Piratage des impôts français : des mots de passe volés ont suffi, les leçons pour les administrations africaines

Cet été, la Direction générale des finances publiques (DGFiP), l’administration fiscale française, a subi l’un des piratages les plus embarrassants de son histoire. Mardi 29 septembre, l’ANSSI, l’agence chargée de la cybersécurité de l’État français, a publié son rapport d’incident, une vingtaine de pages commandées par le Premier ministre Sébastien Lecornu. Sa conclusion tient en une phrase : l’attaque ne doit rien à une technique sophistiquée, mais tout à des faiblesses dans trois domaines, l’identité, l’architecture du réseau et la détection.

Le bilan est lourd. D’après l’ANSSI, les données dérobées concernent près de 353 000 particuliers et 252 000 professionnels, extraites d’E-Contact, l’outil qui permet aux agents d’échanger avec les usagers. Un second vol a touché des données cadastrales. L’affaire a éclaté publiquement le 12 août, quand un pirate se présentant sous le nom de Zerobytes a revendiqué le vol sur un forum. Deux suspects de 16 et 18 ans ont été interpellés fin août ; l’un a été mis en examen et placé en détention provisoire.

Les premières connexions suspectes remontent au mois de mai, depuis des adresses situées en France et en Inde. Le 13 août, le même pirate a revendiqué un second butin, tiré du service des données cadastrales : selon lui, les noms, dates de naissance, parcelles et biens de 2 millions de Français. Les chiffres divergent d’ailleurs : l’ANSSI compte environ 605 000 usagers touchés par le premier vol, quand le pirate en revendiquait 678 000.

Le pirate avait les clés

L’attaquant n’a forcé aucune porte : il avait les mots de passe. Sur trois mois, il a récupéré les identifiants de plusieurs dizaines d’agents, près d’une trentaine de comptes au total. L’ANSSI n’a relevé aucune tentative de deviner les mots de passe par essais successifs, preuve qu’il les connaissait déjà. Ils ont très probablement été volés par des « infostealers », des logiciels espions installés sur des ordinateurs que la DGFiP ne gérait pas, notamment les appareils personnels des agents.

Deux portails du fisc ne demandaient qu’un identifiant et un mot de passe, sans second facteur. Un troisième, réservé aux partenaires comme les géomètres, utilisait un code envoyé par e-mail : la compromission de l’ordinateur d’un géomètre-expert, dans un cabinet privé, a suffi à contourner cette protection et à vider les données cadastrales entre le 27 juillet et le 8 août. La DGFiP payait pourtant un prestataire pour surveiller la revente d’identifiants sur Internet. Mais ce guet ne couvre pas tous les marchés, et réagit parfois tard : un compte repéré le 3 juin n’a vu son mot de passe changé que neuf jours plus tard.

Les infostealers sont devenus l’une des principales sources de comptes piratés dans le monde. Ces petits programmes se cachent souvent dans des logiciels piratés, de faux outils gratuits ou des pièces jointes. Une fois installés, ils aspirent en quelques secondes les mots de passe et les sessions enregistrés dans le navigateur, puis les envoient à leurs auteurs, qui les revendent en lots. Un agent qui consulte sa messagerie professionnelle depuis l’ordinateur familial infecté livre ainsi, sans le savoir, les clés de son administration. Et tant que la machine n’est pas nettoyée, changer le mot de passe ne sert presque à rien.

Des signaux d’alerte que personne n’a vus

Pour extraire les données, le pirate a utilisé le « scraping » : un programme qui ouvre les fiches une à une pour les copier. Onze gigaoctets sont sortis entre le 22 et le 25 juin, puis trois autres fin juillet, sans déclencher la moindre alerte. Les connexions avaient pourtant lieu en pleine nuit, depuis des réseaux privés virtuels (VPN), depuis l’Inde ou depuis des adresses déjà connues pour leur activité malveillante. Et chaque fiche copiée demandait une requête : aucun plafond n’a limité ce flot inhabituel. Une limite du nombre de requêtes par utilisateur, technique aussi ancienne que simple, aurait pourtant freiné l’aspiration et déclenché une alerte bien avant que des milliers de fiches ne quittent le fisc.

Le portail utilisé pour le vol n’était tout simplement pas surveillé par le centre de sécurité de la DGFiP. Pour l’atteindre, le pirate est passé par le réseau qui relie les administrations françaises entre elles, depuis des infrastructures piratées de l’Éducation nationale. Faute de cloisonnement, rien ne le séparait ensuite des applications sensibles du fisc. L’Éducation nationale avait pourtant transmis dès le 9 juin aux autres ministères une liste d’indices techniques, dont une adresse utilisée par l’attaquant.

Même les réactions ont échoué. Le 23 juin au soir, des recherches suspectes ont bien déclenché une alerte. Le mot de passe du compte a été réinitialisé le lendemain matin, mais la session déjà ouverte n’a pas été coupée, et le vol a continué jusqu’au 25 juin. En juillet, le compte utilisé n’a été réinitialisé que deux jours après la reprise des vols. Un signalement de comptes compromis transmis le 15 juin était, lui, resté sans réponse. L’ANSSI reconnaît elle-même que ses propres sondes, qui observent le trafic réseau et non l’intérieur des applications, ne pouvaient pas repérer un intrus qui se servait de vrais comptes.

Des mesures d’urgence ont déjà été prises. Depuis le mois d’août, les agents de la DGFiP n’ont plus accès aux portails compromis, et la double authentification doit être généralisée d’ici la fin de l’année. Un audit complet des systèmes du fisc, ordonné en août par le Premier ministre, doit recenser toutes les autres vulnérabilités. L’ANSSI insiste aussi sur la sensibilisation des agents : un utilisateur prévenu que son compte a été compromis doit savoir quoi faire, à commencer par faire nettoyer l’appareil infecté.

Des failles que l’on retrouve en Afrique

Rien, dans cette attaque, n’est propre à la France. Le travail à distance sur ordinateur personnel, les portails protégés par un simple mot de passe, les réseaux partagés entre ministères et les centres de sécurité qui ne surveillent qu’une partie des systèmes existent dans de nombreuses administrations africaines, qui numérisent à grande vitesse l’impôt, l’état civil, le cadastre ou les paiements publics. Les voleurs d’identifiants, eux, ne connaissent pas de frontières : les comptes dérobés se revendent sur les mêmes marchés. C’est la leçon principale du rapport : la sécurité d’un système dépend d’abord de la protection des identités de ceux qui l’utilisent.

Les remèdes proposés par l’ANSSI ont un avantage : la plupart ne demandent pas de gros budgets. Activer la double authentification sur les portails exposés, interdire les accès depuis des appareils non gérés, fixer des plafonds de consultation et couper les sessions après un changement de mot de passe relèvent de la discipline plus que de l’investissement. Le rapport rappelle aussi qu’un seul maillon faible, ici l’ordinateur d’un cabinet partenaire, peut ouvrir la porte. Les administrations qui confient des accès à des notaires, des géomètres ou des prestataires ont tout intérêt à relire leurs propres règles.