« Quelques dizaines de fiches » confidentielles auraient été « extraites » lors d'une attaque informatique qui a touché le ministère de l'Intérieur pendant plusieurs jours, a annoncé le gouvernement mercredi 17 décembre. Un homme âgé de 22 ans a été interpellé et placé en garde à vue dans le cadre de l'enquête ouverte après le piratage des serveurs du ministère de l'Intérieur, a annoncé la procureure de Paris, Laure Beccuau, dans un communiqué.
C'est un piratage « très grave » lié à des « imprudences » : pendant plusieurs jours, le ministère de l'Intérieur a été victime d'une attaque informatique permettant à un ou plusieurs hackers de consulter des données sensibles, issues des fichiers de police. L'alerte a été donnée le 11 décembre, lorsque le ministère de l'Intérieur « a découvert l'existence d'activités suspectes visant des serveurs de messagerie ». Une enquête, menée par l'Office anticybercriminalité (Ofac), a rapidement été ouverte et le ministre a calmé le jeu dans la foulée, assurant vendredi qu'il n'y avait « pas de trace de compromission grave ».
En cause, l'imprudence de certains agents, qui auraient échangé des mots de passe en clair et par mail. Et ce sont ces messageries qui auraient connu « une intrusion malveillante », d'après Laurent Nuñez. « Vous savez, il y a 300 000 agents au ministère de l'Intérieur et, à partir de certaines boîtes professionnelles, un individu ou un groupe d'individus a pu récupérer des codes d'accès, qui sont échangés en clair, en dépit de toutes les règles de prudence que l'on diffuse pourtant très régulièrement », a expliqué mercredi le ministre. L'intrusion a permis à un ou plusieurs hackers de consulter des fichiers « extrêmement sensibles », notamment le fichier de traitement d'antécédents judiciaires et le fichier des personnes recherchées, essentiels au travail des forces de l'ordre.
Le ministre de l'Intérieur, Laurent Nuñez, a qualifié ce mercredi cette attaque informatique de « très grave », devant les députés, en annonçant des mesures de restriction immédiates pour les agents, dont la double authentification systématique. Interpellé sur l'ampleur de l'attaque lors de la séance des questions au gouvernement à l'Assemblée nationale, le ministre a reconnu la sévérité de l'intrusion malveillante, survenue la semaine dernière.
Si un groupe de pirates a revendiqué le vol de données concernant 16 millions de personnes, le ministre a affirmé qu'à ce stade, seules « quelques dizaines de fiches » ont été extraites « à date », tout en restant prudent dans l'attente de l'inventaire complet. L'étendue de l'attaque reste donc plutôt floue. Il est difficile aussi de savoir si les pirates ont pu extraire les données, éventuellement pour les revendre.
Une preuve des failles de sécurité informatique dans les administrations de l'État
Clément Domingo est un hacker éthique, connu sous le nom de Saxx. Il sensibilise à la cybersécurité. Contrairement à d'autres attaques sur lesquelles planent l'ombre de la Russie, pour lui, c'est un forum en ligne d'échange de données volées qui semble être au cœur de l'affaire. « BreachForum, c'est une plateforme, qu'il faut voir un peu comme étant le Amazon de la cybercriminalité, où vont s'échanger ou se revendre des données piratées, explique Saxx. Ce forum-là avait été fermé au mois de juin quand il y a eu une arrestation d'un groupe de cybercriminels français. Dans la revendication initiale, vous aviez en filigrane ce message qui disait que c’était en représailles de l'arrestation de ces jeunes par la France. Finalement, ça écarte l'ombre de cette fameuse ingérence étrangère où beaucoup de regards ont pu se tourner vers la Russie. Là, on est plutôt vraiment sur des jeunes, peut-être des amateurs, qui se rendent compte que la situation est en train de leur échapper. »
C'est donc peut-être un coup d'éclat d'un petit groupe de hackers, mais tout de même une preuve des failles de sécurité informatique dans les administrations de l'État. L'enquête de l'Office anti-cybercriminalité devra déterminer depuis combien de temps les hackers ont eu accès aux systèmes internes du ministère. Ce serait vraisemblablement depuis plusieurs semaines.
