Piratage DGFiP : le Sénat pointe des failles

Une note de la commission des finances du Sénat apporte de nouveaux éléments sur les intrusions ayant récemment touché la Direction générale des finances publiques (DGFiP). Les attaquants auraient notamment exploité des identifiants légitimes compromis pour circuler entre plusieurs services de l’administration et accéder à des données concernant plusieurs centaines de milliers de particuliers et de professionnels.

Selon les éléments rapportés, après une première compromission d’un compte appartenant à un agent de l’Éducation nationale, l’attaquant aurait accédé au Réseau interministériel de l’État (RIE). Il aurait ensuite utilisé des identifiants d’agents de la DGFiP, probablement récupérés via des infostealers, pour atteindre un portail destiné à des administrations partenaires. L’application « e-contact » aurait ainsi permis l’extraction de données concernant près de 350 000 particuliers et 250 000 professionnels.

D’autres vecteurs ont également été exploités. Entre fin juillet et début août, le compte compromis d’un géomètre-expert aurait permis d’accéder à des données cadastrales concernant 434 564 foyers. Une autre intrusion, détectée mi-août et concernant les successions vacantes, aurait cette fois reposé sur l’exploitation d’une vulnérabilité technique affectant un dispositif de traitement statistique de la DGFiP.

Au-delà des différentes méthodes employées, les sénateurs Claude Raynal et Jean-François Husson mettent en cause des faiblesses plus générales dans la protection du système d’information de l’administration fiscale. Ils soulignent notamment les difficultés à sécuriser les accès et à détecter des comportements inhabituels. Si certains comptes compromis ont pu être désactivés, les systèmes en place n’auraient pas identifié les volumes anormaux d’extraction de données.

La DGFiP a depuis restreint certains accès et interdit l’utilisation d’ordinateurs personnels pour se connecter à ses outils. Le gouvernement prévoit également d’étendre l’authentification multifacteur et d’accélérer le déploiement de mécanismes capables de détecter des volumes inhabituels de consultation.

L’enquête judiciaire se poursuit. Un suspect âgé de 18 ans a été mis en examen.