La gestion de la crise cyber qui frappe l'administration fiscale française a pris hier soir une tournure politique peu commune. La Direction générale des Finances publiques (DGFiP) a dû admettre l'existence d'une troisième compromission de ses systèmes d'information, rapporte France Info.

Lors d'une conférence de presse au ministère de l'Économie, la directrice générale de l'institution a confirmé qu'une brèche avait été repérée lundi, puis coupée, sur le portail public des successions vacantes, dont le site internet est à ce jour toujours hors ligne. Face à la multiplication de ces incidents en série, le ministre de l'Action et des Comptes publics a pris la parole pour formuler des excuses officielles.

« Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français », a dit David Amiel.

Bien que cette troisième fuite concerne ne soit « pas du tout de la même ampleur » que les vols précédents selon Amélie Verdier, la Directrice générale de la Direction générale des finances publiques, elle vient néanmoins alourdir le bilan cyber de l'infrastructure IT de l'État.

En effet, la DGFiP avait déjà subi un piratage massif fin juin, revendiqué mi-août par le groupe cybercriminel ZeroBytes, qui s'en est également pris au système d'information du ministère de l'Éducation nationale.

Le vol de données le plus important, qui touche au moins 678 000 particuliers et professionnels, a été réalisé par un accès détourné reposant sur l'usurpation des identifiants d'un compte d'un employé. Ce vecteur d'attaque met en évidence les faiblesses structurelles de la gestion des identités et des accès (IAM) au sein de la fonction publique.

« La première attaque n'a été possible que par la combinaison de compromissions de comptes », a dit à ce sujet Amélie Verdier.

Malgré la généralisation récente, et toujours en cours, de l'authentification à double facteur (MFA) pour les usagers, c'est le contrôle des accès internes qui a posé problème.

Le ministre David Amiel a reconnu que les systèmes d'information comportaient des faiblesses et a annoncé un plan d'action prévoyant de renforcer la formation cyber des agents.

Ce plan inclut également la fourniture de « token USB » pour l'ensemble des agents d'ici la fin de l'année, afin d'imposer l'usage systématique de l'authentification forte en interne.

Au-delà du risque pour les particuliers, le danger se porte également sur le tissu économique et les professionnels. Ce sont pas moins de 285 570 entités professionnelles qui voient leurs informations exposées. Les données dérobées et exfiltrées sont particulièrement sensibles : numéros SIREN, raisons sociales, identifiants fiscaux, ou encore historiques des messages échangés avec la DGFiP.

Et selon les revendications des pirates, ces bases de données « sont toujours en vente » sur les forums du Dark Web.

Ces fichiers qualifiés alimentent directement les réseaux criminels spécialisés dans l'ingénierie sociale et les escroqueries sur mesure. L'association de données fiscales avec des correspondances administratives permet aux pirates de concevoir des campagnes de phishing ultra-personnalisées ou de mettre au point des tentatives de fraude au président ciblant les directions financières.

Face à l'imminence de ce risque, les DSI et les directions opérationnelles des entreprises doivent impérativement réagir, via les leviers suivants :

• Déployer une sensibilisation renforcée : Alerter les équipes administratives et comptables sur l'apparition probable de courriels, SMS ou appels frauduleux imitant la DGFiP, en insistant sur le fait que l'administration ne demande jamais de données confidentielles ou de mots de passe par ces canaux.
• Renforcer les politiques IAM (Identity and Access Management) : Il est vital d'auditer les accès à privilèges, d'appliquer une architecture Zero Trust limitant les droits au strict nécessaire, et d'exiger une rotation rigoureuse des accès.
• Surveiller les mouvements de comptes : Les DSI doivent instaurer un monitoring agressif sur les requêtes visant les collaborateurs ou l'entreprise, en surveillant tout changement suspect (coordonnées bancaires, usurpation d'identité pour un virement).

Le mea culpa du gouvernement et la mise en place en urgence de mesures matérielles comme les clés de sécurité montrent surtout le retard pris par le gouvernement français dans la lutte contre la cybercriminalité. Un retard d'autant plus inquiétant que les pirates de ZeroBytes ont mentionné n'être qu'au début de leurs actions de vol de données.