Une faille de sécurité dans un système d’identité national a exposé les données de millions de citoyens. L’intrusion, qui a duré plusieurs semaines, trouve son origine chez un petit prestataire technique. Cet incident souligne les risques liés aux chaînes d’accès tierces et aux mots de passe vulnérables.
L’affaire a commencé avec Pays ApS, une petite société de services informatiques basée à Odense et employant seulement deux personnes. Cette entreprise fournissait des services légitimes de validation de données à des tiers, ce qui lui donnait des accès directs à la base du Registre Personnel Central (CPR). On sait désormais qu’au moins trois comptes d’accès étaient insuffisamment protégés. L’un d’eux a été compromis en exploitant le mot de passe faible d’un ancien employé.
Trois semaines d’accès sans blocage
L’intrus est resté dans le système pendant près de trois semaines sans être détecté. Le pirate a opéré durant 21 jours et 17 heures, utilisant deux scripts pour extraire en masse les enregistrements et les stocker hors du réseau officiel. Bien que l’attaquant affirme ne pas vouloir vendre ou divulguer publiquement le fichier, le volume de données consulté couvre la grande majorité des citoyens, vivants et décédés, enregistrés dans le pays.
Cette vulnérabilité expose la fragilité des chaînes de fournisseurs dans le secteur public. Même si les systèmes centraux d’un pays investissent dans des périmètres de défense sophistiqués, le maillon faible reste souvent les accès accordés à des partenaires privés. Attribuer des permissions pour consulter des millions de citoyens à des structures dépourvues de politiques minimales sur la complexité des mots de passe ou l’authentification à deux facteurs est une recette propice aux incidents.
L’impact réel sur les citoyens et le rôle du MitID
La base de données du CPR sert de colonne vertébrale d’identification au Danemark, contenant les données fiscales, les adresses et les numéros d’identification uniques. Toutefois, le risque de vol d’identité est limité par le système national MitID. Cette solution d’authentification à deux facteurs est nécessaire pour valider les transactions bancaires et les accès aux portails de l’État. Posséder seulement le numéro d’identification ne permet pas de vider des comptes ou de solliciter des crédits immédiatement.
Le danger se situe désormais à un autre niveau : les techniques d’ingénierie sociale. En possession de données complètes, un cybercriminel peut construire des campagnes de hameçonnage (phishing) et des messages frauduleux presque parfaits, se faisant passer pour des banques ou des services de santé. Les autorités locales ont déjà mis en garde la population de se méfier des appels ou SMS non sollicités qui présenteraient des données personnelles pour réclamer des codes de sécurité.
L’entreprise impliquée a publiquement confirmé que ses accès légaux ont été exploités à mauvais escient, pendant que des enquêtes techniques et légales se poursuivent pour établir les responsabilités. Cet épisode lance un avertissement clair à tout administrateur système qui négligerait encore les exigences élémentaires de sécurité : aucune infrastructure n’est protégée si un mot de passe basique continue de servir de clé principale.