Après le piratage de la Direction générale des Finances publiques (DGFiP) cet été, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a rendu public, le 29 septembre, son rapport d’incident. Demandé par le Premier ministre, cet audit reconstitue la chronologie des événements et identifie les failles qui ont permis aux pirates d’exfiltrer des données sur deux périmètres : la plateforme impots.gouv.fr et les données cadastrales.
Le constat est particulièrement embarrassant pour l’administration fiscale. L’ANSSI écrit que « La compromission des systèmes d’information de la DGFiP n’est pas la conséquence d’une attaque sophistiquée », mais l’exploitation de trois faiblesses principales : la protection des identifiants, l’architecture des systèmes et la détection des attaques. Les pirates ont utilisé des identifiants appartenant à des agents de la DGFiP. Ces identifiants avaient pu être récupérés après leur utilisation sur des équipements personnels, tandis que certains portails n’avaient pas d’authentification forte.
Le problème ne s’arrête pas là. L’ANSSI relève que certaines applications sensibles étaient « accessibles depuis le Réseau interministériel de l’État (RIE) sans cloisonnement ». Cette configuration « augmente leur exposition et ouvre un risque de latéralisation depuis des ressources d’organismes tiers ». C’est précisément ce qui s’est produit : selon l’ANSSI, les pirates ont notamment pu progresser depuis les infrastructures appartenant au ministère de l’Éducation nationale. Une faille dans un autre système de l’administration a donc pu servir de point d’entrée vers les applications de la DGFiP.
Mais le point le plus inquiétant concerne la détection des attaques. Aucune exfiltration des données n’a été détectée en juillet et en août, ni par les moyens de supervision de la DGFiP, ni par ceux de l’ANSSI. La DGFiP ne supervisait pas l’un des portails utilisés par les pirates pour extraire des informations, et « aucun mécanisme n’a corrélé les signaux suspects » (connexions nocturnes, volumes anormaux, adresses IP malveillantes, scraping industriel). Même chose du côté de l’ANSSI. Le rapport note toutefois que « le volume cumulé de requêtes que l’attaquant (…) aurait dû déclencher des alertes. » L’ANSSI a depuis défini un plan d’action avec la DGFiP afin, entre autres, de renforcer la supervision de la DGFiP, limiter l’exposition des identifiants de connexion, implémenter l’authentification forte, réduire la surface d’attaque et l’exposition des ressources métiers.
Ce fiasco invite à se poser la question suivante : comment faire confiance à un État qui veut centraliser toujours plus de données personnelles, développer l’identité numérique et multiplier les services administratifs en ligne, mais n’est même pas capable d’appliquer la base de la sécurité informatique ? La centralisation des données peut, certes, faciliter les démarches, mais elle multiplie aussi les risques d’attaques qui mettent en danger les contribuables. La numérisation de l’État ne vaut que par la sécurité des systèmes qui la rendent possible, mais l’administration montre qu’elle est tout, sauf à la hauteur en la matière. L’attaque de la DGFiP n’était pas sophistiquée, tout comme celle de France Travail ou celle de l’ANTS qui a, rappelons-le, conduit à l’interpellation d’un jeune de 15 ans.
Recevez Contrepoints, le journal d'actualité libéral
Abonnez-vous gratuitement à notre journal d’actualité libéral. Recevez tous les matins une analyse libérale de l’actualité que vous ne trouverez nulle part ailleurs.
10 réponses
Le citoyen doit spontanément refuser toute nouvelle déclaration à l’état tant que la sécurité absolue ne lui est pas garantie.
Qui lancera ce mot d’ordre?
Les irresponsables qui nous ont mis dans cette situation doivent être identifié et condamnés, jusqu’au plus haut niveau.
Qui l’exigera?
Je sens que tout ce monde joue la montre et attend… qu’on les oublie.
Un peu tard pour s’ inquiéter non ? Toutes nos données ont été volées, les plus intimes comme les plus courantes ! On est inondé de courriels frauduleux et c’est à nous d’ être « plus vigilants »…. La blague ! Ils ont obligés (malgré tout ça) les petits patrons à leur confier les leurs ! Ils sont persuadés d’être « bons » mais ils ne le sont pas…. Il faut les stopper c’est urgent. C’est vraiment le théâtre des nuls ! Ils sont médiocres et ils le resteront jusqu’au bout.
