Près d'une semaine après la revendication d'un piratage d'ampleur du fisc, le ministre de l'Action et des Comptes publics a présenté des excuses, mardi 18 août. "Nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français", a avancé David Amiel à l'occasion d'une conférence de presse à Bercy sur le vol des données de plusieurs centaines de milliers de particuliers et entreprises.
Lors de ce point d'information, la directrice générale des finances publiques, Amélie Verdier, est revenue point par point sur chacune des trois attaques dont a été victime la Direction générale des finances publiques (DGFiP), alors que le parquet de Paris a ouvert une enquête notamment pour "extraction frauduleuse de données" et "association de malfaiteurs".
Les données fiscales de 350 000 particuliers volées
Le vol de données le plus important a eu lieu fin juin. Le groupe "ZeroBytes", qui dit être composé de deux personnes, s'est introduit dans le système d'information du fisc. Mercredi 12 août, un message de revendication de ce piratage a été posté sur un forum populaire chez les cybercriminels, précisant que la base de données était mise en vente.
Au total, cette fuite de données concerne au moins 678 000 particuliers et professionnels, dont 350 000 contribuables. Ces données sensibles contiennent des informations liées aux impôts : numéro fiscal, parts fiscales et revenu fiscal de référence. Elles peuvent être complétées par des informations personnelles, telles que l'adresse postale, le numéro de téléphone, l'adresse e-mail ou encore des informations sur la situation familiale des personnes qui se trouvent dans le fichier.
"La première attaque n'a été possible que par la combinaison de compromissions de comptes", a expliqué Amélie Verdier, directrice générale de la Direction générale des finances publiques (DGFiP) en conférence de presse mardi. Pour s'introduire dans le système, le pirate a profité d'une faille de sécurité qui lui a permis de passer par un accès détourné avec les identifiants d'un compte d'un employé. En juin, cet accès a été "fermé immédiatement", a précisé Amélie Verdier, reconnaissant toutefois que les investigations menées dans la foulée avaient "échoué à repérer ce qu'il s'est passé". Le fisc n'a été informé du vol de données qu'au moment où les hackers l'ont revendiqué, a reconnu la responsable de la DGFiP.
Lundi, l'administration fiscale a commencé à contacter les particuliers concernés pour les avertir du vol et les sensibiliser aux risques d'hameçonnage et d'usurpation d'identité qui en découlent. Le ministre des Comptes publics a demandé à ce que "l'usager" qui, inquiet pour ses données, "se tournera vers les services des impôts (...), soit accueilli avec le plus grand respect".
"Pour ces particuliers, a insisté Amélie Verdier, il y a eu clairement une violation de données fiscales couvertes par le secret fiscal et dont la violation est un délit pénal".
Des données cadastrales également subtilisées lors d'une deuxième cyberattaque
Jeudi 13 août, le groupe de cybercriminels a revendiqué un nouveau casse. Cette fois-ci, il s'agit de données cadastrales, extraites du Serveur professionnel de données cadastrales (SPDC), dont les informations relient les parcelles et leurs adresses à leur propriétaire.
Sur un forum populaire chez les cybercriminels, l'attaquant a communiqué sur les données de deux millions de personnes. "Nous n'avons pas les mêmes chiffres, nous en sommes maximum à 433 485 particuliers et 1 082 professionnels", a relevé la directrice générale de la DGFiP en conférence de presse mardi.
Une troisième fuite de données touchant aux successions
La directrice générale du fisc a reconnu mardi une "troisième fuite" visant des données liées aux successions. Une plateforme de la DGFiP, le portail public des successions vacantes, permet "à tout un chacun qui a une créance vis-à-vis d'une personne décédée de savoir s'il peut se retourner vers un héritier", a exposé Amélie Verdier.
La "brèche", identifiée lundi sur ce portail lié aux successions, "n'est vraiment pas du tout de la même ampleur" que la première attaque, a avancé Amélie Verdier lors de la conférence de presse, car les informations exposées sont beaucoup moins sensibles.
"Aucune [de ces trois cyberattaques] n'a conduit à une intrusion dans un compte fiscal, ni d'un particulier ni d'un professionnel. Et aucune d'entre elles n'a permis de récupérer des codes d'accès au compte sécurisé d'un contribuable", a relativisé la directrice générale de la DGFiP.
Des actions de sécurisation lancées
En réponse à ces trois cyberattaques, Amélie Verdier a tenu à préciser que "plus de 100 emplois" étaient dédiés à la cybersécurité sur les "plus de 5 300 informaticiens de la DGFiP". David Amiel a reconnu de son côté: "Nos systèmes d'information comportent des faiblesses." Le ministre a évoqué un plan d'action en plusieurs phases, dont "la lutte contre la compromission des comptes des agents" et un renforcement "de la formation cyber des agents".
La directrice générale a annoncé que les projets de sécurisation pour les agents allaient être accélérés, notamment avec "l'usage systématique de l'authentification forte" pour tous les agents et sur tous les accès. Pour renforcer la sécurité des systèmes de connexion, tous les agents vont être équipés d'ici la fin de l'année "de ce qu'on appelle des token USB", des clés USB qui permettent de se connecter à un compte personnel de manière sécurisée.
Certaines décisions ont été prises dans l'immédiat, notamment "la suppression de l'accès à certaines applications". Le portail qui permet de consulter les mails des agents de la DGFiP a également été coupé afin de ne plus être accessible à distance. Le ministre a annoncé que les "campagnes internes d'hameçonnage ser[aie]nt intensifiées", afin de s'assurer que de moins en moins d'agents se fassent piéger par du "phishing". Une manière là encore de "détecter les vulnérabilités". Constatant que l'explosion de la capacité des intelligences artificielles augmentait les risques cyber, David Amiel a par ailleurs demandé "à ce que l'on se teste nous-mêmes avec des intelligences artificielles sous contrôle".
