« On peut changer un mot de passe, mais on ne peut pas remplacer son identité ni effacer les données qui la relient à son patrimoine. C’est ce qui rend l’attaque contre la DGFiP particulièrement sensible. Le pirate affirme avoir contourné le MFA (authentification multifacteur), puis conservé pendant une période prolongée un accès authentifié au service cadastral. Cela reste, à ce stade, sa version des faits. Si elle est exacte, il aurait pu extraire progressivement des données tout en apparaissant, aux yeux du système, comme un utilisateur légitime.
Couper cet accès était la bonne première mesure. Dans le cadre de l’enquête, il faut maintenant révoquer toutes les sessions et tous les jetons d’authentification encore actifs, examiner précisément ce que le compte a consulté et vérifier si l’attaquant a modifié des droits, créé de nouveaux comptes ou laissé une autre porte d’entrée dans le système. Réinitialiser le mot de passe ne suffira peut-être pas.
Selon l’attaquant, l’extraction partielle pourrait concerner deux millions de personnes. Si les données décrites ont bien été extraites, les conséquences peuvent être graves et durables. Il ne s’agit pas seulement de noms et d’adresses : les dates et lieux de naissance, les identifiants fonciers et les liens avec des biens précis permettent de reconstituer un profil très détaillé de chaque personne. Pour un fraudeur, ces données constituent une base presque prête à l’emploi pour usurper une identité, fabriquer un faux avis d’imposition ou préparer un email ou un appel suffisamment crédible pour tromper même une personne vigilante.
Le MFA reste indispensable, mais il ne peut pas être la dernière ligne de défense. Les organisations doivent aussi surveiller ce qui se passe après la connexion. Dans ce type d’attaque, le danger ne vient pas d’un compte inconnu, mais d’un compte parfaitement légitime tombé entre de mauvaises mains. »
