En juin et juillet 2026, la Direction générale des Finances publiques a subi plusieurs accès illégitimes à son système d’information. Ces derniers ont fait suite à l’usurpation des identifiants d’agents publics. Des données concernant des particuliers et des professionnels ont ainsi pu être consultées et extraites. Heureusement, les espaces personnels des usagers n’ont pas été compromis. Cependant, cette attaque remet la protection des accès sensibles au centre des préoccupations. En effet, certains comptes disposent de droits beaucoup plus importants que ceux d’un utilisateur classique. Lorsqu’ils tombent entre de mauvaises mains, les conséquences peuvent être considérables. Les entreprises sont également concernées par ce risque. Dans ces conditions, faut-il revoir la gestion des comptes à privilèges après le piratage de la DGFiP ? Découvrez dans ce guide les principaux enseignements à tirer.
Un compte compromis peut donner accès à des ressources sensibles
Les comptes à privilèges sont indispensables au fonctionnement d’un système informatique. Ils permettent généralement d’effectuer des tâches auxquelles un utilisateur ordinaire n’a pas accès. Il s’agit par exemple de :
- Modifier une configuration ;
- Gérer des utilisateurs ;
- Accéder à certaines données sensibles.
Cependant, plus un compte possède de droits, plus sa compromission représente un risque important. Un pirate qui récupère ses identifiants peut profiter directement des autorisations qui lui sont attribuées.
À cet effet, vous devez d’abord savoir quels comptes disposent de privilèges importants au sein de votre entreprise. Il ne s’agit pas uniquement des comptes utilisés par les administrateurs. Vous avez aussi certains comptes techniques, les accès de maintenance et ceux accordés aux prestataires externes.
Pour mieux encadrer ces accès sensibles, il est également possible de faire appel à un spécialiste comme Basom Consulting. Cette démarche permet notamment d’identifier les comptes à risque et de revoir les droits qui leur sont attribués. Elle permet aussi de connaître précisément les personnes qui peuvent accéder aux ressources les plus sensibles et de supprimer les droits devenus inutiles.
L’usurpation d’identifiants représente un risque à ne pas négliger
Le cas de la DGFiP montre qu’une cyberattaque ne passe pas toujours par l’exploitation d’une faille informatique complexe. La récupération d’identifiants valides peut parfois permettre à un attaquant d’accéder directement à certaines ressources.
C’est pourquoi la protection du mot de passe est particulièrement importante. Cependant, elle ne suffit pas. Même un mot de passe complexe peut être récupéré à la suite d’une campagne de phishing ou d’une fuite de données.
Pour mieux sécuriser les comptes à privilèges, vous pouvez mettre en place une authentification multifacteur. Celle-ci impose une vérification supplémentaire lors de la connexion. Ainsi, la connaissance du mot de passe ne permet pas à elle seule d’accéder au compte.
Il faut également souligner les risques liés aux comptes partagés. Lorsque plusieurs personnes utilisent les mêmes identifiants administrateurs, il devient difficile de déterminer qui a effectué une action. Il est donc préférable de privilégier des comptes individuels. Pour en savoir plus sur la cyberattaque, le cas de la DGFiP permet notamment de comprendre les risques auxquels les entreprises peuvent également être confrontées.
Les droits accordés sont parfois plus importants que nécessaire
Disposer d’un compte administrateur ne signifie pas forcément avoir besoin d’accéder à l’ensemble du système informatique. Pourtant, certaines entreprises attribuent des droits étendus qui restent actifs pendant plusieurs mois ou années.
Cette situation augmente les conséquences possibles en cas de vol d’identifiants. À cet effet, il est préférable d’appliquer le principe du moindre privilège. Il consiste à donner à chaque utilisateur uniquement les droits nécessaires pour accomplir ses missions.
Par exemple, un technicien chargé d’une application particulière n’a pas forcément besoin d’accéder aux autres serveurs de l’entreprise. De la même façon, un prestataire qui intervient pendant quelques jours ne doit pas conserver ses autorisations après la fin de sa mission.
Vous devez donc vérifier régulièrement les droits qui ont été attribués. Il s’agit de contrôler les comptes existants, leurs propriétaires et les ressources auxquelles ils donnent accès. Par ailleurs, pensez à séparer l’utilisation quotidienne des opérations d’administration. Un administrateur peut disposer d’un compte classique pour ses tâches courantes et d’un autre pour les opérations sensibles. Cette organisation réduit l’exposition permanente des comptes à privilèges.
Limiter les droits et contrôler davantage les accès
Revoir la gestion des comptes à privilèges ne signifie pas qu’il faut supprimer ces derniers. Ils sont indispensables pour administrer :
- Les équipements ;
- Les applications ;
- Les différentes ressources informatiques.
Il faut plutôt mieux encadrer leur utilisation. Tout d’abord, vous devez établir une liste précise des comptes à privilèges. Celle-ci doit indiquer leurs utilisateurs, les droits qui leur sont accordés et leur utilité. Cette étape permet d’avoir une vision claire de l’ensemble des accès sensibles présents dans l’entreprise.
Ensuite, supprimez les comptes devenus inutiles. C’est notamment le cas après le départ d’un salarié, un changement de poste ou la fin de l’intervention d’un prestataire. Un compte qui n’est plus utilisé mais qui reste actif peut représenter un risque supplémentaire.
Vous devez également limiter les privilèges accordés. À cet effet, l’ANSSI recommande notamment l’utilisation de comptes individuels et l’application du principe du moindre privilège. Enfin, il est préférable de réexaminer régulièrement les autorisations. Des droits accordés plusieurs mois ou plusieurs années auparavant ne sont pas forcément encore justifiés lorsque les fonctions d’un collaborateur évoluent.
La surveillance doit compléter la gestion des privilèges
Même avec des droits correctement attribués, le risque zéro n’existe pas. Un compte à privilèges peut toujours être compromis. Vous devez donc être capable de repérer rapidement une utilisation inhabituelle.
Pour ce faire, vous pouvez commencer par conserver une trace des connexions et des actions sensibles. Cette journalisation permet de savoir quel compte s’est connecté, à quel moment et quelles opérations ont été réalisées.
Ensuite, surveillez les comportements qui sortent de l’ordinaire. Il peut s’agir d’une connexion depuis un appareil inconnu, à une heure inhabituelle ou de nombreuses tentatives d’accès refusées. Ces événements ne correspondent pas forcément à une cyberattaque, mais ils doivent attirer l’attention.
Vous devez aussi prévoir une procédure lorsqu’une anomalie est détectée. Il peut être nécessaire de suspendre immédiatement le compte concerné, modifier ses identifiants et vérifier les actions déjà réalisées.
En résumé, le piratage de la DGFiP montre une nouvelle fois que les comptes à privilèges doivent faire l’objet d’une attention particulière. Plus leurs droits sont importants, plus les conséquences peuvent être lourdes en cas de compromission. Il est donc préférable de limiter les autorisations, d’utiliser des comptes individuels et de surveiller régulièrement les connexions. À cela s’ajoute la nécessité de supprimer rapidement les accès devenus inutiles. Ces différentes mesures permettent de réduire les risques et de mieux protéger les ressources sensibles.
Note : article publi-rédactionnel rédigé par le partenaire.
