Piratage du ministère de l’Intérieur : les fichiers TAJ et FPR ont bien été consultés

Un ou des pirates ont revendiqué l’attaque contre le ministère de l’Intérieur. Une personne, se faisant appeler « Indra », a relancé brièvement BreachForums, qui avait disparu suite à plusieurs arrestations, aussi bien aux États-Unis qu’en France. Le message revendiquait l’attaque, précisait qu’il s’agissait d’une vengeance pour l’arrestation de ses « amis » et que la fuite était bien plus grave que ce que l’on pensait. Les pirates affirmaient ainsi posséder des informations sur plus de 16 millions de personnes, dont quantité d’informations provenant des fichiers TAJ (Traitement d’antécédents judiciaires) et FPR (Fichier des personnes recherchées).

• Le ministère de l’Intérieur piraté, un groupe revendique l’exfiltration du TAJ et du FPR

Officiellement, le ministère de l’Intérieur, Laurent Nunez, a confirmé dans un premier temps qu’une attaque avait bien eu lieu contre des services de messagerie. Les mesures de sécurité avaient en conséquence été relevées et des rappels d’hygiène numérique faits aux forces de l’ordre. La fuite est cependant plus grave qu’initialement reconnu.

« Quelques dizaines de fiches »

Ce matin, Laurent Nunez a donné de nouvelles informations à Franceinfo, lors de l’émission de 8h30. « On a fait l'objet d'une intrusion malveillante il y a quelques jours ». Il a confirmé que des accès ont été obtenus à partir de « certaines boites professionnelles ». De là, « l’individu ou le groupe d’individus […] a pu consulter un certain nombre de fichiers importants pour nous, notamment le traitement des antécédents judiciaires, et procéder à un certain nombre d'extractions ».

Le ministre évoque « quelques dizaines d'extractions », mais pas les « millions de données » revendiquées dans le message sur BreachForums. Cependant, Laurent Nunez indique en même temps que l’on « ne connait pas l’ampleur des compromissions », faisant relativiser le nombre d’extractions donné.

De plus, le ministère ne peut « absolument pas dire si cela va compromettre des enquêtes », mais affirme que l’incident « ne met pas en danger la vie de nos compatriotes ». Autre affirmation : aucune demande de rançon n’aurait été reçue. Ce qui irait d’ailleurs dans le sens du message des pirates, qui indiquaient attendre que la France les contacte.

Laurent Nunez reconnait que « des imprudences » ont été commises et le scénario d’attaque laisse effectivement penser que de l’ingénierie sociale a été utilisée pour piéger une ou plusieurs personnes. Les accès récupérés (sous forme de mots de passe en clair dans des échanges e-mails) auraient alors servi à accéder aux applications métiers et bases de données, dont le TAJ et le FPR. « On a saisi la CNIL aussi, la Commission nationale de l'informatique et des libertés, comme la loi nous l'impose. Et puis il y a eu une enquête administrative que j'ai demandée, sur laquelle on travaille », a ajouté le ministre.

L’ampleur de la fuite reste à déterminer

La grande question est désormais de savoir quelle crédibilité accorder aux affirmations du ou des pirates. Si la menace est avérée, alors une grande partie du TAJ et du FPR serait dans la nature, avec des conséquences potentiellement catastrophiques pour la France.

La situation n’est cependant pas claire. Le message du ou des pirates a été publié initialement le 13 décembre. Un ultimatum était donné à la France, qui a jusqu’au 20 décembre pour contacter le groupe à une adresse tutanota indiquée dans l’avertissement. Indra insistait en outre sur l’aspect vengeance de l’attaque, pour l’arrestation des membres du groupe ShinyHunters.

Cependant, si l’on en croit SaxX, les ShinyHunters (avec qui il assure être en contact) se seraient « désolidarisés » de ce Indra ayant attaqué le ministère de l’Intérieur, dont on ne sait rien de plus à l’heure actuelle. Il pourrait s’agir, comme le suppose SaxX, d’une menace étatique étrangère ayant pris l’apparence d’un groupe cybercriminel « classique ».

Trop peu de preuves à ce stade

La situation est d'autant plus floue que les experts ne sont pas d’accord sur l’ampleur de la menace. Pour Baptiste Robert par exemple, le ou les pirates n’ont pas exfiltré l’intégralité du TAJ et du FPR. Preuve en serait l'usage de termes trop génériques employés dans ce contexte.

Le chercheur en sécurité soulignait également hier soir que les pirates avaient publié sur leur chaine Telegram une capture montrant le portail de connexion CHEOPS avec l’adresse de la chaine en identifiant et les mots « WE ARE STILL HERE » (« Nous sommes toujours là ») dans le mot de passe. Selon lui, cette capture ne prouve rien, car l’utilisateur n’est pas authentifié. « Si c’est un moyen d’essayer de faire pression en vue d’une éventuelle négociation, c’est particulièrement mal fait », a indiqué Baptiste Robert.

Il y aurait ainsi bien compromission, récupération d’accès et consultation des données, mais aucune preuve d’une extraction conséquente des données.