Piratage du fisc : le Sénat révèle comment les données ont fuité, et c’est très inquiétant
Un agent public s’est fait voler ses identifiants. C’est ainsi que les données fiscales de centaines de milliers de Français ont été dérobées. Aucun exploit sophistiqué n’a été utilisé, mais un mot de passe compromis, probablement via un infostealer, un logiciel malveillant qui aspire identifiants et cookies de session sur un ordinateur infecté.
Dans une communication du 4 septembre, les sénateurs Claude Raynal (PS) et Jean-François Husson (LR), respectivement président et rapporteur général de la commission des finances, expliquent comment, entre le 23 et le 25 juin, un pirate a utilisé les identifiants volés d’un agent de l’Éducation nationale pour pénétrer le Réseau interministériel de l’État (RIE), reliant les systèmes informatiques de plusieurs administrations.
Une fois à l’intérieur, le pirate a accédé au portail ADER, destiné aux administrations partenaires pour certaines applications fiscales. Le hacker a réutilisé des identifiants d’agents de la DGFiP, qui avaient été « probablement dérobés par des logiciels malveillants présents sur leurs équipements personnels », a précisé Amélie Verdier, directrice générale des Finances publiques, devant les sénateurs.
Cela signifie que des agents se connectaient à des outils professionnels sensibles depuis leurs propres ordinateurs, potentiellement infectés, sans que cela ne suscite d’inquiétude.
Trois attaques et une découverte beaucoup trop tardive
Le bilan du premier assaut est lourd : environ 350 000 particuliers et 250 000 professionnels sont concernés, avec des données sensibles telles que identités, coordonnées, numéros fiscaux et échanges avec l’administration.
Le plus inquiétant est que la DGFiP n’a pris conscience de l’ampleur du piratage que le 12 août, près de deux mois après la première intrusion. Pire, l’administration n’aurait rien remarqué si le pirate n’avait pas revendiqué l’opération. Les défenses de l’administration n’ont donc pas détecté l’attaque.
Une deuxième attaque fin juillet-début août a siphonné des données cadastrales de près de 435 000 foyers, via le compte d’un géomètre-expert. Le 17 août, une troisième attaque a exploité une faille technique sur un portail dédié aux successions vacantes.
Ces trois attaques en deux mois montrent des failles structurelles notables. Les sénateurs soulignent qu’il existe trop de canaux d’accès aux données fiscales, chacun représentant une porte d’entrée potentielle. De plus, les connexions autorisées depuis des équipements personnels, hors du contrôle de sécurité de l’administration, exposent à d’énormes risques. L’absence de détection automatique des comportements anormaux sur certaines bases de données est également jugée inadmissible.
Réactions et mes prises
Depuis, la DGFiP a fermé plusieurs accès et interdit les connexions à ses outils depuis des appareils personnels. L’administration promet de généraliser la double authentification, de mieux détecter les extractions de données inhabituelles et de multiplier les audits réalisés par des experts en cybersécurité.
Pour les victimes, l’administration a normalement déjà envoyé des notifications. Les recommandations restent de redoubler de vigilance face aux tentatives de phishing, en particulier à l’approche de la prochaine taxe foncière, et de ne jamais cliquer sur des liens ou scanner des QR codes reçus par mail ou SMS sans en vérifier la provenance.
Source : Communication du Sénat, 4 septembre
