C'est à croire qu'aucun service public n'y échappe. Il y a d'abord eu l'Insee en juin, puis un prestataire de la santé publique et l'éducation nationale en juillet, et le fisc, ciblé à plusieurs reprises cet été. Les chiffres sont sans appel : les cyberattaques se multiplient dans l'Hexagone.
Une situation qui inquiète au sommet de l'Etat, d'autant qu'un groupe de pirates, ZeroBytes, a revendiqué la plupart de ces attaques. Le ministre de l’Action et des Comptes publics David Amiel a présenté mardi 18 août des "excuses" pour le piratage d’ampleur, à trois reprises (révélées les 12, 13 et 18 août), de la Direction générale des finances publiques (DGFiP) qui a abouti au vol des données personnelles de quelque 678 000 contribuables, dont 350 000 particuliers.
Quel mode opératoire ?
Le premier piratage, qui remonte à fin juin, a visé le système d'information du fisc, le second perpétré fin juillet, toujours revendiqué par "ZeroBytes", a ciblé le Serveur professionnel des données cadastrales (SPDC). Le dernier en date, révélé mardi, concernait cette fois des données liées aux successions.
Si le mode opératoire précis ayant permis ces piratages n'a pas été prouvé, les pirates affirment avoir récupéré l'accès à un VPN utilisé par les agents du fisc et contourné "l'authentification multifacteur", le système imposant une double vérification pour se connecter. "Nos systèmes d’information comportent des faiblesses", a reconnu David Amiel.
Quelles données visées ?
Concrètement, le nom, l'adresse mail et postale, le numéro fiscal, le revenu fiscal de référence ou encore le taux de prélèvement à la source de milliers de personnes sont désormais en vente sur le dark web, et pourraient être exploités pour des arnaques futures. Pour les particuliers, les données fiscales dérobées "ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr", mais "l'accès à des données personnelles facilite l'usurpation d'identité", a précisé la directrice générale des finances publiques, Amélie Verdier, lors d'une conférence de presse à Bercy. Pour les entreprises, il s'agit de "données moins sensibles que les particuliers", notamment le numéro de Siren, l'adresse de l'entreprise et celle du mandataire, indique l'administration fiscale.
Selon le site Have I been Pwned, la France serait plus touchée que ses voisins européens, et figurerait en haut de la liste des pays ciblés à l'échelle mondiale, derrière les Etats-Unis et l'Inde, et à des niveaux proches de ceux de la Chine et de la Russie. Depuis le début de l'année, 43 millions de comptes ont été piratés en France, révèlent ainsi les experts de données de l'entreprise de cybersécurité Surfshark. Pas plus tard que le mois dernier, plusieurs millions d'élèves et des dizaines de milliers d'enseignants ont ainsi été visés par un vol de données, revendiqué par Zero Bytes.
Pourquoi la France plus que les autres ?
Une vulnérabilité française qui pourrait s'expliquer entre autres par la centralisation de nos systèmes informatiques. Selon Steven Meyer, directeur de la société de cybersécurité Zendata, interrogé par Le Temps, "dès qu’un des programmes est piraté, le hackeur peut effectuer des déplacements latéraux, avec d’immenses dégâts à la clé" et avoir accès à "un volume de données colossal".
Autre facteur explicatif : le fondateur de Have I Been Pwned, Troy Hunt, cité par Libération, estime que "cela pourrait être lié à une communauté de hackeurs française - ou du moins francophone - plus active". Et d'ajouter : "Il est possible que la France dispose de pratiques de cybersécurité globalement moins solides, ce qui entraînerait davantage de violations".
Comment mieux lutter contre ?
Le ministre de l'Action et des Comptes publics a évoqué plusieurs phases d'un plan d'action. Les usagers concernés sont déjà ou devraient être prochainement contactés par la DGFiP, pour les informer sur les données hackées et les mesures de vigilance à adopter. Le gouvernement assure également vouloir utiliser l'IA parisienne Mistral pour identifier les vulnérabilités de ses services et lutter contre la compromission des comptes des agents de la fonction publique. "OpenAI est exclue", a précisé David Amiel.
