L'Anssi conclut que les vols de données à la DGFiP résultent de faiblesses, pas d'une attaque sophistiquée

Les vols de données personnelles hébergées par le fisc, survenus cet été, ne sont «pas la conséquence d'une attaque sophistiquée», a établi l'Agence nationale de la sécurité des systèmes d'information (Anssi) dans un rapport d'incident publié mardi 29 septembre. D'après l'autorité nationale en matière de cybersécurité, ces vols de données ont reposé sur l'«exploitation de faiblesses» au sein des systèmes informatiques.

Revendiqué en août par un pirate informatique, un premier vol, survenu plusieurs semaines auparavant, a été reconnu le lendemain par Bercy. Un deuxième vol a été revendiqué, avant qu'un troisième ne soit identifié. Au total, les données personnelles de près de 700.000 particuliers et entreprises ont été dérobées par des attaquants qui se sont introduits dans les systèmes d'information de la direction générale des finances publiques (DGFiP). «Aucune de ces exfiltrations n'a été détectée, ni par les moyens de supervision de la DGFiP ni par ceux de l'Anssi, révélant certaines lacunes dans la supervision des systèmes d'information de la DGFiP», a écrit l'Anssi.

Passer la publicité

Un «audit complet»

D'après les constatations de l'autorité, l'acteur malveillant qui avait revendiqué l'attaque, ZeroBytes, est parvenu à se connecter aux services de la DGFiP grâce à des identifiants légitimes volés à certains agents. L'Anssi indique que seul un «audit complet», ordonné en août par le premier ministre Sébastien Lecornu, permettra d'identifier toutes les vulnérabilités informatiques de la DGFiP. Elle formule néanmoins plusieurs recommandations.

L'Anssi évoque ainsi la généralisation de l'authentification multifacteur, qui empêche de se connecter grâce à un seul mot de passe en exigeant en complément une deuxième validation. Elle recommande aussi d'interdire la connexion à des services professionnels depuis des appareils personnels, et d'utiliser des mots de passe respectant «les bonnes pratiques de sécurité».

Après les vols de données à la DGFiP, Sébastien Lecornu avait indiqué que «peu de ministères sont au niveau requis» en France en matière de cybersécurité. Début septembre, après l'arrestation de deux individus soupçonnés d'être les pirates du fisc, l'un d'eux, âgé de 18 ans, a été mis en examen et placé en détention provisoire.