Une compromission chez un prestataire privé aurait exposé les données fiscales de millions de Français. Selon les informations fournies, des attaquants ont utilisé les identifiants volés d’un salarié d’une entreprise sous-traitante de l’administration fiscale pour accéder à des outils internes et extraire de gigantesques volumes de données.
Le scénario est particulièrement préoccupant : les systèmes centraux de la Direction générale des Finances publiques n’auraient pas été directement compromis. Les pirates auraient exploité un compte parfaitement légitime appartenant à un prestataire disposant d’un accès privilégié aux données fiscales.
Jusqu’à 43 millions de personnes potentiellement exposées
Une fois connectés au portail d’accès distant du prestataire, les attaquants auraient utilisé les outils de requête de l’administration pour effectuer des milliers de recherches automatisées.
Les données potentiellement consultées ou copiées seraient particulièrement sensibles : noms, adresses, numéros de sécurité sociale, déclarations de revenus, coordonnées bancaires et, dans certains cas, historiques complets de déclarations fiscales.
Les estimations évoquées dans la source font état de jusqu’à 43 millions de personnes dont les données auraient pu être consultées ou copiées. Si ce chiffre est confirmé, l’incident compterait parmi les plus importantes fuites de données jamais observées en France.
Le point de départ : un compte de prestataire compromis
L’attaque aurait débuté plusieurs mois avant sa découverte, avec une campagne de phishing visant les employés du sous-traitant. Un salarié aurait cliqué sur un lien malveillant permettant aux attaquants de récupérer son mot de passe ainsi que des jetons de session.
Le prestataire utilisait notamment des connexions VPN pour accéder aux systèmes de ses clients. Malgré la présence d’une authentification multifacteur, celle-ci aurait pu être contournée grâce au vol simultané des identifiants et des éléments permettant de conserver une session authentifiée.
La source souligne également que le client VPN utilisé ne supportait pas les mécanismes modernes d’authentification résistants au phishing, comme les clés FIDO2.
Des accès privilégiés difficiles à distinguer d’un usage normal
Le problème ne se serait pas limité au vol d’un compte. Le prestataire disposait de connexions particulièrement puissantes vers les systèmes fiscaux, nécessaires à ses activités de traitement de données, de numérisation et d’analyse statistique.
Les attaquants auraient ainsi pu effectuer un grand nombre de requêtes sans déclencher immédiatement d’alerte. Le volume important de recherches réalisées habituellement par les analystes aurait rendu plus difficile la distinction entre une activité légitime et une extraction massive de données.
Les outils d’analyse comportementale auraient finalement détecté des anomalies, notamment l’origine géographique des connexions et la vitesse des requêtes, mais seulement après que plusieurs millions d’enregistrements eurent été consultés.
Un groupe cybercriminel plutôt qu’un acteur étatique
Les enquêteurs privilégieraient pour l’instant la piste d’un groupe motivé financièrement, plutôt que celle d’une opération commanditée par un État.
Les identifiants compromis seraient apparus sur un forum cybercriminel à la fin du mois de juillet. Plusieurs acheteurs auraient testé l’accès avant qu’un ou plusieurs d’entre eux ne lancent l’extraction massive des données.
Les enquêteurs français travailleraient avec Europol et des entreprises spécialisées dans le renseignement sur les menaces afin de remonter jusqu’à la campagne de phishing initiale et de déterminer comment les identifiants ont circulé.
La réaction des autorités
Après la découverte des activités anormales, les autorités auraient rapidement révoqué les comptes compromis et suspendu temporairement les flux de données provenant de prestataires externes.
De nouveaux contrôles d’accès auraient également été déployés. Les contribuables concernés doivent être contactés directement, tandis que le gouvernement aurait prévu deux années de services gratuits de surveillance du crédit et de protection contre l’usurpation d’identité.
À ce stade, les autorités indiqueraient ne pas disposer de preuves d’une fraude massive utilisant déjà les données volées. Le risque reste néanmoins élevé compte tenu de la nature des informations concernées.
Pourquoi cette attaque est particulièrement dangereuse ?
Une base fiscale contient suffisamment d’informations pour permettre des attaques beaucoup plus crédibles qu’un simple phishing générique. Un cybercriminel disposant du revenu déclaré d’une personne, de son adresse, de ses informations bancaires ou de détails issus de déclarations antérieures peut construire un scénario d’usurpation particulièrement convaincant.
La source indique déjà que des fraudeurs auraient commencé à tester de petits lots d’identités dans des demandes de prêts ou de prestations sociales. Les contribuables concernés devront donc rester particulièrement attentifs aux mouvements inhabituels sur leurs comptes et à toute communication prétendant provenir d’une administration ou d’un organisme financier.
Le maillon faible reste souvent le prestataire
Au-delà de l’incident lui-même, cette affaire illustre une difficulté structurelle pour les administrations publiques. Les organismes gouvernementaux font de plus en plus appel à des entreprises externes pour traiter et analyser des volumes considérables de données.
Ces prestataires ont parfois besoin d’un accès privilégié aux infrastructures de leurs clients. Le problème est que leur niveau de maturité en cybersécurité peut différer de celui de l’administration qui leur confie ces informations.
Une seule identité compromise peut alors devenir une porte d’entrée vers des systèmes contenant les données de millions de citoyens. La source décrit ce phénomène comme un problème récurrent dans les écosystèmes de données complexes reliant plusieurs organisations.
Vers une authentification résistante au phishing
Parmi les mesures envisagées figurent l’obligation pour les prestataires d’utiliser des méthodes d’authentification résistantes au phishing, notamment les technologies basées sur des clés cryptographiques.
Les autorités pourraient également imposer des limites strictes au nombre de requêtes qu’un compte analytique peut effectuer, mettre en place une analyse comportementale en temps réel et réduire le nombre d’entreprises disposant d’un accès direct aux bases fiscales.
Une autre piste consisterait à segmenter les données, afin qu’un même prestataire ne puisse jamais accéder à l’intégralité d’une base nationale. Cette stratégie permettrait de limiter l’impact d’une compromission future.
Des conséquences qui pourraient durer des années
Pour les personnes concernées, le problème ne s’arrêtera pas nécessairement lorsque les comptes compromis auront été désactivés. Des données fiscales volées peuvent continuer à circuler pendant longtemps et être réutilisées pour des tentatives d’usurpation d’identité, de fraude bancaire ou de phishing ciblé.
Les autorités recommandent notamment de surveiller attentivement les comptes bancaires, les comptes fiscaux et les rapports de crédit pendant une période prolongée. La source évoque une vigilance particulière pendant au moins 24 mois.
L’administration fiscale doit désormais mener une analyse technique complète pour déterminer précisément comment les données ont été extraites et si elles ont déjà été diffusées dans des réseaux criminels. Tant que cette enquête n’est pas terminée, l’ampleur exacte de la compromission reste à établir.
Cette affaire rappelle surtout qu’en matière de cybersécurité, la protection d’une infrastructure ne peut pas s’arrêter à ses propres frontières. Lorsqu’une administration partage des données extrêmement sensibles avec des partenaires externes, la sécurité du système dépend aussi de celle de chaque compte, chaque prestataire et chaque connexion autorisée.
