Fuite de données à la DGFiP : l'Anssi dissèque une attaque « peu avancée » mais tenace

Les vols de données qui ont frappé la direction générale des finances publiques (DGFiP) cet été ne sont "pas la conséquence d'une attaque sophistiquée". C'est la conclusion du rapport d'incident publié mardi 29 septembre par l'Agence nationale de la sécurité des systèmes d'information (Anssi), à la demande du Premier ministre Sébastien Lecornu. Selon l'Agence, les attaquants ont exploité des faiblesses dans trois domaines : l'identité, l'architecture et la détection. Vincent Strubel, directeur général de l'agence, parle d'une attaque "peu avancée sur le plan technique mais particulièrement persistante, qui a mobilisé des dizaines de comptes compromis sur une période de trois mois".

Des identifiants d'agents volés en série

Tout commence début mai 2026. L'attaquant, ZeroBytes, qui revendiquera ensuite le vol, se connecte aux services de la DGFiP avec des identifiants légitimes d'agents. Aucune tentative de force brute n'a été relevée : ces identifiants ont vraisemblablement été dérobés par des logiciels espions de type infostealer, installés sur des ordinateurs que la DGFiP n'administre pas, notamment des appareils personnels. La compromission d'infrastructures du ministère de l'Éducation nationale lui a par ailleurs ouvert le Réseau interministériel de l'État (RIE). C'est par ce réseau qu'il a atteint le portail ADER, puis aspiré par scraping les données de l'application E-Contact, qui sert aux échanges avec les usagers. Au total, 11 Go de données ont été extraits entre le 22 et le 25 juin, puis 3 Go fin juillet. Le 12 août, ZeroBytes revendique le vol de 678 437 enregistrements concernant des particuliers et des professionnels, soit sept semaines après la première exfiltration. Une seconde revendication vise ensuite les données cadastrales : le poste compromis d'un géomètre-expert a permis de contourner la double authentification du portail APEX, qui reposait sur un code envoyé par courriel.

Aucune alerte malgré les signaux

"Aucune de ces exfiltrations n'a été détectée, ni par les moyens de supervision de la DGFiP ni par ceux de l'Anssi, révélant certaines lacunes dans la supervision des systèmes d'information de la DGFiP", écrit l'Agence. Le SOC de la DGFiP ne supervisait pas le portail ADER, et aucun mécanisme n'a corrélé les signaux suspects : connexions nocturnes, volumes anormaux, adresses IP malveillantes ou géolocalisées en Inde, requêtes massives. Les réinitialisations de mots de passe se sont aussi révélées inefficaces. Le 24 juin, le compte utilisé pour l'exfiltration est réinitialisé à 10h40, mais la session en cours n'est pas coupée et le siphonnage se poursuit jusqu'au lendemain à 2h31. Vincent Strubel pointe également l'"accès aux mêmes données via différents portails sans corrélation des événements de sécurité", une "confiance excessive à des connexions issues d'ailleurs dans l'État" et une "capacité de détection applicative insuffisante, la seule détection réseau s'étant avérée inopérante face à ce type d'attaque".

Une authentification forte, et pas n'importe laquelle

En attendant l'audit complet ordonné en août par Matignon, seul à même d'identifier toutes les vulnérabilités, l'Anssi formule plusieurs recommandations. Elle demande de généraliser l'authentification multifacteur, avec un second facteur "résistant à la compromission du premier". Elle recommande aussi d'interdire l'accès aux ressources professionnelles depuis des appareils personnels et d'imposer des mots de passe conformes aux bonnes pratiques. L'agence préconise enfin de placer toutes les applications métier sous supervision, d'appliquer des quotas sur les volumes consultés et de révoquer systématiquement les sessions actives lors d'une réinitialisation. La DGFiP a depuis fermé définitivement l'accès de ses agents aux portails ADER et PIGP.

Un exercice « à la manière du BEA »

Pour Vincent Strubel, cette publication vise à "faire toute la lumière" sur l'attaque, mais aussi à "documenter un type d'attaque qui s'est fortement répandu ces derniers mois". Il la compare aux rapports du Bureau d'enquêtes et d'analyses après un accident aérien, sans promettre d'en publier un pour chaque incident, faute de moyens. Après ces vols, Sébastien Lecornu avait reconnu que "peu de ministères sont au niveau requis" en matière de cybersécurité. Début septembre, deux suspects ont été interpellés. L'un d'eux, âgé de 18 ans, a été mis en examen et placé en détention provisoire.