L'ANSSI a publié mardi son rapport d'incident sur le récent piratage de la DGFiP. Entre identifiants d'agents volés, absence de double authentification et exfiltrations passées inaperçues, le document détaille comment les données de centaines de milliers d'usagers ont fuité cet été.
Pour voler une masse impressionnante de données de la Direction générale des Finances publiques (DGFiP), il n'a fallu ni faille inédite, ni génie tapi dans l'ombre. Le vol de données qui a frappé impots.gouv.fr cet été relève effectivement moins du thriller que de l'accumulation de failles élémentaires. Des semaines durant, un cybercriminel a navigué dans les applications du fisc avec les identifiants de vrais agents, en transitant par un autre ministère, sans que ses extractions de données ne soient repérées. L'ANSSI, l'agence française cyber, en reconstitue la chronologie, dissèque les ratés de détection et détaille les chantiers à lancer… certains en urgence.
Le pirate avait les identifiants, il n'avait plus qu'à entrer
Pour le grand public, l'affaire a éclaté le 12 août. Ce jour-là, un pirate baptisé Zerobytes revendique sur un forum le vol de données d'impots.gouv.fr. À 16h32, l'ANSSI alerte la DGFiP, et dès le lendemain matin, le pirate étale le détail de son butin. Les fichiers proviennent d'E-Contact, la messagerie interne qui permet aux agents du fisc d'échanger avec les contribuables. Deux bilans circulent alors. D'un côté, l'ANSSI recense près de 353 000 particuliers et 252 000 professionnels touchés, quand le pirate avance, lui, quelque 678 000 enregistrements. Surtout, le vol n'avait rien de récent, puisque les données avaient été aspirées fin juin, soit sept semaines avant la revendication.
Pour entrer, pas besoin de crocheter la serrure. Non, l'attaquant avait les clés. En trois mois, il a récupéré les identifiants et mots de passe de plusieurs dizaines d'agents du fisc, probablement volés par des infostealers (des logiciels malveillants voleurs d'information). L'ANSSI soupçonne des appareils que la DGFiP ne contrôle pas, notamment les ordinateurs personnels des agents. Or, pour ouvrir ADER et le PIGP, deux portails qui donnent accès à des applications du fisc, un agent n'avait besoin que de son identifiant et de son mot de passe : aucune double authentification, comme un code reçu sur téléphone, n'était exigée. Une fâcheuse habitude au plus haut niveau de l'État. La DGFiP disposait bien d'un filet, à savoir un prestataire qui surveille les sites où se revendent ces identifiants et signale les comptes compromis, dont le mot de passe est alors changé. Utile, selon l'ANSSI, mais ce guet ne voit pas tout et réagit parfois tard. Un compte repéré le 3 juin n'a vu son mot de passe modifié que neuf jours plus tard.
Il restait à atteindre le bon étage. L'attaquant se connectait d'abord au PIGP, un portail du fisc accessible depuis Internet. Il filait ensuite vers ADER, une autre porte d'entrée, réservée celle-là au Réseau interministériel de l'État (RIE), sorte d'intranet qui relie les administrations entre elles. Pour s'y brancher, il passait par des infrastructures piratées de l'Éducation nationale. Une fois sur ce réseau commun, faute de cloisonnement, plus rien ne le séparait d'applications sensibles du fisc. L'alerte avait pourtant été donnée le 9 juin. L'Éducation nationale avait transmis aux équipes de sécurité des autres ministères 17 indices techniques de l'attaque, ainsi que la liste de ses adresses IP à surveiller, dont l'une servait au pirate. Celui-ci a ensuite aspiré E-Contact par scraping, un programme qui ouvre les fiches une à une pour les copier automatiquement, du 24 au 25 juin puis le 22 juillet.
Une cybersécurité qui regardait ailleurs
Aucune de ces exfiltrations n'a hélas été repérée, ni par la DGFiP, ni par l'ANSSI. Les sondes de l'agence surveillent le trafic réseau, rappelle-t-elle, pas ce qui se passe à l'intérieur des applications. Et comme le pirate utilisait de vrais comptes, il passait pour un agent comme un autre. Les indices ne manquaient pourtant pas. En tout, 11 Go de données ont transité entre le 22 et le 25 juin, puis 3 Go fin juillet. Certaines connexions avaient lieu en pleine nuit, depuis des VPN, depuis l'Inde ou depuis des adresses déjà connues pour leurs activités malveillantes. Le scraping, qui exige une requête par fiche consultée, a dû générer un flot de demandes inhabituel, qu'aucun plafond n'a pu freiner. De simples comptes d'agents, sans droits particuliers, donnaient en outre accès à des masses de données. Pris un par un, ces signaux peuvent sembler anodins et risquent de noyer les équipes sous les fausses alertes. Mis bout à bout, ils auraient pu trahir l'intrus.
