Le rapport de l’ANSSI sur la DGFiP révèle que 678 437 fiches ont été aspirées avec de simples mots de passe volés, sans MFA ni supervision, et en tire des leçons pour sécuriser un back-office.
Ni faille inédite ni outil d’espionnage d’État : pour aspirer des fichiers de la DGFiP, l’attaquant ZeroBytes s’est contenté de mots de passe volés et d’un portail que personne ne regardait. C’est le constat du rapport de l’ANSSI sur la DGFiP, daté du 23 septembre et publié le 29, une première conçue sur le modèle des enquêtes du BEA. Vincent Strubel, directeur général de l’agence, y décrit une attaque « peu avancée sur le plan technique mais particulièrement persistante ». En août, Bercy parlait d’une attaque « sophistiquée ».
Ce que révèle le rapport ANSSI sur la DGFiP
Dès mai, ZeroBytes utilise plusieurs dizaines de couples identifiant/mot de passe d’agents et de partenaires. Ils ont probablement été dérobés sur des ordinateurs personnels par des infostealers, des logiciels qui récupèrent les mots de passe enregistrés dans le navigateur. Ni force brute ni bourrage d’identifiants : l’attaquant avait déjà les clés.
Les portails PIGP et ADER n’exigeaient aucune authentification multifacteur. APEX en avait une, un code envoyé par e-mail, contournée grâce au compte compromis d’un géomètre-expert. Pour atteindre ADER, l’attaquant transite par les infrastructures compromises de l’Éducation nationale, puis par le Réseau interministériel de l’État (RIE), à la segmentation jugée « trop permissive ». Il moissonne ensuite l’application E-Contact : 11 Go sortent du 22 au 25 juin, 3 Go du 21 au 23 juillet.
Aucune alerte. Le SOC de la DGFiP, son centre de surveillance, ne supervisait pas ADER. Connexions nocturnes, adresses IP situées en Inde, requêtes massives : pris ensemble, ces signaux « auraient dû déclencher des alertes », écrit l’ANSSI. Elle reconnaît aussi ses propres angles morts, dont deux adresses IP signalées le 6 août sans relance.
La fuite n’apparaît qu’avec la revendication du 12 août : 678 437 enregistrements, dont 353 000 particuliers et 252 000 professionnels, avec identifiant fiscal, état civil et coordonnées. Le lendemain, une seconde revendication vise les données cadastrales de 2 millions de personnes.
Sessions, double authentification, supervision : ce qu’un back-office doit vérifier
Le 24 juin à 10 h 40, le mot de passe du compte d’exfiltration est réinitialisé. La session, elle, reste ouverte jusqu’à 2 h 31 le lendemain. Le piège existe tel quel sur WordPress ou PrestaShop. L’ANSSI réclame donc une révocation systématique : un changement de mot de passe doit fermer toutes les sessions et renouveler les clés d’API et les jetons d’accès.
Un code envoyé par e-mail ne protège rien si la boîte mail est compromise. Une application TOTP (Google Authenticator, par exemple) ou une clé d’accès (passkey) résiste mieux. L’agence recommande aussi d’interdire l’accès professionnel depuis des appareils personnels. Dans une agence web, cela vise les accès administrateur aux sites clients ouverts depuis l’ordinateur familial.
Journaliser les exports de clients et de commandes, limiter le débit des API, corréler les signaux : une connexion à 3 h du matin, depuis un pays inhabituel, suivie d’un export massif, doit lever une alerte. Et un compte prestataire n’a pas à ouvrir tous les sites d’un portefeuille, comme le RIE ouvrait toutes les portes.
Surveiller les fuites ne suffit pas. La DGFiP suivait la revente de comptes avec Recorded Future et Orange Cyberdefense, mais un compte compromis le 3 juin n’a changé de mot de passe que le 12. Le rapport n’établit aucune responsabilité d’acteurs privés.
