’autres fuites.
Le signalement classe la sévérité comme critique. Cette appréciation s’explique par quatre facteurs : 10 millions de dossiers annoncés, des identifiants nationaux non révocables, une part bancaire estimée à 5,29 millions d’entrées et une origine supposée liée à l’administration fiscale. Chacun de ces éléments serait déjà sensible séparément. Leur association concentre le risque.
Si la revendication se confirmait, l’affaire illustrerait un scénario redouté par les équipes cyber : la transformation d’un portail administratif en source de renseignement exploitable contre les citoyens. Dans ce type de dossier, la question décisive n’est pas seulement de savoir qui a copié les données, mais qui pourra les utiliser demain.
Une fuite fiscale vérifiée deviendrait un actif de renseignement criminel, durable, structuré et difficile à neutraliser.
merci à ZATAZ
