Cyberattaque et vol de données ayant touché la DGFiP

[pchmartin]

Bonjour,

Avez vous reçu le mail de la DGFIP sur le vol de données ou un faux mail d'hameçonnage ?

Si c'est le cas, pouvez vous le partager avec la communauté ?

Merci

 

[Buffeto]

rien reçu de tel ici

 

[Philou75]

Toute la semaine pour le recevoir donc patience

 

[Cygne06]

Beaucoup de personnes dans les forums et réseaux font référence au mail qui devait être envoyé mais, jusqu'à présent, je n'ai vu aucune confirmation de quelqu'un qui l'aurait effectivement reçu ! Wait and see ....

 

[choupy]

[lien réservé abonné]

 

[Nature]

Une variation sur les dangers encourus [lien réservé abonné].

Avec une conclusion de l'article qui honore la France :
"... Aujourd'hui, on est quand même le premier pays à subir le plus de fuites d'informations en Europe, le deuxième dans le monde. Je pense que ça ne nous correspond absolument pas."

 

[pchmartin]

Article synthétique de moneyvox sur le sujet

https://www.moneyvox.fr/impot/actua...ci-la-liste-precise-des-donnees-qui-ont-fuite

 

[MDacier]

La Direction générale des finances publiques annonce une "troisième fuite" sur des données liées aux successions vacantes, rapidement "coupée"
[lien réservé abonné]

Cette fuite n'est toutefois "pas du tout de la même ampleur" que le récent piratage ciblant le fisc, a précisé mardi la DGFIP

Ah d'accord.
Tout va bien alors !

Lors de cette conférence de presse, le ministre de l'Action et des Comptes publics, David Amiel, a présenté des "excuses" après le piratage récent du fisc, qui a touché quelque 678 000 particuliers et professionnels. "Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français", a reconnu le ministre, à l'instar de la directrice générale des finances publiques.

Amélie Verdier a toutefois minoré le nombre total de particuliers et professionnels touché, évoquant de possibles nombreux "doublons". Sur ces fuites de données, "aucune d'entre elles n'a conduit à une intrusion dans un compte fiscal, ni d'un particulier ni d'un professionnel", a assuré la directrice générale des finances publiques. "Et aucune d'entre elles n'a permis de récupérer des codes d'accès au compte sécurisé d'un contribuable."

Bientot elle va nous expliquer que les pirates n'ont mis la main que sur des infos sans aucun intérêt ...

 

[pchmartin]

C'est quand même dément !! Il y a 20 ans déjà, pour accéder au système d'information de mon entreprise, il fallait un logiciel de connexion spécifique qui rajoutait une couche de sécurité aux logiciels de connexion.

Donc connaitre le nom d'utilisateur et le mot de passe ne suffisait pas pour se connecter , il fallait aussi avoir ce logiciel installé .

Et pour protéger les pc portables en cas de vol, le disque dur était crypté .. le jour on était prié d'attacher le pc portable avec un câble et le soir, impossible de laisser le pc portable sur le bureau, la sécurité passait et l'embarquait , votre manager recevait un mail ... et vous une soufflante !!

 

[MDacier]

En effet. Il y a clairement une grande légèreté de la part de la DGFiP…

En tant qu’usager, pour accéder au site des impôts, une authentification à double facteur est indispensable.
Or, les pirates ont manifestement pu aspirer des données sans avoir à franchir un dispositif de protection équivalent.

 

[lebadeil]

C'est quand même dément !! Il y a 20 ans déjà, pour accéder au système d'information de mon entreprise, il fallait un logiciel de connexion spécifique qui rajoutait une couche de sécurité aux logiciels de connexion.

Donc connaitre le nom d'utilisateur et le mot de passe ne suffisait pas pour se connecter , il fallait aussi avoir ce logiciel installé .

Et pour protéger les pc portables en cas de vol, le disque dur était crypté .. le jour on était prié d'attacher le pc portable avec un câble et le soir, impossible de laisser le pc portable sur le bureau, la sécurité passait et l'embarquait , votre manager recevait un mail ... et vous une soufflante !!

Bonjour.

Même en cas d'usurpation d'identité d'un agent des impots (id + password), une clef USB d'identification avec code PIN , est devenue indispensable dans les systèmes d'information sensibles.