C’est encore de notre faute, comme d’habitude !!! Ah, le lavage de mains avec du gel hydroalcoolique, bien sûr !! C’est de « » l’humour ! » » .
Les demandes de TOUTES nos données sont surtout faites, pour mieux nous surveiller, nous contrôler, et (accessoirement) nous sanctionner.
Tous ces personnels sont-ils former sur les risques de détournements des informations que nous leur avons confié ?
Par contre, le ministre à demandé et mis en place « une nouvelle équipe » pour mieux surveiller et protéger
Par contre « l’ancienne équipe » devient quoi ? Virée pour incompétence ou recasée dans des fauteuils confortables?
Le fauteuil confortable, c’est sûr !!! Excellent !! Ils se protègent les uns les autres, et il n’y a aucunes raisons pour que cela change !!!! Incompétence, Incompétence, c’est quoi, chez eux !!! Inconnu au bataillon !!
Il paraît que les fonctionnaires sont recrutés sur concours ! Ce qui vient de se produire avec la fuite de toutes ces données donnerait tendance à penser qu’un certain nombre de ces « cerveaux » sort de Maternelle Supérieure. Quoi qu’il en soit je serais curieux de connaître le sort réservé aux incapables des ministères qui ont laissé passer de telles intrusions. Ces gens étaient ils à leur poste pour vérifier les tentatives de piratage ?
Où il est une fois de plus prouvé que l’Etat est et nuisible et incompétent. Comme on est obligé d’en avoir un, la conclusion est évidente: il nous faut un Etat minimal (justice, police, armée, diplomatie), qui ne s’occupe QUE de ce pour quoi il a été créé, avec des garde-fous infranchissables. Ça n’empêchera pas les erreurs, mais elles seront moins nombreuses. La concurrence rend intelligent, mais l’Etat ne s’occupe (ne devrait…) que de domaines sans concurrence.
De toute façon c’est terminé même en mettant en place dès maintenant normes fondamentales et systèmes de sécurité les digues ont déjà cédées.
L’entièreté des données personnelles d’une importance vitale de la population ont été compromises : de l’état civil en passant par les données fiscales complètes etc.. et ce pour une génération entière et donc jusqu’à ce que les titulaires de ces données compromises, cad nous , soient morts. Il n’y a pas de retour possible.
Il va falloir aussi réformer complètement tous les services : DGSE et DGSI qui ont faillis à un niveau consternant à leur mission première.
C’est probablement le plus grand acte de terrorisme jamais réalisé.
Les répercussions sont et vont être dramatique sur un nombre de victimes à une échelle incalculable.
Curieux que ça soit venu de l’éducation nationale qui pullule d’activistes LFI !
Les révolutionnaires de notre Robespierre national, le conducator Mélenchon, ont alimenté leurs fichiers pour préparer la répression à venir.
Manque plus que l’incendie du parlement pour achever la démocratie…
Bientôt Boyard gardien de mirador.
Pour offrir les meilleures expériences, nous utilisons des technologies telles que les cookies pour stocker et/ou accéder aux informations des appareils. Le fait de consentir à ces technologies nous permettra de traiter des données telles que le comportement de navigation ou les ID uniques sur ce site. Le fait de ne pas consentir ou de retirer son consentement peut avoir un effet négatif sur certaines caractéristiques et fonctions.
Fonctionnel
Toujours activé
L’accès ou le stockage technique est strictement nécessaire dans la finalité d’intérêt légitime de permettre l’utilisation d’un service spécifique explicitement demandé par l’abonné ou l’utilisateur, ou dans le seul but d’effectuer la transmission d’une communication sur un réseau de communications électroniques.
Préférences
L’accès ou le stockage technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou l’internaute.
Statistiques
Le stockage ou l’accès technique qui est utilisé exclusivement à des fins statistiques.Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Marketing
L’accès ou le stockage technique est nécessaire pour créer des profils d’internautes afin d’envoyer des publicités, ou pour suivre l’utilisateur sur un site web ou sur plusieurs sites web ayant des finalités marketing similaires.
