On parle beaucoup du Brainrot mais nous à l’époque on regardait ça 😬

Résumé IA du rapport de l’ANSSI sur le piratage DGFIP si vous manquez de temps : - Le point central est assez frappant : la compromission de la DGFiP ne repose pas sur une cyberattaque particulièrement sophistiquée. Elle résulte surtout d’une accumulation de faiblesses assez classiques qui, mises bout à bout, ont permis à l’attaquant d’entrer, de se déplacer et surtout d’exfiltrer beaucoup de données sans être détecté. - Ce qui s’est passé L’acteur appelé Zerobytes revendique le 12 août 2026 le vol de données provenant d’impots.gouv.fr. Le lendemain, il publie des informations concernant environ 353 000 particuliers et 252 000 professionnels issues d’un outil de relation avec les usagers de la DGFiP. Problème : l’exfiltration avait en réalité eu lieu sept semaines auparavant, après plusieurs semaines d’exploration du SI. L’attaquant disposait de plusieurs dizaines de couples identifiant/mot de passe légitimes appartenant à des agents. L’ANSSI estime qu’ils ont probablement été récupérés par des infostealers installés sur des ordinateurs non administrés par la DGFiP, notamment des appareils personnels. Il ne s’agit donc pas d’une attaque par brute force : l’attaquant possédait réellement les mots de passe. Deuxième porte d’entrée : le SI du ministère de l’Éducation nationale avait lui-même été compromis. L’attaquant a pu utiliser cette position pour accéder au Réseau interministériel de l’État, le RIE, puis atteindre des applications de la DGFiP insuffisamment cloisonnées. Enfin, une autre exfiltration concernant les données cadastrales est passée par le poste compromis d’un géomètre-expert travaillant dans un cabinet privé. L’attaquant a ainsi pu contourner le MFA utilisé par le portail APEX, parce que le second facteur était simplement un code OTP envoyé par email. - Là où le rapport est particulièrement sévère Les signaux étaient nombreux mais n’ont pas été reliés entre eux. L’attaquant a notamment généré 11 Go de trafic entre le 22 et le 25 juin, puis 3 Go entre le 21 et le 23 juillet, sans déclencher d’alerte. Il effectuait suffisamment de requêtes pour réaliser du scraping massif, utilisait des VPN, certaines connexions venaient d’Inde et plusieurs adresses IP étaient déjà catégorisées comme malveillantes. Pourtant, aucune corrélation n’a permis d’identifier l’exfiltration. Encore plus révélateur : certaines activités suspectes étaient effectivement détectées et certains mots de passe réinitialisés. Mais la surveillance portait essentiellement sur certains portails. Le portail ADER, utilisé ensuite par l’attaquant pour pivoter et exfiltrer les données via le RIE, n’était pas supervisé par le SOC de la DGFiP. Le 7 juin, par exemple, une activité anormale déclenche une alerte et le mot de passe est changé, mais le pivot vers ADER passe inaperçu. L’ANSSI reconnaît également que ses propres dispositifs de supervision n’ont pas détecté l’attaque, notamment parce qu’elle ne disposait pas de supervision applicative sur le périmètre et que l’attaquant utilisait des comptes parfaitement légitimes. Elle considère néanmoins que le volume de requêtes aurait dû provoquer des alertes. - Les trois faiblesses fondamentales On peut quasiment résumer les 20 pages en trois mots : Identité. Des identifiants professionnels pouvaient être utilisés depuis des équipements personnels ou externes, certains portails ne disposaient pas de MFA solide, et le MFA par email pouvait lui-même être compromis. Architecture. Le RIE était traité comme une zone suffisamment fiable pour donner accès à certaines ressources sensibles, alors qu’un ministère compromis pouvait devenir un point de rebond vers un autre. L’ANSSI estime explicitement la segmentation réseau trop permissive. Détection. La supervision était incomplète et essentiellement technique, sans suffisamment de détection comportementale : volumes anormaux, requêtes massives, horaires, réputation des IP, géolocalisation et utilisation inhabituelle d’un compte.

Data centers, IA et consommation d’eau : mise en perspective par @Numerama Un avis @pbeyssac ?