🚨 Cyberattaque de la DGFiP : visiblement, les fondamentaux de la sécurité étaient… imposables mais pas encore déclarés 🤨
Le rapport publié par l’ANSSI sur les cyberattaques ayant touché la Direction générale des Finances publiques cet été est particulièrement instructif. Et disons-le, sa lecture est parfois assez… surprenante.
Car l’ANSSI ne décrit pas une cyberattaque d’une sophistication exceptionnelle.
Au menu (et il est copieux !) :
👉 Des identifiants professionnels compromis, notamment depuis des équipements non administrés par la DGFiP ;
👉 Une absence d’authentification multi facteur sur certains accès ;
👉 Des comptes non privilégiés capables de consulter des volumes importants de données ;
👉 Et une capacité de détection pour le moins perfectible.
L’ANSSI relève en outre :
- des faiblesses dans trois domaines pourtant bien connus => l’identité, l’architecture et la détection.
- 11 Go de données échangées entre le 22 et le 25 juin, puis 3 Go en juillet, sans déclenchement d’alerte !
Connexions nocturnes, adresses IP provenant de VPN ou localisées en Inde, certaines catégorisées comme malveillantes, volumes importants de requêtes liés au scraping…
Les signaux étaient là mais détection, beaucoup moins. À croire qu’il ne s’agit pas de la DGFIP !
L’exfiltration des données s’est produite sept semaines avant sa revendication publique et les données de plusieurs centaines de milliers d’usagers étaient concernées.
Derrière cet incident cyber se trouve aussi un sujet de conformité RGPD :
👉 L’article 32 impose la mise en œuvre de mesures techniques et organisationnelles appropriées au risque ;
👉 L’article 34 impose quant à lui l’information des personnes suite à une faille à une violation de données « dans les meilleurs délais. »
Un contrôle de la CNIL est en cours, il faudra donc patienter avant de connaître le détail des dysfonctionnements liés à la protection des données.
