Piratage du fisc : des mois d'intrusion invisible, 14 Go volés

L'Agence nationale de la sécurité des systèmes d'information (Anssi) a rendu public, mardi 29 septembre, son rapport d'incident sur le piratage du fisc survenu cet été. Ce document détaille l'enchaînement de failles qui a permis à un groupe de pirates de dérober les données personnelles de centaines de milliers de Français hébergées par la direction générale des finances publiques (DGFiP).

Selon l'agence, ce piratage du fisc n'est « pas la conséquence d'une attaque sophistiquée », mais résulte de l'« exploitation de faiblesses » accumulées dans les systèmes informatiques de l'administration. Le rapport pointe en particulier des « lacunes dans la supervision » des outils utilisés par le pirate pour exfiltrer les données, aucun système de surveillance n'ayant été mis en place sur la partie concernée du réseau.

Un intrus resté invisible pendant des mois

D'après l'Anssi, l'attaquant a pu se connecter en pleine nuit aux systèmes de la DGFiP sans déclencher la moindre alerte, alors même que de nombreux « signaux suspects » étaient présents. Il a interrogé à de très nombreuses reprises la base de données avant d'extraire des « volumes anormaux » d'informations, soit 14 gigaoctets en quatre jours, entre juin et juillet, depuis des adresses IP situées en Inde ou déjà « catégorisées comme malveillantes ».

Ces accès ont été rendus possibles par le vol, sur une période de trois mois, de plusieurs dizaines d'identifiants appartenant à des agents légitimes de la DGFiP. Ces codes auraient été « probablement compromis via des logiciels espions » installés sur des ordinateurs personnels non administrés par l'administration. Certaines applications visées n'étaient tout simplement pas protégées par la double authentification.

« Les accès de l'attaquant lui ont été possibles grâce au vol, sur une période de trois mois, de plusieurs dizaines d'authentifiants appartenant à des agents légitimes de la DGFiP, probablement compromis via des logiciels espions », Anssi, Agence nationale de la sécurité des systèmes d'information.

Le mode opératoire du groupe ZeroBytes

Les premières tentatives d'intrusion remontent à début mai, lorsque le pirate a utilisé des identifiants volés pour tenter d'accéder au portail internet de la gestion publique. Le point d'entrée initial était un compte compromis d'un agent de l'Éducation nationale, qui a permis de rejoindre le réseau interministériel de l'État, avant de rebondir vers les applications de la DGFiP, notamment la messagerie « e-contact » utilisée pour échanger avec les usagers.

Le groupe revendicateur, connu sous le nom de ZeroBytes, a mené deux vagues d'exfiltration, du 23 au 25 juin puis du 21 au 23 juillet. Une troisième fuite, distincte, a touché le portail des successions vacantes à la mi-août. Selon les chiffres établis par l'Anssi et repris par Franceinfo, l'opération a exposé les données de près de 353 000 particuliers et 252 000 professionnels.

Des données sensibles et des suites judiciaires

Les informations dérobées comprennent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que des morceaux de messages échangés avec l'administration. Les identifiants et mots de passe des comptes fiscaux des usagers n'ont, en revanche, pas été compromis, avait précisé la directrice générale de la DGFiP, Amélie Verdier, dès le mois d'août.

L'enquête a abouti à la mise en examen d'un suspect de 18 ans, connu sous le pseudonyme « ChatNoir », déjà inquiété dans plusieurs dossiers, dont le piratage de Free qui avait touché plus de 19 millions de clients. La Cnil a par ailleurs annoncé l'ouverture d'une enquête approfondie afin de délimiter les responsabilités de chaque acteur dans cette affaire.

Un audit complet en cours

L'Anssi juge que seul un audit complet des systèmes de la DGFiP, ordonné en août par le Premier ministre Sébastien Lecornu, permettra d'identifier l'ensemble des vulnérabilités restantes. L'agence recommande la généralisation de l'authentification multifacteur, l'interdiction de connecter des appareils personnels à des services professionnels, ainsi que le respect systématique des bonnes pratiques en matière de mots de passe.

« Peu de ministères sont au niveau requis », Sébastien Lecornu, Premier ministre.

Ces recommandations rejoignent les constats déjà formulés début septembre par les sénateurs Claude Raynal et Jean-François Husson, qui évoquaient des « fragilités structurelles dans la sécurisation des accès et la détection des usages anormaux » au sein de l'administration fiscale.