Des rumeurs de violation de données publiques à l'échelle nationale déclenchent des contestations judiciaires et un tollé médiatique

La récente vague d’allégations concernant une violation massive de données au sein de National Public Data (NPD) a donné lieu à une vague d’actions en justice et à une surveillance médiatique intense. Cependant, malgré les gros titres, il existe toujours un manque important de preuves concrètes pour confirmer ces allégations.

Les premières rumeurs : une publication sur les réseaux sociaux suscite la controverse

Le premier indice d’une possible violation de données est apparu le 8 avril 2024, lorsqu’un utilisateur nommé HackManac a publié sur les réseaux sociaux une publication affirmant que 2,9 milliards de dossiers de NPD avaient été volés. Ces dossiers, censés contenir des informations personnelles de personnes aux États-Unis, au Canada et au Royaume-Uni, auraient été vendus par un pirate informatique connu sous le nom d’USDoD pour 3,5 millions de dollars. Malgré l’ampleur de cette affirmation, elle n’a reçu que peu d’attention de la part des médias grand public et NPD est resté silencieux.

La situation a pris de l'ampleur le 2 juin 2024, lorsque vx-underground, une entité bien connue dans la communauté de la cybersécurité, a affirmé avoir obtenu et vérifié une partie des données. Malgré cette confirmation, l'histoire n'a pas réussi à attirer l'attention du grand public et NPD n'a fait aucune déclaration publique.

Les recours collectifs prennent forme

Les rumeurs ont pris une tournure sérieuse le 1er août 2024, lorsqu'un recours collectif a été intenté contre NPD par Christopher Hofmann. Hofmann a allégué que ses données personnelles avaient été compromises en raison de la violation, en s'appuyant largement sur les allégations formulées par vx-unground. Son procès a été rapidement suivi par trois autres, chacun intenté par des individus prétendant être victimes de la violation.

Les plaintes ont toutefois été critiquées pour leurs incohérences. Notamment, les poursuites attribuent initialement la violation au Département de la Défense, pour ensuite indiquer qu'un autre pirate informatique, connu sous le nom de SXUL, pourrait en être responsable. De plus, le nombre de dossiers prétendument volés a été exagéré, la plainte mentionnant des « milliards d'individus », un chiffre bien supérieur à la population réelle des États-Unis, du Canada et du Royaume-Uni réunis.

Quelle est la stratégie derrière les poursuites judiciaires et la recherche de divulgation ?

Certains experts estiment que ces poursuites judiciaires pourraient davantage viser à contraindre le NPD à fournir des preuves devant le tribunal plutôt qu'à prouver la violation elle-même. Aux États-Unis, les tribunaux peuvent exiger que les accusés produisent des informations susceptibles de confirmer ou de réfuter les allégations portées contre eux. Cette tactique, souvent qualifiée de « pêche aux informations », pourrait bien être le véritable objectif de ces actions en justice.

Ilia Kolochenko, expert juridique et PDG d’ImmuniWeb, estime que cette approche est plus courante aux États-Unis que dans d’autres régions comme l’Europe, où la charge de la preuve incombe généralement aux plaignants. Si le tribunal oblige NPD à divulguer des informations sur la violation présumée, cela pourrait avoir de graves conséquences pour l’entreprise.

Connaissances actuelles et distinction entre réalité et fiction

Malgré les batailles juridiques en cours et l'attention médiatique, il n'existe toujours aucune preuve définitive reliant les données volées au NPD. Il est possible que les données en circulation aient été agrégées à partir de diverses sources, plutôt qu'exfiltrées du NPD lui-même. Même les services de cybersécurité qui ont examiné les données divulguées n'ont pas été en mesure de les relier de manière concluante au NPD.

En outre, des questions ont été soulevées quant à la faisabilité du vol de 2,9 milliards de dossiers sans détection, compte tenu notamment de la nature sensible des données gérées par le NPD. Ce scepticisme assombrit encore davantage une situation déjà trouble.

En attente de clarification : la nécessité d'informations vérifiées

Jusqu'à présent, NPD n'a publié aucune déclaration publique concernant la violation présumée, ni signalé l'incident aux autorités compétentes aux États-Unis, au Royaume-Uni ou au Canada. La vérité derrière ces allégations ne pourra être révélée que si les tribunaux exigent que NPD réponde officiellement.

En attendant, la situation reste sans solution, et les spéculations et les inquiétudes continuent de s’intensifier. Même si l’éventualité d’une violation ne peut être totalement écartée, le manque d’informations vérifiées signifie que la situation pourrait être bien plus compliquée qu’il n’y paraît.

En attendant des développements plus concrets, il est important de rester prudent. Les gros titres peuvent être alarmants, mais sans preuves solides, la vérité sur ce qui s'est réellement passé au NPD reste difficile à établir.