Pour Fabrice Epelboin, spécialiste des réseaux sociaux, le mode opératoire est difficile à déterminer pour le moment : « Il est vraisemblable qu'ils aient instrumentalisé une erreur humaine. Il est tout aussi vraisemblable qu'il y ait eu des failles de sécurité de l'installation technique qui aient également été exploitées. Ce qui est clair, c'est qu'ils ont eu accès à des échanges entre des fonctionnaires du ministère de l'Intérieur et que dans ces échanges, des imprudences se seraient commises, ce qui est un grand classique. En cybersécurité, la plus grosse faille se situe entre la chaise et le clavier. Ce sont des gens qui s'envoient des identifiants de connexion sans nécessairement réaliser l'étendue de la catastrophe si jamais cela venait à tomber dans de mauvaises mains. »
Une série de mesures de « remédiation » immédiates
« Ce que je peux vous dire, c'est qu'il n'y a pas eu extraction de millions de données. À ma connaissance, c'est faux », a tempéré Laurent Nuñez, qui assure ne pas avoir été contacté par les hackers. Face à ces « imprudences », Laurent Nuñez a annoncé une série de mesures de « remédiation » immédiates incluant la fermeture de certains comptes et l'imposition systématique de la « double authentification ». Les nouvelles procédures vont également se traduire par un « cadre de travail beaucoup plus contraint pour les agents », a prévenu le ministre, assumant les conséquences organisationnelles de la brèche de sécurité.
L'Agence nationale de la sécurité des systèmes d'information (Anssi) a été saisie pour renforcer les systèmes en profondeur, parallèlement à l'enquête judiciaire confiée à l'Office anti-cybercriminalité et à une enquête administrative interne.
Les piratages auraient ainsi pu concerner le Traitement d'antécédents judiciaires et le Fichier des personnes recherchées
Avec ces codes, les piratages auraient ainsi pu concerner le Traitement d'antécédents judiciaires (TAJ) et le Fichier des personnes recherchées (FPR) pour en extraire « quelques dizaines de fiches ». Le TAJ est un fichier utilisé par la police et la gendarmerie lors des enquêtes judiciaires, administratives et certaines enquêtes de renseignement. Il contient des informations sur les personnes mises en cause et sur les victimes. À l'heure actuelle, moins d'une centaine de fiches du TAJ ont été consultées et extraites, selon l'entourage du ministre, confirmant Le Parisien. Mais cela peut vite évoluer au fil des observations, précise l'entourage.
Le FPR, lui, sert à rechercher, surveiller ou contrôler certaines personnes à la demande des autorités judiciaires, administratives ou des services de police ou de gendarmerie. C'est là que se trouvent les fameuses fiches S, qui regroupent les personnes soupçonnées de visées terroristes ou d'atteinte à la sûreté de l'État. « On ne connait pas encore l'ampleur de la compromission, on ne sait pas ce qui a été extrait : à date, quelques dizaines de fiches ont pu être sorties du système mais on parle de millions de données », a assuré Laurent Nuñez.
C'est un piratage « très grave » lié à des « imprudences » : pendant plusieurs jours, le ministère de l'Intérieur a été victime d'une attaque informatique permettant à un ou plusieurs hackers de consulter des données sensibles, issues des fichiers de police. L'alerte a été donnée le 11 décembre, lorsque le ministère de l'Intérieur « a découvert l'existence d'activités suspectes visant des serveurs de messagerie ». Une enquête, menée par l'Office anticybercriminalité (Ofac), a rapidement été ouverte et le ministre a calmé le jeu dans la foulée, assurant vendredi qu'il n'y avait « pas de trace de compromission grave ».
En cause, l'imprudence de certains agents, qui auraient échangé des mots de passe en clair et par mail. Et ce sont ces messageries qui auraient connu « une intrusion malveillante », d'après Laurent Nuñez. « Vous savez, il y a 300 000 agents au ministère de l'Intérieur et, à partir de certaines boîtes professionnelles, un individu ou un groupe d'individus a pu récupérer des codes d'accès, qui sont échangés en clair, en dépit de toutes les règles de prudence que l'on diffuse pourtant très régulièrement », a expliqué mercredi le ministre. L'intrusion a permis à un ou plusieurs hackers de consulter des fichiers « extrêmement sensibles », notamment le fichier de traitement d'antécédents judiciaires et le fichier des personnes recherchées, essentiels au travail des forces de l'ordre.
Le ministre de l'Intérieur, Laurent Nuñez, a qualifié ce mercredi cette attaque informatique de « très grave », devant les députés, en annonçant des mesures de restriction immédiates pour les agents, dont la double authentification systématique. Interpellé sur l'ampleur de l'attaque lors de la séance des questions au gouvernement à l'Assemblée nationale, le ministre a reconnu la sévérité de l'intrusion malveillante, survenue la semaine dernière.
Si un groupe de pirates a revendiqué le vol de données concernant 16 millions de personnes, le ministre a affirmé qu'à ce stade, seules « quelques dizaines de fiches » ont été extraites « à date », tout en restant prudent dans l'attente de l'inventaire complet. L'étendue de l'attaque reste donc plutôt floue. Il est difficile aussi de savoir si les pirates ont pu extraire les données, éventuellement pour les revendre.
