En une phrase : un agent public s’est fait voler ses identifiants. Voilà comment les données fiscales de centaines de milliers de Français ont été dérobées. Pas de faille zero-day, pas d’exploit sophistiqué, juste un mot de passe compromis, probablement via un infostealer (logiciels malveillants qui aspirent identifiants et cookies de session sur un ordinateur infecté).
Dans leur communication du 4 septembre, les sénateurs Claude Raynal (PS) et Jean-François Husson (LR), respectivement président et rapporteur général de la commission des finances, racontent comment, entre le 23 et le 25 juin, un pirate a utilisé les identifiants volés d’un agent de l’Éducation nationale pour pénétrer le Réseau interministériel de l’État (RIE). Cette infrastructure connecte entre eux les systèmes informatiques de plusieurs administrations.
Une fois à l’intérieur, le pirate s’est rendu sur ADER, un portail censé servir aux administrations partenaires pour accéder à certaines applications fiscales. Pour s’y connecter, le hacker a réutilisé des identifiants d’agents de la DGFiP, des identifiants « probablement dérobés par des logiciels malveillants présents sur leurs équipements personnels », a expliqué la directrice générale des Finances publiques Amélie Verdier devant les sénateurs.
Autrement dit : des agents se connectaient à des outils professionnels sensibles depuis leurs propres ordinateurs, potentiellement infectés, sans que personne ne s’en aperçoive.
Trois attaques et une découverte beaucoup trop tardive
Le bilan de ce premier assaut est lourd : environ 350 000 particuliers et 250 000 professionnels concernés, avec à la clé identités, coordonnées, numéros fiscaux, situations fiscales et même échanges avec l’administration.
Le plus inquiétant est que la DGFiP n’a réalisé l’ampleur du piratage que le 12 août, soit près de deux mois après la première intrusion. Pire, elle n’aurait rien remarqué si le pirate n’avait pas lui-même revendiqué l’opération. Les défenses de l’administration n’ont donc rien détecté.
Vous en voulez encore ? Fin juillet-début août, une deuxième attaque a permis de siphonner des données cadastrales de près de 435 000 foyers, cette fois via la compromission du compte d’un géomètre-expert. Puis, le 17 août (cinq jours après que la DGFiP a pris conscience du problème), une troisième attaque a exploité une faille technique sur un portail dédié aux successions vacantes.
Trois angles d’attaque différents en l’espace de deux mois, dont un survenu après que l’alerte avait déjà été donnée. Dans leur note, les deux sénateurs identifient plusieurs failles structurelles. D’abord, il existe trop de canaux d’accès aux données fiscales, chacun représentant une porte d’entrée potentielle. Ensuite, les connexions autorisées depuis des équipements personnels, hors du contrôle de sécurité de l’administration, présentent d’énormes risques. Enfin, l’absence de détection automatique des comportements anormaux sur certaines bases de données est inadmissible.
L’inquiétude des sénateurs repose donc essentiellement sur les moyens mis en oeuvre pour attaquer les organes officiels. Rien de tout ce qui a été mis en place par le hacker ne relève d’une cyberattaque particulièrement sophistiquée. La DGFiP a été prise en défaut par des méthodes déjà connues et documentées depuis des années. Un diagnostic sévère qui a de quoi interroger sur la capacité de l’Etat à protéger ses concitoyens.
Et après ?
Depuis, la DGFiP affirme avoir fermé plusieurs accès et interdit les connexions à ses outils depuis des appareils personnels. L’administration promet également de généraliser la double authentification, de mieux détecter les extractions de données inhabituelles et de multiplier les audits menés par des experts en cybersécurité.
Quid des victimes ? Si vous faites partie des personnes concernées, vous avez normalement déjà été prévenu par l’administration. Dans tous les cas, la recommandation reste la même : redoublez de vigilance face aux tentatives de phishing qui se font passer pour les impôts, en particulier à l’approche de la prochaine taxe foncière, et ne cliquez jamais sur un lien ni ne scannez un QR code reçu par mail ou SMS sans en vérifier la provenance. Vos données fiscales ne justifieront jamais qu’on vous réclame un paiement dans l’urgence par simple message.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
