The ANSSI’s incident report on the theft of French tax data confirms that the breach was not the result of a highly sophisticated attack, but of a chain of classic weaknesses that the attacker, ZeroBytes, was able to exploit. In total, around 678,000 tax records were compromised, including nearly 393,000 individuals and 286,000 businesses.

The agency structures its findings around three main failure points: identity, architecture and detection. The initial entry point was the theft of several dozen legitimate employee credentials. ANSSI says it observed no brute-force attack or credential stuffing, indicating the attacker already had the passwords. The most likely source was infostealer malware installed on devices not managed by the DGFiP, including personal devices used to access the ADER portal and third-party equipment used for APEX.

On identity, ANSSI says those stolen credentials could be reused because two portals lacked effective multifactor authentication, or used a second factor that was too weak. On architecture, sensitive applications were reachable from the Réseau Interministériel de l’État (RIE) without sufficient segmentation, allowing the attacker to pivot from compromised Ministry of Education infrastructure. On detection, the portal used for exfiltration was not monitored and no system correlated the warning signs, so neither the DGFiP nor ANSSI detected the data theft.

The report also criticizes the DGFiP’s standard response. Its SOC resets passwords when a compromise is reported, including via its threat-intelligence provider, but the delay between compromise and reset was enough for the attacker to access applications and begin exfiltration. Monitoring cannot cover every resale platform, and password changes are ineffective if the infected device is not cleaned — something the DGFiP cannot guarantee on personal or external hardware. ANSSI cites a concrete example: on June 23 and 24, the password for the account used was reset and access to PIGP was checked, yet the exfiltration via the RIE went unnoticed because the active session was not terminated.

The network issue was equally serious. The attacker entered the RIE through compromised Ministry of Education systems connected to it, then reached DGFiP’s ADER portal from RIE addresses. ANSSI concludes that DGFiP applications were too openly exposed on the interministerial network, making lateral movement from third-party organizations too easy. It also notes that on June 9 the Education Ministry’s security team had already shared technical indicators of compromise with other ministries, and says the analysis and dissemination of those indicators should have been faster. Blocking traffic at the RIE level could have limited exfiltration, provided legitimate flows had been better mapped.

Detection failed because the SOC was not supervising ADER, even though it was used to extract the data. ANSSI lists several suspicious signals that were not correlated: large data volumes, including 11 GB between June 22 and 25 and 3 GB between July 21 and 23; a high number of requests consistent with automated scraping and no rate limiting; connections via VPNs, from India and from IPs flagged as malicious; and nighttime activity. Each signal alone can generate false positives, but together they should have triggered alerts. ANSSI acknowledges its own limits as well: it lacked application-level monitoring on this perimeter and network monitoring could not identify legitimate accounts being misused, though the overall request volume should still have raised alarms.

The report also points to overly broad access rights. It did not examine how user privileges are assigned, but notes that the exfiltration sessions were carried out from ordinary accounts, showing that standard users could reach large volumes of data. A second-phase audit of DGFiP’s organization is expected to look into that issue.

To prevent a repeat, ANSSI recommends tighter access controls based on actual use — internal, limited external or public — and full supervision of applications in a SIEM, with consultation quotas and blocking based on geolocation and IP reputation. Personal devices should be banned from professional access, and corporate devices hardened. Multifactor authentication should be deployed across all applications, using a second factor resistant to compromise such as a physical token or authenticator app rather than email codes. The agency also calls for finer-grained user rights, consultation caps, and, after any password reset, a review of account activity since the suspected compromise date plus revocation of all active sessions across every accessible portal.

Que fallait-il attendre du rapport d’incident de l’ANSSI sur le vol de données fiscales qui a attérré les français en plein coeur de l’été ? Pas vraiment de révélations sur le mode opératoire mais plutôt des explications sur la nature des lacunes qui ont permis au hacker ZeroBytes de mettre la main sur environ 678 000 jeux de données fiscales, dont près de 393 000 particuliers et 286 000 professionnels.

Commençons par la fin : « l’ANSSI conclut que la compromission n’est pas le fruit d’une attaque sophistiquée, mais de faiblesses classiques que les attaquants ont enchaînées.» Dont acte.

Son analyse s’organise autour de trois domaines : l’identité, l’architecture et la détection.

Cause n° 1 : des identifiants faciles à voler et à réutiliser

Le point de départ est le vol de plusieurs dizaines d’identifiants d’agents légitimes. L’ANSSI note qu’aucune attaque par force brute ni par « credential stuffing » n’a été observée : l’attaquant disposait donc déjà des mots de passe.

Le rapport les attribue probablement à des logiciels espions de type infostealers, installés sur des ordinateurs non administrés par la DGFiP. Il s’agit, selon l’Agence, d’appareils personnels pour les accès au portail ADER et d’équipements d’organismes tiers pour le portail APEX.

Elle explique que l’attaquant a exploité des faiblesses dans trois domaines.

Côté identité, plusieurs dizaines d’identifiants d’agents, probablement dérobés par des logiciels espions sur des ordinateurs non administrés par la DGFiP, ont pu être réutilisés faute d’authentification multifacteur sur deux portails, ou avec un second facteur insuffisant.

