Il y a des histoires de piratage qui commencent par l’exploitation d’une faille complexe, nécessitant des compétences techniques pointues. Et puis il y a celle du ministère de l’Intérieur : comme le révèle une enquête du journal Le Monde, tout aurait commencé avec l’ordinateur personnel d’un fonctionnaire du ministère de l’Agriculture, un logiciel d’édition musicale et un malware. De là à arriver aux fichiers de la police nationale, il y a normalement un gouffre. Normalement.

Tout commence le 19 septembre 2025. Un fonctionnaire du ministère de l’Agriculture travaillant en Bourgogne consulte depuis chez lui sa messagerie professionnelle. Il suit alors un lien vers un faux site proposant des logiciels d’édition musicale. Mauvaise pioche : son ordinateur personnel se retrouve infecté par Rhadamanthys, un « infostealer », autrement dit un logiciel malveillant dont la spécialité consiste précisément à aspirer les informations intéressantes présentes sur la machine : données de navigation, identifiants, sessions et autres informations d’authentification.

Déjà se pose le premier souci : le fonctionnaire a des privilèges assez élevés sur l’infrastructure du ministère, et le bon sens voudrait qu’il ne consulte pas sa boîte professionnelle à partir d’un ordinateur personnel, surtout si celui-ci lui sert à télécharger des logiciels « douteux ». Mais bon.

Parmi les données récupérées se trouvent les identifiants professionnels du fonctionnaire. Mais les pirates ne s’arrêtent pas là : ils accèdent également à son Google Drive personnel, dans lequel l’agent avait stocké son certificat d’authentification permettant de se connecter au VPN du ministère de l’Agriculture. Une clé professionnelle stockée sur un service cloud personnel, lui-même accessible depuis un ordinateur personnel compromis : une clé aussi importante sur un compte Google Drive, sérieusement ? Deuxième faute.

Une fois dans le réseau du ministère, les pirates prennent possession du compte de l’agent, qui dispose de droits importants du fait de ses fonctions liées à l’informatique et aux statistiques agricoles. Et personne ne semble les déranger : ils peuvent se promener pendant plusieurs semaines dans le système d’information de l’Agriculture. Là, la faute change de camp : comment une intrusion informatique dans les serveurs d’un ministère peut rester non détectée pendant plusieurs semaines ? Troisième faute.

De l’Agriculture à la police : cloisonnement ? C’est quoi ça ?

Le 9 novembre, les intrus découvrent une passerelle reliant le réseau du ministère de l’Agriculture à celui de l’Intérieur. Non, le fonctionnaire initial n’avait donc pas un compte donnant directement accès aux systèmes de Beauvau. Mais la compromission d’un ministère permet néanmoins de trouver un chemin vers un autre. Cloisonnement efficace ? Non. Quatrième faute, et magnifique celle-là.

Les pirates disposent alors de presque un mois (oui, un mois !) pour découvrir l’architecture du réseau de l’Intérieur et, notamment, les serveurs de la Direction générale de la police nationale. Une faille dans un outil interne accessible depuis un navigateur leur permet ensuite de prendre le contrôle de comptes de gestionnaires de messagerie de plusieurs directions de la police. Ces comptes disposent notamment de la possibilité de réinitialiser les mots de passe d’autres agents. Et hop, cinquième faute. Ça commence à faire beaucoup ? Ne vous inquiétez pas, c’est loin d’être fini.

Une fois dans les messageries de policiers, les pirates recherchent des certificats permettant de se connecter au VPN du ministère de l’Intérieur. Et ils en trouvent, tranquillement stockés en pièces jointes d’e-mails. Mieux encore : les mots de passe associés se trouvent dans le corps des messages correspondants. Certificat et mot de passe au même endroit, donc. Pratique pour l’utilisateur… et pour le pirate : l’équivalent du post-it sur le moniteur, version 2.0. Sixième faute…

Grâce à ces éléments, les attaquants finissent par accéder à Cheops, le portail utilisé par policiers et gendarmes, sans même avoir besoin de carte professionnelle sécurisée. Ils peuvent alors consulter le fichier des personnes recherchées (FPR), mais également le traitement des antécédents judiciaires (TAJ). Selon les chiffres communiqués par le ministre de l’Intérieur, 23 fiches et 3 000 éléments de sommaires du FPR ont été dérobés, ainsi que 72 fiches et plusieurs dizaines de milliers de sommaires issus du TAJ. Une fiche Interpol a également été récupérée. Plus embarrassant encore, les pirates ont pu consulter plusieurs procédures judiciaires en cours. Pas de 2FA sur Cheops, accès facile : septième faute. Le compte est bon.