C'est valide pour les Impots mais aussi pour d'autres administrations ou opérateurs internet/téléphonie ou industriels sensibles.

Y aurait il trop de négligence sur la sécurité des systèmes d'informations ?

Cette fois, ceux sont des pirates français en herbe. Mais ca pourrait aussi demain etre des puissances étrangères ! Que faut il pour une prise de conscience ?

Les personnes impactées peuvent elles demander une indemnisation pour préjudice subi ?

 

[MDacier]

Les pirates du site des impôts affirment avoir aussi dérobé des informations personnelles de millions d’élèves au ministère de l’éducation nationale
[lien réservé abonné]

 

[pchmartin]

En effet. Il y a clairement une grande légèreté de la part de la DGFiP…

En tant qu’usager, pour accéder au site des impôts, une authentification à double facteur est indispensable.
Or, les pirates ont manifestement pu aspirer des données sans avoir à franchir un dispositif de protection équivalent.

Oui effectivement, il y a maintenant cette authentification pour les utilisateurs lamdda , mais c'est manifestement un compte interne qui a été compromis, compte qui avait des droits d'accès aux bases de données ou aux applications permettant d'extraire des données de ces bases ...

Triste qu'il n'y ait pas des mouchards permettant de savoir qu'un accès "en masse" a été fait et qu'il faille attendre la publication sur le darkweb sur se rendre compte du piratage ... parce que pour extraire 600 000 comptes, ça ne s'est pas fait un par un !!

Ces logiciels s'appellent des Database Activity Monitoring ( DAM) comme:

• Imperva SecureSphere / Imperva Data Security Fabric
• IBM Guardium
• Oracle Audit Vault and Database Firewall
• Datadog Database Monitoring

 

[MDacier]

Triste qu'il n'y ait pas des mouchards permettant de savoir qu'un accès "en masse" a été fait et qu'il faille attendre la publication sur le darkweb sur se rendre compte du piratage ... parce que pour extraire 600 000 comptes, ça ne s'est pas fait un par un !!

Le Syndicat Solidaire Finances Publiques était au courant et avait interpellé Bercy dès le 18 juin...
La DGFiP avait pretendu que tout était sous contrôle et qu’aucune donnée n’avait fuité !
[lien réservé abonné]

[lien réservé abonné]

 

[pchmartin]

Le Syndicat Solidaire Finances Publiques était au courant et avait interpellé Bercy dès le 18 juin...
La DGFiP avait pretendu que tout était sous contrôle et qu’aucune donnée n’avait fuité !
[lien réservé abonné]

[lien réservé abonné]

Il était au courant de rien !! il avait simplement alerté sur les risques ...

Dès juin, Solidaires Finances Publiques avait interpellé la Directrice générale [lien réservé abonné]. Après les fuites Tchap et France Services, nous l'avions alertée sur les risques de « piratage, d'usurpation d'identité ou d'hameçonnage ciblé » et sur la possibilité, « à très court terme », de nouvelles attaques.

mais ça c'est facile .. dire que spécifiquement à cet endroit il y a une faiblesse et le prouver c'est autre chose
C'est le genre de résultat qu'on obtient quand on fait intervenir des spécialistes en sécurité ( souvent des hackers repentis) .. mais ca voudrait dire pour les patrons de l'administration accepter de se remettre en cause .. pas sur que ce soit dans leur culture

 

[Jaumep]

Oui effectivement, il y a maintenant cette authentification pour les utilisateurs lamdda , mais c'est manifestement un compte interne qui a été compromis, compte qui avait des droits d'accès aux bases de données ou aux applications permettant d'extraire des données de ces bases ...

Triste qu'il n'y ait pas des mouchards permettant de savoir qu'un accès "en masse" a été fait et qu'il faille attendre la publication sur le darkweb sur se rendre compte du piratage ... parce que pour extraire 600 000 comptes, ça ne s'est pas fait un par un !!

A priori il y avait bien un mouchard.
Le pirate lui même dans sa comm sur ka dark web indique avoir été coupé rapidement.

Ces logiciels s'appellent des Database Activity Monitoring ( DAM) comme:

• Imperva SecureSphere / Imperva Data Security Fabric
• IBM Guardium
• Oracle Audit Vault and Database Firewall
• Datadog Database Monitoring

 

[Jaumep]

C'est quand même dément !! Il y a 20 ans déjà, pour accéder au système d'information de mon entreprise, il fallait un logiciel de connexion spécifique qui rajoutait une couche de sécurité aux logiciels de connexion.

