Une agence gouvernementale de Porto Rico a dévoilé 1 million de numéros de sécurité sociale

Il s’agit de la dernière faille en matière de cybersécurité du gouvernement de Porto Rico, qui, au cours des trois dernières années, a vu des failles technologiques interrompre les services gouvernementaux, mettre des sites Web hors ligne et conduire à la publication d’informations personnelles sur les citoyens sur le dark web.

L’outil en ligne fournit des informations telles que la taille, les limites, l’évaluation fiscale, le prix de vente et le nom du propriétaire, pour chaque propriété enregistrée sur l’île.

Même si une simple recherche sur la carte ne révélerait pas d’informations sensibles, toute personne comprenant comment les sites Web demandent des données pourrait télécharger des informations personnelles non protégées telles que des numéros de sécurité sociale sans nom d’utilisateur ni mot de passe.

Les agences de presse ont pu vérifier la faille de sécurité et ont fourni à l’agence, connue sous ses initiales espagnoles, CRIM, une description détaillée du problème qui incluait le serveur spécifique et les dossiers contenant les données compromises.

Malgré cette notification, le CRIM a nié à plusieurs reprises tout problème avec son système.

« Après un examen de la plateforme Catastro Digital, il a été déterminé qu’il n’y a eu AUCUNE violation des informations personnelles confidentielles des contribuables, car Catastro Digital ne contient ni n’affiche le type d’informations auquel il fait allusion », a déclaré le directeur exécutif du CRIM, Javier García Cintrón.

García a nié cela, affirmant qu’il n’était pas nécessaire de résoudre le problème. Une loi de Porto Rico exige que toute entité, y compris les agences gouvernementales, informe rapidement les utilisateurs si leurs informations personnelles ont été violées. Mais García a déclaré que l’agence ne contacterait pas les utilisateurs pour leur dire que leurs numéros de sécurité sociale étaient potentiellement exposés, car « aucune information protégée n’était en danger ».

Le CRIM n’a pas non plus informé le Service d’innovation et de technologie de Porto Rico, connu sous le nom de PRITS, qui supervise tous les systèmes informatiques du gouvernement. Le protocole de cybersécurité du gouvernement exige d’informer le PRITS de « tout incident de sécurité suspecté ».

Un porte-parole du PRITS a refusé de répondre aux questions et a déclaré qu’elles devaient être soumises en vertu de la loi sur l’information publique de Porto Rico, qui vise à permettre aux citoyens d’obtenir des documents gouvernementaux et non de répondre aux questions de la presse.

Jusqu’à présent cette année, plus de 2 millions de tentatives de cyberattaques ont été enregistrées au sein du gouvernement de Porto Rico, selon les données du PRITS. La moitié d’entre eux ont été considérés comme des incidents critiques, impliquant « un impact grave sur les opérations critiques, la compromission de données sensibles ou une menace imminente pour la sécurité de l’agence ou les données gouvernementales », selon l’agence.

En mars, des citoyens ont vu leur permis de conduire et leurs rendez-vous d’inscription reportés après une tentative de cyberattaque contre les systèmes du ministère des Transports. L’année dernière, les résidents de Porto Rico n’ont pas pu vérifier leur casier judiciaire, dont ils ont besoin pour travailler, pendant près d’une semaine en raison d’un « accès non autorisé » à la base de données des casiers judiciaires du ministère local de la Justice. En 2023, les clients et les employés du service des eaux de Porto Rico ont vu leurs informations personnelles publiées sur le dark web après une attaque de ransomware.

Une augmentation des attaques a incité les législateurs de Porto Rico à approuver en 2024 une loi complète sur la cybersécurité, la loi 40, qui oblige toutes les agences gouvernementales à mettre en œuvre des normes et principes minimums de cybersécurité. Il a également établi des sanctions en cas de non-conformité et a exigé que toutes les agences gouvernementales procèdent à une évaluation des risques au moins une fois par an.

Mais trois experts en cybersécurité ont déclaré que les agences n’avaient pas réussi à mettre pleinement en œuvre les normes de sécurité énoncées dans la loi, alors même que les attaques devenaient plus fréquentes et plus sophistiquées. Au lieu d’évaluer et de traiter périodiquement les vulnérabilités qui empêchent ces attaques, les agences réagissent, ont-elles déclaré.

Un rapport du Bureau de l’Inspecteur général de Porto Rico publié à la fin de l’année dernière a révélé des lacunes dans 90 agences gouvernementales locales, 60 % d’entre elles n’ayant pas procédé à des évaluations de vulnérabilité de leurs systèmes informatiques.

Le gouvernement serait en « bien meilleure forme » s’il se concentrait sur la formation des employés et mettait en œuvre des outils tels que l’authentification multifactorielle dès le début, a déclaré Carlos Pérez, un expert en cybersécurité à Porto Rico et directeur du renseignement de sécurité chez TrustedSec, une société qui consulte les gouvernements et les entreprises privées.

« Nous nous attaquons aux symptômes mais pas à la maladie », a-t-il déclaré.

Dans la plupart des cas, la loi sur la cybersécurité ne suffit pas à exiger des normes unifiées au sein du gouvernement, a déclaré un ancien employé informatique du gouvernement, qui a demandé à rester anonyme par crainte de répercussions professionnelles. Cette absence d’un ensemble unique de normes a permis aux agences de décider elles-mêmes de la manière dont elles protègent les données personnelles.

García a expliqué que, dans le cadre des mesures de sécurité du CRIM, l’agence utilise des mots de passe, des noms d’utilisateur et des messages texte pour valider l’identité. Il a nié que quiconque puisse accéder à la base de données Catastro Digital sans mot de passe, sauf pour effectuer des recherches individuelles sur le site Web public.

La possibilité d’accéder aux numéros de sécurité sociale via la carte immobilière du CRIM suscite des inquiétudes étant donné la prolifération d’entreprises privées qui vendent des informations immobilières à Porto Rico, obtenues à partir de bases de données publiques telles que Catastro Digital. N’importe laquelle de ces sociétés aurait pu accéder aux données, y compris aux informations personnelles.