Quand toutes les barrières tombent les unes après les autres

Laurent Nuñez avait évoqué au moment de la découverte du piratage un « manque d’hygiène numérique » de certains agents. Difficile de lui donner entièrement tort : stocker un certificat VPN professionnel dans un Google Drive personnel ou envoyer un certificat par e-mail avec son mot de passe dans le message ne devrait probablement figurer dans aucun manuel de bonnes pratiques. Même tatie Danielle, on essaie de lui donner de meilleures protections pour les photos de ses chats.

Mais réduire l’affaire à quelques fonctionnaires imprudents serait passer à côté de l’essentiel. Un utilisateur finira toujours par cliquer au mauvais endroit. C’est précisément pour cette raison que les systèmes sensibles disposent normalement de plusieurs couches de protection indépendantes. « Normalement ».

Ici, l’ordinateur à l’origine de l’intrusion était un appareil personnel. Qui dit BYOD dit potentiellement absence de maîtrise complète du parc : impossible pour l’administration de garantir de la même manière les mises à jour, la présence et la configuration des outils de sécurité, les logiciels installés ou encore les droits accordés à l’utilisateur. Le BYOD peut être sécurisé à l’aide d’outils de gestion et de politiques strictes, mais laisser des données d’authentification sensibles sur un terminal personnel en réduit sérieusement l’intérêt. L’accès aux serveurs d’un ministère, même la simple boîte mail, ne devrait pas pouvoir se faire à partir d’un appareil personnel, quel que soit le grade du fonctionnaire.

Vient ensuite le cloisonnement : la compromission du ministère de l’Agriculture n’aurait pas dû faciliter à ce point un rebond vers celui de l’Intérieur. Une interconnexion entre administrations peut parfaitement avoir une justification professionnelle, mais elle ne devrait en aucun cas permettre une escalade de privilèges menant aux clés du coffre contenant les données les plus précieuses.

Enfin vient l’authentification : des certificats VPN accompagnés de leurs mots de passe ont suffi à poursuivre l’intrusion jusqu’à des systèmes contenant certaines des données les plus sensibles détenues par l’État. Le 2FA ? Connaît pas ? Apparemment non : il a fallu que la catastrophe arrive pour qu’enfin quelqu’un ait l’ingénieuse idée de l’imposer pour accéder à un portail qui donne sur des informations aussi importantes que le fichier des personnes recherchées.

La chaîne complète laisse songeur : un PC personnel infecté mène à un Google Drive personnel, puis au VPN de l’Agriculture, au réseau du ministère, à une passerelle vers l’Intérieur, aux comptes de messagerie de policiers, à de nouveaux certificats VPN et finalement à Cheops, au FPR et au TAJ. Encore une fois, au total, 72 fiches TAJ, plusieurs dizaines de milliers de lignes de sommaire, 23 fiches FPR, 3 000 éléments associés, mais aussi dix fiches Interpol consultées et une téléchargée. Sept applications métier sur 150 ont été consultées, heureusement sans modifications ni destructions. Mais le tableau est plutôt moche.

Piratage des services de l’État : Sébastien Lecornu annonce la contre-attaque

Le premier ministre Sébastien Lecornu reconnaissait mercredi que « peu de ministères [étaient] au niveau requis » en matière de cybersécurité. Au vu de l’itinéraire emprunté par les pirates, difficile de lui donner tort. Et au vu des failles béantes, les pirates s’en donnent maintenant à cœur joie.