Donc connaitre le nom d'utilisateur et le mot de passe ne suffisait pas pour se connecter , il fallait aussi avoir ce logiciel installé .

Et pour protéger les pc portables en cas de vol, le disque dur était crypté .. le jour on était prié d'attacher le pc portable avec un câble et le soir, impossible de laisser le pc portable sur le bureau, la sécurité passait et l'embarquait , votre manager recevait un mail ... et vous une soufflante !!

Ps anecdotique sur le fait d’attacher son pc avec un câble; le jour de mon départ définitif de mon entreprise, j’ai fait le vide sur mon bureau et ai constaté que le fameux filin d'acier était solidement fixé depuis 5 ans …autour d’un pied de bureau de mon vis à vis; il suffisait donc de soulever le dit bureau pour prendre le tout, pc + câble.

 

[pchmartin]

A priori il y avait bien un mouchard.
Le pirate lui même dans sa comm sur ka dark web indique avoir été coupé rapidement.

Oui, un mouchard d'intrusion ok ... mais pas un mouchard qui permet de savoir que 600 000 enregistrements ont été extraits de la base de données ... la DGFIP ne s'en est aperçut que plus tard ..

De toutes façons, il y a pas 36 solutions techniques, soit il y a un logicel DAM sur les bases de données et ça permet de savoir qu'une extraction a été faite, quelque soit le canal utilisé, soit il n'y en a pas et on est aveugle

Voilà les fonctionnalités d'un tel logiciel ( mis en forme par Claude)

• Agrégation sur la durée — le DAM regarde le volume cumulé de lignes retournées par un compte/session sur une fenêtre de temps, indépendamment du fait que chaque requête individuelle semble légitime. 1 recherche = normal ; 50 000 recherches en 3 heures = anormal, même si chacune est syntaxiquement identique aux autres.
• Décorrélation du contexte métier — un DAM bien configuré sait qu'un agent du service X consulte habituellement 20-30 dossiers/jour dans le cadre de son activité. Un écart brutal (même via l'outil "légitime") déclenche une alerte comportementale (UEBA), que l'outil applicatif lui-même n'a souvent pas vocation à détecter.
• Indépendance de la couche compromise — si l'attaquant a un accès légitime applicatif (comme ici, via identifiants volés), toute alerte qui dépendrait uniquement de cette couche applicative peut être contournée ou simplement absente si elle n'a pas été pensée pour ce cas. Le DAM, placé plus bas (au niveau du moteur de base ou du proxy réseau devant la base), constitue une ligne de défense indépendante de la couche applicative compromise — c'est le principe de défense en profondeur.
• Granularité de traçabilité — même après coup, un DAM avec journalisation fine permet de reconstituer précisément quelles données ont été extraites, ce qui est justement ce qui a manqué à la DGFiP pendant plusieurs semaines : les contrôles d'accès réalisés à cette occasion n'ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l'attaque.

 

[Charles356]

Ps anecdotique sur le fait d’attacher son pc avec un câble; le jour de mon départ définitif de mon entreprise, j’ai fait le vide sur mon bureau et ai constaté que le fameux filin d'acier était solidement fixé depuis 5 ans …autour d’un pied de bureau de mon vis à vis; il suffisait donc de soulever le dit bureau pour prendre le tout, pc + câble.

En soi c'est un dispositif qui ne sert quasiment à rien. J'ai ce genre de câble sur mon lieu de travail, ça se coupe en 3 secondes. Ça peut éventuellement décourager un vol d'opportunité si on se trouve dans un lieu avec du passage de personnes extérieures. Contre un vol préparé c'est parfaitement inutile.

L'indispensable c'est le cryptage du DD et surtout de ne pas laisser son pc sans surveillance quand on se trouve à l'extérieur.

 

[Pendragon]

Je suis curieux de savoir qui gère la sécurité informatique dans ces grandes administrations impôts, sécurité sociale, bloctel etc...
Est-ce que ce sont des l'informaticien avec un statut de fonctionnaire ? Où est-ce qu'il sous-traitent à des sociétés spécialisées la stratégie de cyber sécurité ?

Et quels sont les sanctions contre les personnes qui ont failli dans la liberté de nos données ?