L’Agence nationale de la sécurité des systèmes d'information (ANSSI), l’agence française chargée de la sécurité des systèmes d’information, a publié un rapport d’expérience mettant en lumière les faiblesses qui ont contribué à un incident de scraping de données impliquant la Direction générale des finances publiques (DGFIP). Le rapport identifie une série de vulnérabilités, allant de l’exposition d’applications métiers au traitement des comptes compromis. Bien que l’incident ait concerné des comptes compromis, l’ANSSI souligne qu’il ne peut être réduit à une cause unique. Au contraire, le document présente une série de pistes d’amélioration, notamment en matière de contrôle des applications, d’authentification, de droits d’accès, de détection et de réponse aux incidents. L’agence estime qu’un audit complet des systèmes informatiques est nécessaire pour identifier l’ensemble des vulnérabilités exploitables. Les mesures proposées ne constituent pas une liste exhaustive des faiblesses avérées, mais plutôt un cadre visant à renforcer la posture globale de sécurité. Le premier point de préoccupation concerne l’exposition des applications métiers. L’ANSSI distingue les applications internes, qui ne devraient être accessibles que depuis les postes de travail de la DGFIP ou via un réseau privé virtuel (VPN) sécurisé, et celles à usage externe limité, qui doivent également être restreintes aux réseaux internes ou à des adresses IP spécifiques. Pour les applications accessibles au public, l’agence recommande des mesures comme la géofiltration et le filtrage des adresses IP suspectes. Ces étapes sont essentielles pour réduire le risque d’accès non autorisé et d’extraction de données. Le deuxième point porte sur les mécanismes d’authentification. L’ANSSI insiste sur l’importance de prévenir le vol d’identifiants utilisateurs et recommande des mesures telles que l’interdiction des appareils personnels pour accéder aux ressources professionnelles et l’application de l’authentification multifacteur (MFA). Cependant, l’agence met en garde : toutes les méthodes de MFA ne se valent pas en matière de sécurité. Par exemple, les codes à usage unique envoyés par e-mail peuvent ne pas être suffisants si le compte de messagerie est également compromis. L’agence privilégie donc les jetons physiques ou les applications d’authentification pour le second facteur de la MFA. Elle recommande également de renforcer les mots de passe et de séparer l’usage personnel et professionnel afin d’éviter que les appareils personnels ne deviennent des portes d’entrée pour les attaquants. Le troisième domaine de préoccupation concerne les droits d’accès et les périmètres de consultation. L’ANSSI souligne la nécessité d’un contrôle granulaire sur ce que les utilisateurs peuvent consulter au sein d’une application. Elle rappelle qu’un utilisateur peut être autorisé à utiliser une application sans pour autant pouvoir accéder à une quantité illimitée de données. Cette distinction est cruciale pour prévenir le scraping de données, où un attaquant disposant de identifiants valides peut générer de nombreuses requêtes semblant légitimes individuellement, mais permettant collectivement l’extraction de grandes quantités de données. Limiter les droits d’accès protège non seulement la confidentialité, mais réduit aussi l’impact en cas de compromission d’un compte. La quatrième faiblesse concerne les mécanismes de limitation des activités de scraping. L’ANSSI recommande la mise en place de quotas d’accès aux données, incluant des limites sur le nombre de requêtes et le volume de données échangées sur une période donnée. Ces mesures aident à distinguer l’activité normale d’un utilisateur d’un scraping automatisé. L’agence suggère également de créer plusieurs couches de restrictions plutôt que de se fier uniquement à l’authentification. Ces étapes sont particulièrement importantes dans les scénarios où un compte a déjà été compromis, car elles peuvent empêcher un attaquant d’exploiter l’application indéfiniment. Les deux derniers points portent sur la détection et la réponse. L’ANSSI recommande d’intégrer les applications à un système de gestion des informations et des événements de sécurité (SIEM) pour surveiller les activités suspectes. Elle propose également de bloquer automatiquement les comptes après la détection de comportements inhabituels, ce qui peut réduire considérablement la fenêtre d’opportunité pour les attaquants. Enfin, l’agence souligne la nécessité d’une analyse approfondie des comptes compromis, incluant la révocation des sessions actives et l’enquête sur les causes profondes des compromissions répétées. Selon l’ANSSI, un plan d’action a été élaboré avec la DGFIP, bien que le calendrier de mise en œuvre reste incertain.