On dirait bien que personne n’est à l’abri des hackers. Pas même les policiers français, dont les données personnelles et professionnelles ont été compromises après une cyberattaque. Cette dernière vise la Fédération Sportive de la Police Nationale.
Si vous pensez que les cyberattaques ne ciblent que les grandes entreprises, détrompez-vous. Les administrations, les associations et même les organismes liés aux forces de l’ordre figurent aussi dans le viseur des hackers.
Cette fois, des milliers de policiers français voient leurs données personnelles et professionnelles potentiellement exposées. À l’origine de cette fuite, une attaque revendiquée contre la Fédération Sportive de la Police Nationale (FSPN). Le pirate affirme avoir mis la main sur une quantité impressionnante de documents.
Comment les données de milliers de policiers français ont-elles fuité ?
L’alerte est venue d’un forum du dark web. Un cybercriminel utilisant le pseudonyme « Misère » affirme avoir compromis la plateforme Sportpolice.fr. Celle-ci est utilisée par la Fédération Sportive de la Police Nationale.
Quelques heures plus tard, la fédération a confirmé avoir été victime d’une cyberattaque. Elle explique qu’une base de données a bien pu être compromise. Les informations concernées remonteraient à plusieurs années de licences sportives.
Selon les affirmations du pirate, le butin est conséquent. Noms, prénoms, dates de naissance, grades, matricules, services d’affectation et certificats médicaux figureraient parmi les fichiers récupérés. Plus d’un million de convocations sportives et plusieurs centaines de milliers de licences seraient également concernées.
Le hacker évoque plus de 224 000 enregistrements distincts. En réalité, la base concerne plus de 70 000 personnes, car un même adhérent peut y apparaître à plusieurs reprises. Les données couvriraient une période allant de 2012 à 2026.
Pour les cybercriminels, ce type d’informations représente une véritable boîte à outils. Elles peuvent servir à préparer des campagnes d’hameçonnage très crédibles ou des tentatives d’usurpation d’identité.
L’origine de la fuite des données ? Une simple faille IDOR
Le pirate affirme avoir exploité une vulnérabilité connue sous le nom d’IDOR, pour Insecure Direct Object Reference. Derrière ce nom très technique se cache en réalité une faille plutôt simple à comprendre.
Certains sites attribuent un identifiant numérique à chaque utilisateur ou document. Si le serveur vérifie mal les autorisations, il suffit parfois de modifier ce numéro dans l’adresse web pour accéder aux informations d’un autre compte. Une erreur de conception qui peut sembler anodine, mais qui devient catastrophique lorsqu’elle donne accès à des milliers de dossiers.
Ce type de faille est loin d’être inédit. Les spécialistes de la cybersécurité la rencontrent régulièrement sur des plateformes publiques comme privées. La difficulté ne réside pas dans la sophistication de l’attaque, mais dans l’absence de contrôles suffisamment stricts côté serveur.
La Fédération Sportive de la Police Nationale indique poursuivre ses investigations afin d’évaluer précisément l’ampleur de cette fuite de données. Une plainte a d’ailleurs été déposée. Et la procédure prévue par le RGPD a été engagée, avec une notification attendue auprès de la CNIL.
Le plus préoccupant ? Cette affaire intervient seulement quelques mois après une autre fuite ayant touché les forces de l’ordre. Au printemps, la plateforme de formation e-campus de la Police nationale avait déjà subi un piratage ayant exposé les informations de plus de 170 000 policiers.
Certes, même les organisations chargées de protéger les citoyens restent, elles aussi, des cibles privilégiées des cybercriminels.
- Partager l'article :
