19/08
Encore une attaque pour le fisc, le gouvernement dévoile un plan d’action pour contrer les hackers
La série noire se poursuit pour la Direction générale des finances publiques. Après la fuite de données fiscales concernant 678 000 comptes, la DGFiP confirme désormais le vol de données cadastrales et liées aux successions vacantes. Le gouvernement annonce un plan d’action pour renforcer la cybersécurité de l’administration.
La DGFiP fait face à plusieurs cyberattaques d’ampleur. Après la compromission de données concernant des particuliers et des professionnels, deux nouveaux services ont été touchés : les fichiers cadastraux et les données relatives aux successions vacantes. Pour les données cadastrales, la fuite concerne 1,8 million de comptes. Ces fichiers permettent notamment d’identifier et de décrire les propriétés immobilières d’une commune. Les données liées aux successions vacantes concernent, elles, les patrimoines n’ayant pas été réclamés ou acceptés par les héritiers après un décès. L’ampleur exacte de cette seconde fuite n’est pas encore connue.
Des accès compromis à l’origine des attaques
Les cyberattaques auraient été rendues possibles par le vol des identifiants d’au moins trois personnes disposant de différents niveaux d’accès aux systèmes concernés. L’une travaillait dans une autre administration, une autre au sein de la DGFiP et une troisième disposait d’un accès aux données, potentiellement en tant qu’élu. Les portails concernés ont depuis été bloqués, tout comme l’intranet de la gestion publique permettant d’accéder à distance à l’environnement de travail.
La DGFiP affirme avoir identifié un accès compromis le 17 août et l’avoir immédiatement désactivé. Dans le cas des successions vacantes, l’attaquant aurait notamment pu consulter un journal recensant des demandes effectuées sur le service. Ces nouvelles révélations viennent s’ajouter au piratage annoncé quelques jours plus tôt, qui avait exposé les données de 678 000 comptes. Pour les particuliers, les informations compromises peuvent notamment inclure le nom, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. L’ensemble de ces données peut potentiellement permettre de réaliser des campagnes d’hameçonnage particulièrement crédibles, en disposant d’informations précises sur les victimes.
Le gouvernement dévoile un plan d’action
Face à ces attaques successives, le gouvernement veut désormais renforcer les défenses de l’administration fiscale. Un audit de l’Agence nationale de la sécurité des systèmes d’information (Anssi) est notamment prévu, avec des conclusions attendues en septembre. Première mesure annoncée : la généralisation de la double authentification pour les agents de la DGFiP. Celle-ci n’était jusqu’ici déployée que partiellement.
Bercy prévoit également de multiplier les campagnes internes de faux hameçonnage et de renforcer la formation des agents à ces menaces. Le dispositif de détection doit lui aussi être revu afin de mieux repérer les comptes compromis et les comportements inhabituels, notamment lorsqu’un utilisateur tente de récupérer massivement des données. Le gouvernement souhaite également utiliser l’intelligence artificielle pour tester les systèmes informatiques de l’administration et simuler des attaques afin d’identifier les vulnérabilités. Autre piste : la mise en place d’un « bug bounty », qui permettrait de rémunérer des chercheurs en sécurité ou des pirates éthiques signalant des failles avant qu’elles ne soient exploitées.
Ces mesures interviennent alors que la DGFiP reconnaît que certaines compromissions ont pu rester discrètes. Dans le cas du précédent piratage, la compromission d’un compte avait été détectée, mais l’extraction massive des données n’avait été identifiée que plusieurs semaines plus tard, après la revendication des pirates. Le gouvernement devra désormais déterminer l’ampleur exacte des informations dérobées et surtout renforcer les systèmes de protection d’une administration qui concentre certaines des données personnelles les plus sensibles des Français.
Source : BFMTV