10 réponses
Le citoyen doit spontanément refuser toute nouvelle déclaration à l’état tant que la sécurité absolue ne lui est pas garantie.
Qui lancera ce mot d’ordre?
Les irresponsables qui nous ont mis dans cette situation doivent être identifié et condamnés, jusqu’au plus haut niveau.
Qui l’exigera?
Je sens que tout ce monde joue la montre et attend… qu’on les oublie.
Un peu tard pour s’ inquiéter non ? Toutes nos données ont été volées, les plus intimes comme les plus courantes ! On est inondé de courriels frauduleux et c’est à nous d’ être « plus vigilants »…. La blague ! Ils ont obligés (malgré tout ça) les petits patrons à leur confier les leurs ! Ils sont persuadés d’être « bons » mais ils ne le sont pas…. Il faut les stopper c’est urgent. C’est vraiment le théâtre des nuls ! Ils sont médiocres et ils le resteront jusqu’au bout.
C’est encore de notre faute, comme d’habitude !!! Ah, le lavage de mains avec du gel hydroalcoolique, bien sûr !! C’est de « » l’humour ! » » .
Les demandes de TOUTES nos données sont surtout faites, pour mieux nous surveiller, nous contrôler, et (accessoirement) nous sanctionner.
Tous ces personnels sont-ils former sur les risques de détournements des informations que nous leur avons confié ?
Par contre, le ministre à demandé et mis en place « une nouvelle équipe » pour mieux surveiller et protéger
Par contre « l’ancienne équipe » devient quoi ? Virée pour incompétence ou recasée dans des fauteuils confortables?
Le fauteuil confortable, c’est sûr !!! Excellent !! Ils se protègent les uns les autres, et il n’y a aucunes raisons pour que cela change !!!! Incompétence, Incompétence, c’est quoi, chez eux !!! Inconnu au bataillon !!
Il paraît que les fonctionnaires sont recrutés sur concours ! Ce qui vient de se produire avec la fuite de toutes ces données donnerait tendance à penser qu’un certain nombre de ces « cerveaux » sort de Maternelle Supérieure. Quoi qu’il en soit je serais curieux de connaître le sort réservé aux incapables des ministères qui ont laissé passer de telles intrusions. Ces gens étaient ils à leur poste pour vérifier les tentatives de piratage ?
Quand on voit qui dirige tout cela, il n’y a pas de quoi s’étonner, responsable mais pas coupable comme d’habitude !!
Où il est une fois de plus prouvé que l’Etat est et nuisible et incompétent. Comme on est obligé d’en avoir un, la conclusion est évidente: il nous faut un Etat minimal (justice, police, armée, diplomatie), qui ne s’occupe QUE de ce pour quoi il a été créé, avec des garde-fous infranchissables. Ça n’empêchera pas les erreurs, mais elles seront moins nombreuses. La concurrence rend intelligent, mais l’Etat ne s’occupe (ne devrait…) que de domaines sans concurrence.
De toute façon c’est terminé même en mettant en place dès maintenant normes fondamentales et systèmes de sécurité les digues ont déjà cédées.
L’entièreté des données personnelles d’une importance vitale de la population ont été compromises : de l’état civil en passant par les données fiscales complètes etc.. et ce pour une génération entière et donc jusqu’à ce que les titulaires de ces données compromises, cad nous , soient morts. Il n’y a pas de retour possible.
Il va falloir aussi réformer complètement tous les services : DGSE et DGSI qui ont faillis à un niveau consternant à leur mission première.
C’est probablement le plus grand acte de terrorisme jamais réalisé.
Les répercussions sont et vont être dramatique sur un nombre de victimes à une échelle incalculable.
Curieux que ça soit venu de l’éducation nationale qui pullule d’activistes LFI !
Les révolutionnaires de notre Robespierre national, le conducator Mélenchon, ont alimenté leurs fichiers pour préparer la répression à venir.
Manque plus que l’incendie du parlement pour achever la démocratie…
Bientôt Boyard gardien de mirador.