Le piratage de la base de données fiscales française est possible en raison de la faiblesse des systèmes, selon un rapport

nouvelles

Plusieurs bases de données gouvernementales piratées cet été

Lorsque la France s’est orientée vers un système fiscal principalement basé sur Internet, le gouvernement a fait grand cas du fait que la cybersécurité entourant le système fiscal Direction générale des finances publiques (Administration fiscale française, DGFiP) était parmi les plus strictes au monde.

Cela n’a pas empêché des piratages très embarrassants cet été, au cours desquels les données personnelles de quelque 678 000 personnes et entreprises ont été téléchargées puis proposées à la vente sur Internet.

À l’époque, le gouvernement avait promis d’informer toutes les personnes et entreprises dont les données avaient été volées lors de la fuite.

Au final, trois fuites de données ont été enregistrées par le fisc cet été.

Le piratage « pas sophistiqué »

Un rapport publié par l’organisme gouvernemental créé en 2009 pour protéger la cybersécurité nationale, Agence nationale de la sécurité des systèmes d’information (Anssi) a déclaré après six semaines d’enquête, que le premier et le plus important piratage « n’était pas sophistiqué ».

Au lieu de cela, il a exploité des faiblesses fondamentales du système informatique de la DGFiP, qui pouvaient être saisies par n’importe qui dans le réseau informatique interministériel.

Le rapport détaille deux piratages, l’un ciblant les informations personnelles des contribuables et l’autre téléchargeant des informations du registre cadastral des propriétés détenu par les autorités fiscales.

Les coordonnées bancaires n’ont pas été incluses dans les hacks, mais d’autres informations disponibles sur une déclaration fiscale, notamment le nom, les adresses, les numéros de téléphone, la situation familiale et les impôts déclarés, l’ont été.

La première violation a été possible parce que les pirates ont pu pénétrer dans le système en utilisant l’adresse e-mail d’un fonctionnaire (fonctionnaire).

Les données volées dans le registre cadastral ont été obtenues après que des pirates ont accédé à la base de données via l’ordinateur d’un entrepreneur d’une entreprise privée, qui avait accès au système.

Le rapport de l’Anssi souligne cependant que plusieurs fonctionnaires ont été ciblés, utilisant pour la plupart leur propre ordinateur et non un ordinateur officiel de la DGFiP.

Un autre problème était qu’il n’existait pas de système de double identification dans la base de données pour les fonctionnaires.

La double identification implique un mot de passe suivi d’une authentification sur un deuxième appareil, généralement un téléphone mobile. Cela peut inclure une analyse biométrique (analyse du visage ou des empreintes digitales) ou la saisie d’un code envoyé par SMS ou par e-mail.

Cependant, ce système est utilisé pour la base de données cadastrales, mais a été contourné par des pirates.

Le bureau du Premier ministre, qui traite les demandes de renseignements sur le piratage, n’a pas répondu aux questions de La connexion ce qui s’était passé exactement.

Plusieurs défauts découverts

Une deuxième faille dans la conception de base du système a été identifiée par l’Anssi.

Les informations confidentielles n’étaient ni clôturées ni protégées et pouvaient être consultées – à des fins professionnelles – par toute personne ayant accès au système informatique interne ministériel du gouvernement.

Le dernier défaut grave était l’absence d’alarmes qui auraient dû se déclencher lors de l’exportation de grandes quantités de données depuis le système informatique de la DGFiP.

De telles alarmes étaient en place ailleurs dans le système, mais elles ne concernaient pas les données compromises.

Dans une première mesure, l’Anssi a recommandé de mettre fin à l’accès aux ordinateurs de la DGFiP depuis les ordinateurs personnels.

Il a également recommandé que des travaux soient entrepris pour clôturer le système afin de limiter le nombre de personnes pouvant y accéder.

Les autorités ont arrêté deux hommes, âgés de 18 et 16 ans, soupçonnés d’être à l’origine du piratage.

Le premier est en garde à vue depuis fin août, tous deux ont été mis en examen par un juge d’instruction pendant que l’enquête se poursuit.

Aucune date n’a été fixée pour une comparution devant le tribunal.

Inquiétudes concernant la numérisation des services

Entre-temps, il est devenu évident que le piratage du système fiscal a ébranlé la confiance du public dans la numérisation des services gouvernementaux.

Un exemple est celui d’une lettre ouverte d’une association de commerçants de l’Essonne, se plaignant du coût du nouveau système de facturation électronique, et évoquant également des craintes quant à la sécurité des systèmes de données suite au piratage.

« La DGFiP dit qu’il faut avoir confiance dans le système, mais elle a elle-même été piratée », affirme l’association.

L’Anssi a reçu des informations faisant état de 99 piratages d’ordinateurs gouvernementaux en août et septembre.

Beaucoup ont été attribuées à des services ne disposant pas de méthodes de double authentification et à l’utilisation d’adresses e-mail de fonctionnaires, soit avec des mots de passe faibles, soit avec des mots de passe volés.

Les détails du travail de potentiellement jusqu’à 4 350 000 enseignants ont été consultés à partir de Éducation Nationale ordinateurs, et 300 000 informations sur les enseignants et les étudiants ont été piratées sur les ordinateurs du ministère des Affaires étrangères enregistrant l’enseignement du français à l’étranger.

Un sous-traitant d’un autre département du ministère des Finances, Tracfin, qui lutte contre le blanchiment d’argent, a été temporairement piraté. Les données personnelles des travailleurs ainsi que les détails des plaintes déposées auprès de Tracfin ont été dévoilés.

Les autres ministères concernés comprennent :

• Le ministère de l’Environnement où des fichiers immobiliers et des véhicules électriques ont été piratés

• Le ministère du Travail, où une plateforme permettant aux personnes d’obtenir des équivalents de diplômes issus d’une expérience professionnelle a été consultée

• Le ministère de l’agriculture, où un site de formation professionnelle a été piraté

• Au bureau du Premier ministre, où il a été constaté que d’anciens comptes qui auraient dû être fermés, étaient utilisés par des inconnus pour accéder à des détails administratifs.