Un cyberattaque contre les systèmes informatiques de l’Administration de Moldavie a compromis les données personnelles d’environ 450.000 personnes, soit près de 19% de la population du pays. La présidente, Maia Sandu, a confirmé ce vendredi l’ampleur de la fuite et a reconnu que les institutions n’ont ni détecté ni communiqué à temps la gravité de l’incident, qui a mis en évidence d’importantes déficiences dans la protection des informations publiques.
L’intrusion s’est produite entre le 19 et le 23 octobre et a permis d’accéder à des informations stockées dans les registres d’au moins dix institutions étatiques. Parmi les données compromises figurent des noms, des informations sanitaires, des pensions, des prestations sociales, des liens familiaux et certaines données financières.
Le chiffre des personnes concernées représente une révision à la baisse par rapport aux premières estimations officielles, qui faisaient état de 750.000 personnes. Toutefois, le Gouvernement moldave reconnaît que l’ampleur de l’incident reste considérable et a annoncé que les citoyens touchés recevront des notifications individuelles.
Sandu a convoqué le Conseil national de sécurité pour examiner ce qui s’est passé et coordonner la réponse des institutions. La présidente a notamment averti du risque que l’information volée soit utilisée pour des arnaques téléphoniques, des messages frauduleux et des usurpations d’identité.
Un défaut a permis d’accéder aux registres de dix institutions
L’enquête préliminaire a identifié des problèmes dans la conception des systèmes d’échange d’informations de l’Administration moldave.
Comme l’a expliqué Sandu, les plateformes vérifiaient quelle application demandait les données, mais ne vérifiaient pas correctement l’identité de la personne effectuant la requête, ni si elle avait l’autorisation d’accéder à ces informations.
Cette vulnérabilité a permis à une application disposant de permissions insuffisantes d’ouvrir la voie à des registres de différentes institutions publiques.
Le système ne disposait non plus de contrôles suffisants pour limiter le volume d’informations consultées, ni d’alertes automatiques capables de détecter des extractions inhabituelles.
Les attaquants ont effectué environ 11 millions de demandes d’accès et consulté environ un million de numéros d’identification personnels, selon les données préliminaires de l’Agence de gouvernance électronique (AGE).
Le 20 octobre a été la journée la plus active. Les demandes adressées aux services numériques ont atteint des niveaux trente fois supérieurs aux niveaux habituels et des données ont été extraites concernant plus de 260.000 personnes.
Données médicales, comptes bancaires et prestations sociales
L’information compromise provient de différents registres administratifs et contient des données particulièrement sensibles.
En plus des noms, des dates et des lieux de naissance, les attaquants ont pu consulter des informations sur l’état de santé des citoyens, leurs médecins traitants, des situations de handicap et des prestations sociales.
D’autres données de membres de la famille, des photographies, des permis de conduire, des véhicules, des informations d’entreprise, des numéros de compte bancaire, des dettes fiscales et des historiques de paiement ont également été exposés.
La présidente a assuré qu’aucun recours aux données bancaires n’a été détecté pour accéder directement aux comptes des citoyens. Toutefois, elle a demandé de redoubler de prudence face à d’éventuelles tentatives de fraude.
Les autorités recommandent de ne pas divulguer d’informations personnelles par téléphone, de se méfier des messages qui demandent des données bancaires et de contacter directement les entités financières ou la police via leurs canaux officiels.
Le Gouvernement reconnaît des retards et des défauts de coordination
La réponse à l’attaque a obligé à déconnecter préventivement 82 services publics numériques et plus de 30 systèmes informatiques et panneaux d’administration.
Le 21 octobre, les autorités sont parvenues à stopper l’accès à des informations concernant les proches des citoyens. Deux jours plus tard, elles ont commencé à bloquer les connexions utilisées par les attaquants et, le 24 octobre, l’activité détectée a cessé.
Par la suite, de nouvelles tentatives d’intrusion se sont produites, les 25 et 27 octobre, que les autorités assurent avoir neutralisées sans nouvelles extractions d’informations.
Sandu a admis que la réaction institutionnelle a été insuffisante, notamment dans la communication avec la population.
La présidente a reconnu que l’absence d’un protocole clair de communication a provoqué des retards et des difficultés à répartir les responsabilités entre les institutions.
Le gouvernement exécutif a créé un groupe de travail dirigé par le Premier ministre, Vasile Tofan, afin de coordonner les actions et de passer en revue les vulnérabilités détectées.
Les services publics concernés se sont progressivement rétablis, après avoir soumis leurs systèmes à des vérifications de sécurité.
Le Parquet enquête sur le vol d’informations
Le Parquet de Chisináu a ouvert une enquête pénale pour des délits possibles liés à l’atteinte à l’intimité et à la divulgation d’informations protégées.
La porte-parole du Parquet général, Violina Moraru, a confirmé l’ouverture des diligences, sans toutefois fournir d’informations sur les responsables possibles.
Les autorités moldaves n’ont officiellement attribué l’attaque à aucun pays et n’ont pas identifié publiquement ses auteurs.
Sandu a écarté, pour l’instant, l’existence d’indices d’un sabotage interne. L’enquête devra déterminer comment l’accès aux systèmes a été réalisé et qui se trouve derrière l’extraction des données.
Le Gouvernement annonce de nouvelles mesures de sécurité
Après la réunion du Conseil national de sécurité, les autorités se sont accordées pour renforcer les contrôles d’accès aux registres publics, limiter la quantité d’informations pouvant être consultée et améliorer les mécanismes de détection d’activités suspectes.
L’Agence de gouvernance électronique notifiera individuellement les personnes concernées. En outre, les banques recevront des informations sur les citoyens dont les données ont été consultées afin qu’elles puissent effectuer des vérifications supplémentaires en cas d’éventuelles opérations frauduleuses.
L’enquête aura également des conséquences sur la gestion des services numériques. La directrice de l’Agence de gouvernance électronique, Nicoleta Colomeeț, a annoncé sa démission et les autorités préparent deux audits afin d’éclaircir les défaillances en matière de sécurité. Les premiers résultats sont prévus pour la fin du mois de novembre, et les suivants, pour début décembre.
La possible implication d’un acteur étranger
La présidente moldave a indiqué que les caractéristiques de l’attaque sont compatibles avec l’action d’un acteur étatique, tout en insistant sur le fait que les responsables n’ont pas encore été identifiés.
La Moldavie, pays frontalier avec l’Ukraine et la Roumanie et candidat à l’adhésion à l’Union européenne, a auparavant dénoncé des opérations d’ingérence et de désinformation attribuées à la Russie. Toutefois, les autorités n’ont pas présenté de preuves permettant d’établir un lien entre ce cyber-attaque précis et Moscou.
L’incident a remis en question la sécurité d’une Administration qui a fait progresser ces dernières années la numérisation de nombreux dossiers administratifs publics. La priorité du Gouvernement est désormais de protéger les informations des citoyens et d’empêcher que les données obtenues pendant l’attaque soient utilisées dans de nouvelles opérations frauduleuses.