Imaginez si les données personnelles de tous les électeurs de votre pays étaient soudainement exposées dans une cyberattaque massive. C’est exactement ce qui s’est passé au Royaume-Uni, où une faille de sécurité a permis le vol des registres électoraux de 40 millions de personnes. Mais le plus choquant ? Cette brèche était entièrement évitable avec des mesures de sécurité de base.
Une cyberattaque dévastatrice sur la Commission électorale
En août 2021, des hackers malveillants ont exploité une série de vulnérabilités dans le serveur de messagerie de la Commission électorale britannique. Pendant plus d’un an, ils ont eu accès aux copies des registres électoraux du Royaume-Uni, qui contenaient les noms, adresses postales, numéros de téléphone et informations non publiques des électeurs enregistrés entre 2014 et 2022.
Ce n’est qu’en octobre 2022 que la Commission a découvert cette intrusion massive dans ses systèmes. Et il a fallu attendre août 2023 pour qu’elle divulgue publiquement cette brèche d’un an, qui a touché les données personnelles de 40 millions d’électeurs britanniques.
Des failles de sécurité « basiques » en cause
Selon le rapport accablant de l’ICO, le régulateur britannique de la protection des données, cette cyberattaque aurait pu être entièrement évitée si la Commission électorale avait mis en place des mesures de sécurité élémentaires :
- Absence de mise à jour de sécurité : La Commission n’avait pas installé les patchs de sécurité pour les vulnérabilités « ProxyShell » de son serveur Exchange, pourtant publiés par Microsoft plusieurs mois avant l’attaque.
- Mots de passe faibles : Les mots de passe utilisés étaient « hautement susceptibles » d’être devinés selon l’ICO.
- Infrastructure obsolète : La Commission a admis être « consciente » que des parties de son infrastructure étaient obsolètes.
Si la Commission électorale avait pris des mesures de base pour protéger ses systèmes, comme une mise à jour efficace de la sécurité et une gestion des mots de passe, il est fort probable que cette violation de données n’aurait pas eu lieu.
Stephen Bonner, Commissaire adjoint de l’ICO
Un manque de responsabilité et de conformité
Étonnamment, malgré l’ampleur de cette faille qui a exposé les données personnelles de millions d’électeurs, l’ICO n’a pas infligé d’amende à la Commission électorale. Le régulateur a seulement émis une réprimande publique, invoquant sa politique actuelle de limiter les sanctions financières pour les organismes publics.
Mais cette approche soulève des questions. Comment s’assurer que les autorités publiques respectent les règles de protection des données et investissent dans la sécurité si les conséquences d’une négligence sont si faibles ?
Les leçons à tirer pour toutes les organisations
Au-delà des organismes publics, cette cyberattaque massive est un rappel crucial pour toutes les entreprises et organisations qui gèrent des données personnelles :
- Mettre en place un processus rigoureux de mise à jour de sécurité pour corriger rapidement les vulnérabilités connues.
- Renforcer les politiques de gestion des mots de passe et déployer l’authentification multifactorielle pour tous les utilisateurs.
- Moderniser régulièrement l’infrastructure pour éviter d’utiliser des systèmes obsolètes et vulnérables.
- Sensibiliser et former les employés aux bonnes pratiques de sécurité.
- Auditer et tester régulièrement la sécurité pour identifier et corriger les failles.
Car au-delà des sanctions financières, c’est la confiance et la réputation qui sont en jeu. Aucune organisation ne peut se permettre de négliger la sécurité des données personnelles qu’elle détient.
Vers une prise de conscience et une action collective
L’exemple choquant de la Commission électorale britannique doit servir d’électrochoc. Il est temps pour toutes les organisations, publiques et privées, de faire de la cybersécurité une priorité absolue.
Cela passe par une prise de conscience à tous les niveaux, du dirigeant à l’employé, des investissements conséquents dans les outils et compétences de sécurité, et une vigilance de tous les instants.
Car dans un monde de plus en plus numérique, où les données sont le nouveau pétrole, leur protection est une responsabilité collective. C’est un enjeu démocratique, économique et sociétal majeur, qui nous concerne tous.
Alors, que ce scandale des données électorales britanniques serve enfin de déclic. Il est temps d’agir, ensemble, pour bâtir un cyberespace plus sûr et digne de confiance. L’avenir de nos démocraties et de nos économies en dépend.
