Des hackers ont dérobé «une véritable mine d'or pour les criminels»
Les attaques en ligne sont devenues monnaie courante. Mais que les données personnelles de toute une population soient volées, c'est une première. Pour le Danemark, il s'agit de loin de la plus grande fuite de ce type. Des pirates informatiques se sont introduits dans des bases de données de l'Etat et ont dérobé les dates de naissance, les numéros de sécurité sociale et, dans la plupart des cas, les adresses et les numéros de téléphone de 8,8 millions de personnes.
C'est plus que les 6 millions d'habitants du pays. Et pour cause: les données de certaines personnes décédées ou ayant quitté le pays ont également été volées.
Un véritable coup dur
L'attaque frappe un pays qui, avec ses voisins scandinaves, a poussé la numérisation de manière particulièrement radicale. De fait, le Danemark faisait jusqu'ici figure de modèle avec des années d'avance pour la Suisse et d'autres Etats moins avancés dans leurs projets de digitalisation.
La signature numérique, de même que le dossier électronique du patient, sont déjà parfaitement établis dans ce pays du nord de l'Europe.
Cela a été rendu possible par un système reposant sur un numéro d'identification personnel, qui permet la mise en réseau numérique de la plupart des domaines de la vie: impôts, prestations sociales, justice, santé, écoles. C'est précisément le registre central contenant ces numéros d'identification personnels qui vient d'être volé.
De vicieuses campagnes d'hameçonnage
Les pirates ont réussi à s'introduire dans une «petite entreprise» dont le nom n'a pas été divulgué, et qui est légalement autorisée à accéder au registre. Il pourrait s'agir d'un prestataire du secteur de la santé ou de la finance.
Comment ils sont parvenus à aspirer, des jours durant et sans être remarqués, des millions de données reste toutefois, pour l'heure, une énigme pour les experts. Les enquêtes se poursuivent dans toutes les directions, a souligné le gouvernement. Les spéculations vont bon train sur la Russie, mais aussi sur des bandes internationales de cybercriminels.
Avec les données volées, la porte est ouverte à l'usurpation d'identité et aux attaques d'hameçonnage sophistiquées, par exemple avec des demandes très crédibles prétendument émises par la police, des banques ou des médecins, a expliqué Jens Pedersen, professeur de cybersécurité. Il souligne qu'il s'agit d'«une véritable mine d'or pour les criminels», car plus on en sait sur la vie privée des gens, plus on peut tenter de manière perfide de leur soutirer des mots de passe ou des données de cartes de crédit.
Le numéro d'identification personnel permettait en outre jusqu'ici d'obtenir des médicaments soumis à ordonnance. Les autorités ont estimé qu'il fallait désormais aussi réexaminer les procédures lors des élections, et peut-être même de l'ensemble des fondements de la numérisation du pays.
Car qu'il s'agisse de l'aide sociale, des amendes, de la déclaration d'impôts ou de la correspondance avec les médecins, au Danemark, tout passe par la boîte aux lettres numérique et le site internet central des autorités.
Ce système, simple et rapide pour les citoyens, permet une administration efficace, capable de rassembler d'énormes quantités de données. Le dossier patient automatisé est disponible par voie électronique pour l'ensemble de la population depuis des années, ce qui a donné au Danemark, pendant la période du covid, une grande avance sur la Suisse, mais aussi sur la plupart des autres pays. Les bases pour les tests et pour l'application de certificat étaient déjà en place.
La disparition presque totale du papier
La situation actuelle n'est toutefois plus seulement un problème pour les autorités. Les banques, les assurances, les fournisseurs d'électricité et d'accès à internet travaillent eux aussi avec leur numéro d'identification personnel. Ils utilisent pour cela un identifiant qui y est associé. La grande différence avec la Suisse réside dans le fait qu'il n'existe qu'un seul «super-identifiant» pour tout.
Plus de 96% de la population l'utilise, par exemple, pour gérer leurs contacts avec les autorités. Les Danois ne reçoivent plus de courrier papier de l'Etat qu'avec une autorisation exceptionnelle.
La numérisation a donc entraîné la disparition du courrier postal, une évolution que le patron de la Poste suisse, Pascal Grieder, a commentée:
Au Danemark, ni les entreprises ni les autorités n'envoient plus de lettres aujourd'hui. Leur service de poste public a, de ce fait, cessé l'acheminement du courrier, et c'est une entreprise privée qui a repris le flambeau.
De nombreuses critiques
Les Danois n'ont cependant pas à craindre que des criminels puissent, sans autre, se connecter à leur compte bancaire ou à leur déclaration d'impôts, ou contracter des crédits en leur nom. Les données volées ne suffisent pas à elles seules pour de telles démarches. Mais, par mesure de précaution, les pharmacies et les médecins ont déjà commencé à vérifier l'identité de leurs clients.
En conséquence, le gouvernement doit désormais essuyer des critiques: il aurait fait avancer la numérisation de manière négligente, avec une infrastructure peu sûre, accusent certains. Le système, a souligné l'expert en sécurité Jan Kaastrup, est «un char à chevaux, alors que d'autres roulent depuis longtemps en Porsche». (trad. ysc)