Pour obtenir cet accès, le hacker aurait réussi à contourner, voire à désactiver, l'authentification multifacteur (c'est lui qui le dit). Cette protection constitue une défense solide : le seul mot de passe ne suffit alors pas pour s'authentifier, puisqu'il faut également par exemple fournir un code d'accès à usage unique, reçu sur son téléphone mobile. L'attaquant se serait servi de l'identité compromise d'un agent avant de l'exploiter via un point d'accès externe autorisé, tel qu'un VPN. On parle de l'utilisation combinée de deux identités : celle d'un agent de la Direction générale des Finances publiques et celle d'un tiers habilité à accéder aux systèmes. Cela fait beaucoup.

Courant d'air

Une fois dans le système, le hacker a visiblement bénéficié d'un périmètre d'accès bien plus vaste qu'il n'aurait dû l'être. Des relations de confiance numériques et des mécanismes d'authentification dits fédérés étaient en place pour lui permettre de circuler d'un système à l'autre sans devoir constamment prouver son identité. Ces mécanismes visent à épargner aux utilisateurs la répétition des connexions, mais ils ne devraient pas transformer cette commodité en courant d'air. C'est comme si un visiteur du Louvre, autorisé à voir les collections, pouvait aussi entrer dans les réserves précieuses sans aucune précaution

Réseaux "zéro-confiance"

C'est qu'après avoir franchi les limites d'un réseau, un utilisateur légitime ne devrait plus bénéficier d'une confiance numérique totale. C'est le principe des réseaux "zéro confiance", un concept assez récent peu présent dans les réseaux d'entreprises. Le niveau de confiance accordé à un utilisateur varie selon son comportement : ce qu'il fait, l'endroit depuis lequel il agit, le moment où il intervient et la nature de l'action ou de la ressource qu'il cherche à accéder. Autrement dit, le système distingue en permanence un comportement normal d'un comportement anormal avec toutes les variantes. Dans un tel cadre, le hacker aurait probablement été repéré, même après s'être introduit avec des identifiants valides.

Dans les réseaux d'entreprise, entre Internet et l'ensemble de l'écosystème composé de fournisseurs et de prestataires informatiques qui tous doivent parfois intervenir, les points d'entrée et les intervenants sont désormais trop variés. Il n'est plus possible de réduire les utilisateurs à deux catégories : d'un côté, les employés correctement authentifiés, supposés dignes de confiance absolue dès qu'ils se trouvent sur le réseau et de l'autre, tous ceux à qui l'accès est interdit.

Sous les seuils de détection

Ici, le hacker a pu consulter les données sensibles et les extraire sans être détecté. Il a certainement testé les capacités de surveillance de ses victimes, puis, augmenter progressivement l'ampleur de l'extraction. Il est resté sous les seuils de détection — vraisemblablement élevés, compte tenu du volume de données que les agents du fisc manipulent quotidiennement.

Pis : son accès avait été repéré et la porte d'entrée refermée, mais le canal de sortie qu'il s'était créé pour exfiltrer les données est resté bien là (pourquoi se méfier d'un utilisateur certainement légitime puisqu'à l'intérieur du système). Le hacker n'a même pas chiffré les systèmes au moyen d'un rançongiciel. C'est peut-être qu'il n'en avait pas les compétences, un indice supplémentaire du faible niveau de sophistication nécessaire à l'attaque.

Que faire à court terme

Déployer une architecture zéro confiance à l'échelle d'une administration, avec de multiples réseaux, anciens, et des centaines de milliers d'accès, est évidemment plus simple à recommander qu'à mettre en œuvre. À court terme, ce sera sans doute renforcer les capacités de détection qui sera la solution immédiate. Et pour éviter des accès trop larges, mieux codifier et appliquer la règle d'un accès calibré à la fonction qu'on occupe. Lorsqu'un fonctionnaire change de poste, ces accès sont alors révoqués et il reçoit ceux de son nouveau poste, sinon, un fonctionnaire en fin de carrière a plus d'accès qu'un président de la République.

Ce sont avant tout les usages abusifs de ces données qui doivent inquiéter et constituent désormais l'urgence. La fraude financière directe prendra la forme de demandes fictives de paiement d'impôts, d'ordres de virement frauduleux ou encore de factures falsifiées. Les informations cadastrales exposées cibleront les propriétaires immobiliers, en ouvrant la voie à des fraudes liées à la propriété ou à la location, voire à des menaces physiques. Il suffit de regarder ce qui s'est produit avec certains entrepreneurs dans le secteur des cryptomonnaies, qu'on a justement protégé en évitant que leur domicile soit révélé.

Guerre hybride

Dans un premier temps, des tentatives d'escroquerie plus classiques pourraient se multiplier. Les informations dérobées serviront à envoyer des courriels, à passer des appels ou à transmettre des SMS en se faisant passer pour les services fiscaux, un employeur, un fournisseur ou une banque. Du phishing tous azimuts. Plus les données seront précises, plus il sera facile de confirmer l'identité de la victime et de rendre la fraude crédible.

À plus long terme, ces informations feront le bonheur de la guerre hybride. À quelques mois de l'élection présidentielle en France, des États hostiles pourront s'en servir pour semer le doute et alimenter la défiance dans l'opinion publique.