Piratage de la DGFiP : deux interpellations et une mise en examen - ZDNET

L'enquête sur le piratage de la Direction générale des Finances publiques accélère avec l'interpellation de deux jeunes membres présumés du groupe de hackers « ZeroBytes ».

Le parquet de Paris a confirmé de récentes avancées judiciaires dans la compromission des données de plus de 678 000 particuliers et professionnels. Deux suspects affiliés au collectif « ZeroBytes » ont été interpellés fin août par l'Office anti-cybercriminalité (Ofac), relève l'AFP.

Le premier, un homme de 18 ans arrêté dès le 18 août, est décrit comme un pirate chevronné. Domicilié en région parisienne, il est déjà mis en examen à deux reprises pour des faits similaires commis alors qu'il était mineur, il a été placé en détention provisoire.

Le suspect a été mis en examen notamment pour "accès et maintien frauduleux dans un système de traitement automatisé de données (STAD) à caractère personnel en bande organisée", "modification frauduleuse, extraction, transmission, reproduction et détention de données contenues dans un STAD à caractère personnel en bande organisée", ou encore "participation à une association de malfaiteurs en vue de la préparation d'un délit puni de 10 ans d'emprisonnement".

Le second suspect, interpellé quelques jours plus tard, est âgé de moins de 16 ans. S'il a été libéré à l'issue de sa garde à vue, ses équipements sont en cours d'analyse pour remonter la piste du reste du groupe, qui a également revendiqué des attaques contre l'Éducation nationale ou France Travail.

Les autorités préviennent que l'opération ne fait que commencer : « Les investigations se poursuivent désormais sous la conduite d'un juge d'instruction pour identifier et interpeller les autres personnes mises en cause », indique le Parquet de Paris.

Derrière l'arrestation, une compromission de l'IAM

Pour les DSI et les experts en sécurité, le fait que des adolescents aient pu s'introduire dans l'une des bases de données les plus critiques de l'Etat Français leur rappellera peut être WarGames et son rapport de force tout à fait asymétrique.

Mais cette affaire doit aussi servir d'électrochoc. Car la compromission n'a pas nécessité d'exploits techniques, mais a simplement exploité l'usurpation d'identifiants de collaborateurs internes disposant d'accès trop larges. La directrice générale de la DGFiP l'a elle-même admis : « La première attaque n'a été possible que par la combinaison de compromissions de comptes », évoquait récemment Amélie Verdier, responsable de la DGFiP.

L'administration tente de réagir en déployant dans l'urgence des tokens USB pour renforcer l'authentification multifacteur (MFA) de ses agents. Cependant, d'anciens cadres estiment que cette mesure sera insuffisante face à des comptes dotés de privilèges fonctionnels tentaculaires, indispensables au service client mais dévastateurs s'ils sont contrôlés par des cybercriminels naviguant de manière automatisée.

Du côté des victimes, la colère s'organise face à ces défaillances. En s'appuyant sur le RGPD, une action indemnitaire coordonnée a déjà rassemblé plus de 1 200 personnes. L'objectif est d'obtenir réparation de la part de l'État, que ce soit pour le préjudice moral ou les frais engendrés pour se prémunir d'usurpations futures.