Piratage de Bercy (DGFIP): Pourquoi un agent double du ministère de l’Education Nationale et du Ministère de l’Economie et des Finances n’a pas été détecté
Pendant la période de vacances du blog, nos amis Gaël Hachez et Charles Cuvelliez ont publié dans Theconversation.fr un article qui faisait le point sur l’attaque de la direction des finances (DGFIP) qui s’est soldée par la fuite de centaines de milliers de données ultra-sensibles de contribuables. Leur conjectures sur ce qui s’est passé s’est […] L’article Piratage de Bercy (DGFIP): Pourquoi un agent double du ministère de l’Education Nationale et du Ministère de l’Economie et des Finances n’a pas été détecté est apparu en premier sur Blog binaire..
En septembre 2026, la Direction générale des finances publiques (DGFIP) a subi une cyberattaque ayant entraîné la fuite de centaines de milliers de données ultra-sensibles de contribuables. Cette attaque a été analysée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et documentée dans une note interne du Sénat. Les données concernaient principalement des informations fiscales, mais aussi d'autres données administratives sensibles. L'attaque s'est déroulée selon une séquence précise appelée cyberkill chain, une méthode standardisée pour décrire les étapes d'une intrusion informatique. Les médias, dont Le Monde, ont pu accéder à des extraits de cette note, confirmant que des failles techniques et organisationnelles ont permis cette fuite.
Les pirates ont commencé par voler les identifiants d'un agent du ministère de l'Éducation nationale à l'aide d'un infostealer, un logiciel malveillant conçu pour capturer des mots de passe, cookies de session et autres données sensibles stockées sur un ordinateur. Ces infostealers s'installent souvent via des pièces jointes infectées ou des téléchargements non sécurisés. Une fois installés, ils analysent les fichiers et mémoires des navigateurs pour récupérer les identifiants de connexion. Dans ce cas, les identifiants volés ont permis aux hackers de se faire passer pour un agent légitime au sein du Réseau Interministériel de l'État (RIE), un réseau sécurisé reliant les administrations françaises.
Grâce aux identifiants volés, les pirates ont pu accéder au RIE, un réseau centralisé reliant les ministères. Ils ont ensuite exploité un autre identifiant volé, cette fois-ci celui d'un agent de la DGFIP, pour se connecter à l'application interne e-contact. Cette application sert à échanger des dossiers fiscaux entre agents et usagers. Or, e-contact ne disposait pas de double authentification, une mesure de sécurité pourtant essentielle pour protéger les accès sensibles. Cette absence de vérification supplémentaire a permis aux hackers de naviguer librement dans l'application, accédant ainsi à des données fiscales de centaines de milliers de contribuables.
La DGFIP a finalement détecté l'intrusion en analysant les journaux d'accès, mais cette détection concernait uniquement l'accès frauduleux, et non l'exfiltration des données. Une fois à l'intérieur du réseau, les pirates ont pu copier et transmettre les données sans être repérés, car le système ne surveillait pas les mouvements de données une fois l'accès validé. Cette faiblesse illustre une faille classique : détecter une intrusion ne suffit pas, il faut aussi surveiller les actions réalisées une fois l'accès obtenu. Une approche zéro-confiance aurait pu bloquer cette exfiltration en vérifiant en permanence la légitimité des actions, même après authentification.
Le rapport du Sénat souligne que le Réseau Interministériel de l'État (RIE) est conçu pour faciliter la circulation des données entre administrations, ce qui peut créer des failles de sécurité. Par exemple, un agent double (ici, un hacker se faisant passer pour un agent de l'Éducation nationale) peut se déplacer librement entre les systèmes sans être détecté. Une segmentation plus stricte des réseaux, comme le recommande une approche zéro-confiance, aurait limité les mouvements des pirates. De plus, l'absence de double authentification sur e-contact a joué un rôle clé dans cette faille. Enfin, l'article rappelle l'importance de réserver des machines strictement professionnelles et de les nettoyer régulièrement pour éviter l'installation de malwares.
Pour prévenir de telles attaques, plusieurs mesures sont proposées. D'abord, **segmenter les réseaux** pour limiter les mouvements latéraux des pirates une fois une faille exploitée. Ensuite, généraliser la **double authentification** pour tous les accès sensibles, y compris au sein des réseaux interministériels. Une approche *zéro-confiance* est également recommandée : elle consiste à vérifier systématiquement l'identité et les droits d'accès de chaque utilisateur, même après une première authentification. Enfin, il est crucial de **nettoyer régulièrement les machines professionnelles** et de limiter leur usage à des tâches strictement professionnelles pour réduire les risques d'infection par des *infostealers*. Ces mesures combinées auraient pu empêcher ou limiter l'impact de cette cyberattaque.
