Les récentes cyberattaques liées à la DGFiP et à l’Éducation nationale exposent un autre risque que la seule fuite de données. Leur réutilisation peut faciliter des fraudes automatisées et des prises de contrôle de comptes.
Les attaques qui touchent de grandes administrations françaises laissent derrière elles des bases de données dont la valeur ne disparaît pas avec la fin de l’incident. Informations fiscales, données scolaires ou liens familiaux peuvent resurgir plusieurs semaines ou plusieurs mois plus tard dans des campagnes frauduleuses. L’automatisation de ces opérations renforce encore la portée potentielle des fichiers dérobés.
Les données scolaires ajoutent une dimension familiale au risque
Après l’alerte adressée à des contribuables français au sujet d’un vol et d’une mise en vente présumée de données issues de la DGFiP, l’Éducation nationale fait face à son tour à une fuite de grande ampleur. Environ 1,22 million d’élèves seraient concernés.
Les informations compromises incluraient notamment des données relatives aux parents ou aux responsables légaux. Cette dimension intéresse particulièrement les fraudeurs. Elle établit des liens directs entre plusieurs personnes et peut fournir suffisamment d’éléments pour donner davantage de crédibilité à une tentative d’usurpation ou de prise de contrôle.
Jerome Segura, vice-président de la recherche contre les cybermenaces chez DataDome et ancien de Malwarebytes, souligne ce point. Selon lui, les relations entre élèves et responsables légaux apportent « du contexte » aux cybercriminels, mais créent aussi plusieurs portes d’entrée vers différentes identités et différents services.
Une fuite peut servir à contourner certaines vérifications
Une donnée isolée présente un intérêt limité. Plusieurs informations recoupées peuvent en revanche aider à franchir certaines étapes de vérification, à demander la réinitialisation d’un accès ou à rendre une tentative frauduleuse plus cohérente.
Des données fiscales, scolaires et familiales peuvent ainsi être assemblées pour construire un profil suffisamment crédible face à certains mécanismes de contrôle. L’enjeu ne concerne donc plus seulement la confidentialité des fichiers dérobés. Il porte aussi sur leur exploitation après l’attaque.
Jerome Segura insiste surtout sur « le passage de la donnée volée à l’action automatisée ». Une base compromise peut servir à tester de nombreux services afin de repérer des comptes toujours actifs, des identifiants réutilisés ou des parcours susceptibles d’être détournés.
L’automatisation prolonge les effets d’une cyberattaque
Cette exploitation à grande échelle change la durée du risque. Une fuite ne produit pas nécessairement toutes ses conséquences au moment de sa découverte. Les données peuvent circuler, être recoupées avec d’autres fichiers et servir à plusieurs campagnes successives.
L’intelligence artificielle ajoute une capacité supplémentaire à cette industrialisation. Elle facilite la production de tentatives plus cohérentes à partir d’informations déjà structurées et exploitables.
Pour Jerome Segura, la vigilance devra donc se prolonger dans les mois qui suivent une compromission. Les données issues d’une attaque peuvent continuer à alimenter des essais de fraude et des prises de contrôle de comptes longtemps après l’incident initial.
Article basé sur un communiqué de presse reçu par la rédaction.