Côté architecture, des applications sensibles étaient accessibles depuis le Réseau Interministériel de l’État sans cloisonnement suffisant, ce qui a permis à l’attaquant de rebondir depuis des infrastructures compromises du ministère de l’Éducation nationale.

Enfin pour la détection, le portail utilisé pour exfiltrer les données n’était pas supervisé et aucun mécanisme n’a corrélé les signaux suspects. Résultat : aucune des exfiltrations n’a été détectée, ni par la DGFiP ni par l’ANSSI.

L’ANSSI juge aussi limitée la réponse habituelle de la DGFiP.

Son SOC réinitialise les mots de passe dès qu’une compromission est signalée, notamment par son prestataire de veille. Mais un délai subsiste entre la compromission et la réinitialisation, suffisant pour accéder à une application et commencer à exfiltrer. La veille ne peut pas non plus couvrir toutes les plateformes de revente. Enfin, changer un mot de passe est inefficace si l’appareil infecté n’est pas nettoyé, ce que la DGFiP ne peut garantir sur du matériel personnel ou externe.

Le rapport relève un épisode illustratif. Les 23 et 24 juin, le mot de passe du compte utilisé a bien été réinitialisé et les accès au PIGP contrôlés, mais l’exfiltration menée via le RIE est passée inaperçue. La réinitialisation n’a pas interrompu la session en cours.

Cause n° 2 : un cloisonnement réseau insuffisant

L’attaquant est entré sur le Réseau Interministériel de l’État (RIE) grâce à la compromission d’infrastructures du ministère de l’Éducation nationale, elles-mêmes raccordées au RIE. Il a ensuite atteint le portail ADER de la DGFiP depuis des adresses de ce réseau.

Pour l’ANSSI, des applications sensibles de la DGFiP étaient accessibles depuis le RIE sans cloisonnement suffisant, ce qui accroît leur exposition et ouvre un risque de latéralisation depuis des ressources d’organismes tiers. Plusieurs accès illégitimes provenaient de localisations sans besoin apparent d’accéder aux infrastructures de la DGFiP. Sa conclusion : la segmentation réseau était trop permissive.

La coordination interministérielle est aussi évoquée. Le 9 juin, le centre de sécurité de l’Éducation nationale avait partagé des marqueurs techniques d’attaque avec les autres ministères. L’ANSSI estime que le délai d’analyse et de partage de ces marqueurs aurait dû être réduit au minimum, et que des blocages de flux au niveau du RIE auraient pu limiter les exfiltrations, à condition de mieux cartographier les flux légitimes.

Cause n° 3 : une détection défaillante

Pendant l’incident, le SOC de la DGFiP ne supervisait pas le portail ADER, pourtant utilisé pour exfiltrer les données. Aucun mécanisme n’a corrélé les signaux suspects, que l’ANSSI énumère:

des volumes de données importants (11 Go entre le 22 et le 25 juin, 3 Go entre le 21 et le 23 juillet) ;

un grand nombre de requêtes, inhérent au scraping automatisé, sans limitation de débit ;

des connexions depuis des VPN, depuis l’Inde et depuis des adresses IP classées malveillantes ;

des connexions nocturnes.

Chaque signal, pris isolément, génère beaucoup de faux positifs. Mais leur corrélation aurait pu déclencher des alertes, selon l’Agence.

L’ANSSI reconnaît aussi ses propres limites. Elle n’avait pas de supervision applicative sur ce périmètre, et sa supervision réseau ne pouvait pas repérer des comptes légitimes utilisés à mauvais escient. Elle estime néanmoins que le volume cumulé de requêtes aurait dû déclencher des alertes.

Un facteur aggravant : des droits d’accès larges

Le rapport n’a pas étudié la manière dont les droits des utilisateurs sont attribués. Il constate toutefois que les sessions d’exfiltration ont été menées depuis des comptes ordinaires, ce qui montre que ceux-ci pouvaient accéder à un volume important de données.

L’ANSSI indique que ce point pourrait être examiné plus tard, dans le cadre d’un audit de l’organisation de la DGFiP prévu dans une seconde phase.

Les remèdes préconisés

Comment éviter qu’un tel fiasco se reproduise ? Dans son rôle de RSSI de l’Etat, l’ANSSI préconise d’abord de restreindre l’accès aux applications métiers selon leur usage, qu’il soit interne, externe limité ou public.

Elle demande que toutes les applications soient placées sous supervision dans un SIEM, avec des quotas de consultation et des blocages fondés sur la géolocalisation et la réputation des adresses IP.

Côté équipements, l’usage d’appareils personnels pour accéder aux ressources professionnelles doit être proscrit, et les appareils professionnels doivent être durcis.

L’authentification multifacteur doit être déployée sur l’ensemble des applicatifs, avec un second facteur capable de résister à la compromission du premier : jetons physiques ou applications d’authentification plutôt qu’un simple code envoyé par e-mail.

L’Agence recommande aussi une gestion plus fine des droits des utilisateurs, assortie de plafonds de consultation pour limiter l’impact d’un accès illégitime.

Enfin, chaque réinitialisation de mot de passe devrait s’accompagner d’une analyse de l’activité du compte depuis la date supposée de compromission, ainsi que de la révocation des sessions actives sur tous les portails accessibles.

The post Vol de données fiscales : l’ANSSI confirme les mauvaises pratiques cyber de Bercy appeared first on Silicon.fr.