Actualités
Plusieurs bases de données gouvernementales piratées durant l’été
Lorsque la France est passée à un système fiscal principalement basé sur Internet, le gouvernement a mis en avant le fait que la cybersécurité entourant la Direction générale des finances publiques (DGFiP) était parmi les plus solides au monde.
Cela n’a pas empêché des piratages extrêmement embarrassants cet été, où des données personnelles d’environ 678 000 personnes et d’entreprises ont été téléchargées puis prétendument mises en vente sur Internet.
À l’époque le gouvernement avait promis d’informer toutes les personnes et entreprises dont les données avaient été volées dans la fuite.
Au final, trois brèches de données ont été enregistrées par les autorités fiscales cet été.
Piratage « peu sophistiqué »
Un rapport publié par l’agence créée en 2009 pour protéger la cybersécurité nationale, Agence nationale de la sécurité des systèmes d’information (Anssi) a déclaré, après une enquête de six semaines, que le premier et le plus important piratage « n’était pas sophistiqué ».
Au lieu de cela, il exploite des faiblesses de base intégrées au système informatique de la DGFiP, qui pouvait être pénétré par n’importe qui dans le réseau informatique interministériel.
Le rapport détaille deux piratages, l’un ciblant les informations personnelles des contribuables, et l’autre téléchargeant des informations du registre cadastral détenu par les autorités fiscales.
Les détails bancaires n’étaient pas inclus dans les piratages, mais d’autres informations figurant sur une déclaration fiscale, notamment le nom, les adresses, les numéros de téléphone, la situation familiale et les impôts déclarés, l’étaient.
La première brèche a été possible parce que les pirates ont pu entrer dans le système en utilisant l’adresse e-mail d’un fonctionnaire.
Les données volées du registre cadastral proviennent après que des pirates aient pénétré la base de données via l’ordinateur d’un prestataire d’une entreprise privée qui avait accès au système.
Cependant, le rapport de l’Anssi souligne que plusieurs fonctionnaires ont été ciblés, principalement en utilisant leur propre ordinateur et non un ordinateur officiel de la DGFiP.
Un autre problème était l’absence d’un système d’authentification à double facteur sur la base de données des fonctionnaires.
L’authentification à double facteur implique un mot de passe suivi d’une authentification sur un second appareil, généralement un téléphone mobile. Cela peut inclure une donnée biométrique (reconnaissance faciale ou empreinte digitale), ou la saisie d’un code envoyé par SMS ou par e-mail.
Cependant, ce système est utilisé pour la base de données cadastrales, mais il a été contourné par les pirates.
Le cabinet du Premier ministre, qui gère les enquêtes sur le piratage, n’a pas répondu lorsque The Connexion lui a demandé ce qui s’était exactement passé.
Plusieurs défaillances identifiées
Une seconde défaillance dans le design de base du système a été identifiée par l’Anssi.
Des informations confidentielles n’étaient pas cloisonnées et protégées, et pouvaient être consultées – à des fins professionnelles – par toute personne ayant accès au système informatique ministériel intérieur du gouvernement.
La dernière défaillance grave était l’absence d’alarmes qui auraient dû se déclencher lorsque de grandes quantités de données ont été exportées du système informatique de la DGFiP.
De telles alarmes existaient ailleurs dans le système, mais pas pour les données compromises.
Comme première mesure, l’Anssi a recommandé de mettre fin à l’accès aux ordinateurs de la DGFiP à partir d’ordinateurs personnels.
Elle a également recommmandé d’entreprendre des travaux pour cloisonner le système afin de restreindre le nombre de personnes qui pourraient y accéder.
Les autorités ont arrêté deux hommes, âgés de 18 et 16 ans, soupçonnés d’être à l’origine du piratage.
L’ancien est détenu depuis fin août, tous deux ont été mis en examen par un juge d’instruction tandis que les enquêtes se poursuivent.
Aucune date n’a été fixée pour une comparution devant le tribunal.
Inquiétudes concernant la numérisation des services
Parallèlement, il est devenu évident que le piratage du système fiscal a ébranlé la confiance du public dans la numérisation des services gouvernementaux.
Un exemple se trouve dans une lettre ouverte d’une association de commerçants du département de l’Essonne, se plaignant du coût du nouveau système de facturation électronique, et évoquant également des inquiétudes sur la sécurité des systèmes de données à la lumière du piratage.
« La DGFiP dit que nous devons avoir confiance dans le système, mais eux-mêmes ont été piratés », a déclaré l’association.
L’Anssi a reçu des rapports de 99 piratages d’ordinateurs gouvernementaux en août et septembre.
Beaucoup d’entre eux ont été attribués à des services ne disposant pas de méthodes d’authentification à double facteur, et à l’utilisation d’adresses e-mail de fonctionnaires, avec des mots de passe faibles, ou des mots de passe qui avaient été volés.
Les détails professionnels de potentiellement jusqu’à 4 350 000 enseignants ont été consultés à partir des ordinateurs de l’Éducation nationale, et 300 000 détails concernant des enseignants et des étudiants ont été piratés à partir des ordinateurs du ministère des Affaires étrangères enregistrant l’enseignement français à l’étranger.
Un sous-traitant d’une autre partie du ministère des finances, Tracfin, qui lutte contre le blanchiment d’argent, a été piraté temporairement. Des détails personnels des travailleurs et des détails des plaintes déposées auprès de Tracfin ont été exposés.
Autres ministères touchés incluent :
-
Le ministère de l’Environnement où des dossiers sur des propriétés et des véhicules électriques ont été piratés
-
Le ministère du Travail, où une plateforme permettant d’obtenir des équivalences de diplômes à partir de l’expérience professionnelle a été consultée
-
Le ministère de l’Agriculture, où un site de formation professionnelle a été piraté
-
Le cabinet du Premier ministre, où l’on a constaté que d’anciens comptes qui auraient dû être fermés étaient utilisés par des personnes inconnues pour accéder à des détails administratifs.