La chronologie est, on peut dire, frustrante. Le 23 juin à 20h50, des recherches suspectes sur le PIGP déclenchent un ticket au centre de sécurité (SOC) de la DGFiP, qui réinitialise le mot de passe du compte le lendemain à 10h40. Mais ADER n'était pas supervisé, et la réinitialisation n'a pas coupé la session ouverte. L'aspiration, lancée à 4h26, s'est poursuivie jusqu'au 25 juin à 2h31. En juillet, le compte utilisé n'est réinitialisé que deux jours après la reprise de l'exfiltration. Le rapport note aussi qu'un signalement de comptes compromis, transmis le 15 juin, est resté sans réponse de la DGFiP, sans relance de l'ANSSI. Ces comptes avaient toutefois déjà été réinitialisés.
Le 13 août, Zerobytes revendique cette fois des données du Serveur professionnel de données cadastrales. Selon lui, les noms, dates de naissance, parcelles et biens détenus de 2 millions de Français seraient concernés. Le point d'entrée n'est encore une fois pas extraordinaire. Le poste vraisemblablement compromis d'un géomètre-expert, dans un cabinet privé, a permis de contourner la double authentification d'APEX, le portail réservé à des partenaires comme les notaires et les géomètres. Le second facteur, un simple code reçu par e-mail, n'a pas résisté. D'après la DGFiP, l'accès et l'exfiltration se sont étalés du 27 juillet au 8 août.
L'ANSSI dicte ses remèdes pour verrouiller le fisc
En août, la DGFiP a sorti les ciseaux. Le 6, avant même la revendication publique, l'ANSSI lui signale deux adresses IP suspectes : en fouillant après coup les relevés de ses sondes, elle y a repéré du trafic douteux vers deux portails du fisc. Le 11, la DGFiP indique avoir confirmé des connexions anormales, réinitialisé cinq comptes et bloqué ces deux adresses. Viennent ensuite les coupures. Le 13 août, les agents perdent l'accès au portail ADER, puis au PIGP le 18. Sur ce dernier, seuls les partenaires extérieurs, comme les comptables des collectivités locales, gardent la main. Aucune de ces deux portes ne devrait être rouverte aux agents. Côté cadastre, le compte du géomètre-expert est désactivé dès le 14 août et le portail APEX verrouillé, avant que tous les comptes de son cabinet ne soient suspendus le 18. L'ANSSI reconnaît que ces mesures radicales ont fortement perturbé le travail de la DGFiP et de ses partenaires.
Pour la suite, l'ANSSI a donc rédigé une ordonnance copieuse. D'abord, elle propose d'interdire les ordinateurs personnels pour travailler sur les outils du fisc, et réserver les applications internes aux postes gérés et sécurisés par la DGFIP. Ensuite, elle suggère d'imposer partout la double authentification, avec un second facteur qui ne tombe pas en même temps que le mot de passe. Un code envoyé par e-mail ne sert à rien si la messagerie s'ouvre avec les mêmes identifiants. Mieux vaut donc une clé physique ou une application dédiée, idéalement sur un autre appareil. Ensuite, il conviendrait de placer toutes les applications sous l'œil d'un SIEM, sorte de tour de contrôle qui rassemble et analyse les traces de connexion. Il faudra aussi fixer des quotas de consultation, bloquer les adresses IP suspectes selon leur provenance ou leur réputation, et couper les sessions ouvertes à chaque changement de mot de passe. L'ANSSI réclame enfin que chaque agent n'accède qu'aux données utiles à sa mission, que le Réseau Interministériel de l’État (RIE) soit mieux compartimenté entre ministères, et que les indices d'attaque circulent bien plus vite.
Le rapport a en tout cas le mérite de la franchise. Selon ses termes, cette compromission « n'est pas la conséquence d'une attaque sophistiquée ». Elle résulte de faiblesses touchant à l'identité, c'est-à-dire la façon de vérifier qui se connecte, l'architecture (l'organisation des réseaux et des applications), et la détection des comportements anormaux. Un audit complet est déjà prévu pour débusquer toutes les failles encore exploitables. Les chantiers ouverts pourraient, eux, nourrir la feuille de route de sécurité numérique de l'État. L'ANSSI y met une condition : obtenir l'appui des équipes qui font vivre ces applications au quotidien, de la hiérarchie du ministère de l'Action et des Comptes publics et des autres administrations. Autrement dit, la sécurité du fisc ne se jouera pas seulement dans son centre de sécurité.