Une preuve des failles de sécurité informatique dans les administrations de l'État
Clément Domingo est un hacker éthique, connu sous le nom de Saxx. Il sensibilise à la cybersécurité. Contrairement à d'autres attaques sur lesquelles planent l'ombre de la Russie, pour lui, c'est un forum en ligne d'échange de données volées qui semble être au cœur de l'affaire. « BreachForum, c'est une plateforme, qu'il faut voir un peu comme étant le Amazon de la cybercriminalité, où vont s'échanger ou se revendre des données piratées, explique Saxx. Ce forum-là avait été fermé au mois de juin quand il y a eu une arrestation d'un groupe de cybercriminels français. Dans la revendication initiale, vous aviez en filigrane ce message qui disait que c’était en représailles de l'arrestation de ces jeunes par la France. Finalement, ça écarte l'ombre de cette fameuse ingérence étrangère où beaucoup de regards ont pu se tourner vers la Russie. Là, on est plutôt vraiment sur des jeunes, peut-être des amateurs, qui se rendent compte que la situation est en train de leur échapper. »
C'est donc peut-être un coup d'éclat d'un petit groupe de hackers, mais tout de même une preuve des failles de sécurité informatique dans les administrations de l'État. L'enquête de l'Office anti-cybercriminalité devra déterminer depuis combien de temps les hackers ont eu accès aux systèmes internes du ministère. Ce serait vraisemblablement depuis plusieurs semaines.
Pour Fabrice Epelboin, spécialiste des réseaux sociaux, le mode opératoire est difficile à déterminer pour le moment : « Il est vraisemblable qu'ils aient instrumentalisé une erreur humaine. Il est tout aussi vraisemblable qu'il y ait eu des failles de sécurité de l'installation technique qui aient également été exploitées. Ce qui est clair, c'est qu'ils ont eu accès à des échanges entre des fonctionnaires du ministère de l'Intérieur et que dans ces échanges, des imprudences se seraient commises, ce qui est un grand classique. En cybersécurité, la plus grosse faille se situe entre la chaise et le clavier. Ce sont des gens qui s'envoient des identifiants de connexion sans nécessairement réaliser l'étendue de la catastrophe si jamais cela venait à tomber dans de mauvaises mains. »
Une série de mesures de « remédiation » immédiates
« Ce que je peux vous dire, c'est qu'il n'y a pas eu extraction de millions de données. À ma connaissance, c'est faux », a tempéré Laurent Nuñez, qui assure ne pas avoir été contacté par les hackers. Face à ces « imprudences », Laurent Nuñez a annoncé une série de mesures de « remédiation » immédiates incluant la fermeture de certains comptes et l'imposition systématique de la « double authentification ». Les nouvelles procédures vont également se traduire par un « cadre de travail beaucoup plus contraint pour les agents », a prévenu le ministre, assumant les conséquences organisationnelles de la brèche de sécurité.
L'Agence nationale de la sécurité des systèmes d'information (Anssi) a été saisie pour renforcer les systèmes en profondeur, parallèlement à l'enquête judiciaire confiée à l'Office anti-cybercriminalité et à une enquête administrative interne.
Les piratages auraient ainsi pu concerner le Traitement d'antécédents judiciaires et le Fichier des personnes recherchées
Avec ces codes, les piratages auraient ainsi pu concerner le Traitement d'antécédents judiciaires (TAJ) et le Fichier des personnes recherchées (FPR) pour en extraire « quelques dizaines de fiches ». Le TAJ est un fichier utilisé par la police et la gendarmerie lors des enquêtes judiciaires, administratives et certaines enquêtes de renseignement. Il contient des informations sur les personnes mises en cause et sur les victimes. À l'heure actuelle, moins d'une centaine de fiches du TAJ ont été consultées et extraites, selon l'entourage du ministre, confirmant Le Parisien. Mais cela peut vite évoluer au fil des observations, précise l'entourage.
Le FPR, lui, sert à rechercher, surveiller ou contrôler certaines personnes à la demande des autorités judiciaires, administratives ou des services de police ou de gendarmerie. C'est là que se trouvent les fameuses fiches S, qui regroupent les personnes soupçonnées de visées terroristes ou d'atteinte à la sûreté de l'État. « On ne connait pas encore l'ampleur de la compromission, on ne sait pas ce qui a été extrait : à date, quelques dizaines de fiches ont pu être sorties du système mais on parle de millions de données », a assuré Laurent Nuñez.
