Alors que Bercy généralise la double authentification pour ses agents, un ancien directeur informatique de la DGFIP tire la sonnette d’alarme. L’accès très large aux dossiers de contribuables et l’essor de l’IA laissent planer une menace bien plus complexe.
Mauvaise nouvelle : la double authentification, dont la généralisation a été annoncée pour les agents de la direction générale des finances publiques (DGFIP), ne sera sans doute pas suffisante seule pour éviter le genre de piratages dont a été victime Bercy cet été. Certes, elle pourrait rendre ce type de détournement plus difficile. Mais sans toutefois permettre de s’en prémunir totalement, comme par exemple après un détournement du deuxième moyen d’authentification.
Celui qui fait cet avertissement, Alain Issarni, connaît particulièrement bien la maison. Il y a ainsi été le directeur des systèmes d’information de cette administration pendant trois ans, de 2012 à 2015. Et ce spécialiste du numérique voit dans le piratage des impôts la démonstration du problème posé par les comptes à hauts privilèges fonctionnels aux responsables de la sécurité informatique.
Double authentification aux impôts : une protection loin d’être infaillible
Pourquoi une telle faille dans un service public aussi sensible ? La réponse tient en un mot : l’accès aux données. Pour fournir un service plus pertinent ou travailler plus efficacement, les vannes ont été ouvertes. Un agent du service client doit pouvoir consulter votre fiche si vous appelez pour signaler un problème. Cela permet de répondre plus vite à un interlocuteur. Mais si ce genre de compte utilisateur est détourné par un tiers à des fins malveillantes, le volume de données compromises peut devenir gigantesque.
Cette vulnérabilité est particulièrement épineuse pour les experts en cybersécurité. Contrairement aux administrateurs, des comptes sensibles également à protéger activement, les utilisateurs ayant accès à ce type de compte sont potentiellement bien plus nombreux. L’authentification forte ne change rien à ce constat : si le voleur a déjà les deux facteurs d’identification, la porte reste grande ouverte.
- Limiter les accès
Réduire le nombre de comptes à privilèges. Moins de portes, moins de risques.
- Surveiller les comportements
Détecter des connexions à des heures inhabituelles ou des IP étrangères.
- Méfier des VPN
Les adresses associées à des VPN douteux doivent déclencher une alerte.
- Former les équipes
Les agents doivent savoir repérer les signaux faibles d'une intrusion.
- Penser à l'IA
Les outils de détection doivent aussi apprendre à repérer les imitations humaines.
Le problème des comptes à privilèges dans la sécurité informatique
Imaginez un employé de plateforme téléphonique, avec des centaines de fiches accessibles chaque jour. Son compte est un trésor pour un pirate. Une fois à l’intérieur, il peut parcourir des milliers de profils sans éveiller les soupçons. Les mécanismes de double authentification ne servent à rien si l’identité légitime a été volée en amont.
La cyberattaque de la DGFIP a mis en lumière cette réalité : les comptes à privilèges fonctionnels sont des cibles de choix. Ils permettent d’atteindre des données personnelles sans forcer une protection périphérique. Les entreprises commencent seulement à mesurer l’ampleur du danger. Et pendant ce temps, la fraude fiscale et l’usurpation d’identité prospèrent grâce à ces failles béantes.
Détection des intrusions : l’IA complique la tâche des experts
Comment repérer un intrus qui se comporte comme un employé ordinaire ? Les indicateurs existent. Une connexion en dehors des heures attendues, des adresses IP localisées à l’étranger ou associées à un VPN douteux, des requêtes automatisées. Mais l’intelligence artificielle change la donne. Un pirate peut programmer une IA pour imiter le comportement d’un utilisateur normal. Les allers-retours sur les fiches deviennent alors presque indétectables.
Des signaux faibles à surveiller pour contrer la cybercriminalité
Dans le cas du piratage des impôts, le ou les hackeurs ont vraisemblablement « parcouru au hasard des fiches de contribuables », une navigation qui a permis au final d’extraire les informations affichées sur la page web. Aucun téléchargement massif, aucune alerte classique. Juste une consultation naturelle, à l’image d’un agent consciencieux.
Pour la sécurité informatique, c’est un cauchemar. Les outils de détection doivent évoluer. Repérer une anomalie comportementale devient plus complexe quand la machine sait singer l’humain. Les experts en protection des données le savent : il faut désormais surveiller les intentions, pas seulement les accès. La prévention de la cybercriminalité passe par ce changement de paradigme.
Vers un rééquilibrage entre sécurité et fonctionnalités
Des accès trop larges qu’il serait presque souhaitable de supprimer pour des questions de sécurité. Mais « en terme d’usage, je ne sais pas si cela pourrait être possible », convient Alain Issarni. Pourtant, un rééquilibrage des priorités, entre sécurité et richesse fonctionnelle, devra probablement être amorcé. L’une des illustrations dans l’affaire de la DGFIP : la fermeture d’accès à des partenaires extérieurs.
Restreindre les accès, une piste nécessaire pour la protection des données
Cette décision est un signal fort. Elle montre que la limitation des permissions est possible, même dans une administration aussi complexe. Au-delà du seul piratage de la DGFIP, ce phénomène doit encore être mieux appréhendé par les entreprises. « Une banalisation des fuites de données s’est installée », déplore Alain Issarni, une compromission chassant l’autre sans que cela n’entraîne une évolution des usages.
De même, dans bien des cas, les réponses pour s’authentifier auprès d’un service client ne sont déjà plus confidentielles à cause de précédentes fuites de données. Autant de portes ouvertes qui stimulent cette industrie malveillante. La double authentification n’est qu’un maillon d’une chaîne de sécurité. Elle protège contre certaines attaques, pas contre un vol d’identité déjà consommé.
Pour les contribuables, difficile de se protéger quand l’attaque cible directement l’administration. changer ses mots de passe, activer l’authentification forte, surveiller ses comptes : des réflexes utiles, mais insuffisants face à un système compromis en amont. La vigilance reste de mise, même pour les paiements en ligne liés aux impôts.
- 🔐 Activez l’authentification forte partout où c’est possible, mais sachez qu’elle ne protège pas tout
- 🕵️ Surveillez les mouvements suspects sur vos comptes bancaires et votre espace fiscal
- 📧 Méfiez-vous des faux SMS et e-mails prétendument envoyés par les impôts après un piratage
- 🔄 Changez régulièrement vos mots de passe, surtout s’ils sont réutilisés ailleurs
- 🛡️ Utilisez un gestionnaire de mots de passe pour éviter les compromissions en chaîne
- 📄 Vérifiez votre crédit d’impôt et vos déclarations pour détecter une éventuelle fraude fiscale
La question n’est plus de savoir si une cyberattaque aura lieu, mais quand la prochaine se produira. La prise de conscience collective progresse, mais trop lentement au goût des experts. En attendant, la protection des données reste un combat de chaque instant, où la double authentification n’est qu’un rempart parmi d’autres.
Vos données fiscales sont-elles vraiment protégées
Est-ce que la double authentification protège mes impôts ?
Elle complique la tâche des pirates, mais ne protège pas à 100 %. Si vos deux facteurs sont volés, la porte est ouverte. C'est ce qui s'est passé à Bercy.
Un hacker peut vraiment imiter mon comportement ?
Avec l'IA, il peut reproduire les heures de connexion et les habitudes de navigation. Les détecteurs classiques ne voient alors rien d'anormal.
Faut-il arrêter d'utiliser impots.gouv.fr ?
Gardez le service, il n'y a pas de danger direct pour les usagers. Le risque interne concerne surtout les agents et leurs comptes.
Ça vaut le coup de surveiller ses comptes en ligne ?
Toujours. Vérifiez les connexions inhabituelles et changez vos mots de passe régulièrement. La vigilance reste la meilleure défense.
Vous en avez appris quoi ? Un point à retenir
Laisser un commentaire
Journaliste tech française installée à Paris depuis plus de quinze ans. Passée par plusieurs rédactions parisiennes avant de fonder la toile electrique, magazine tech indépendant. Passionnée par la souveraineté numérique européenne et la place des femmes dans la tech.