Une prétendue fuite de données RENAPER en Argentine révèle la valeur du Bitcoin

La société de cybersécurité VECERT Analyzer a mis en garde ce 2 juin contre un pirate informatique présumé qui vendrait un système qui donnerait accès aux données personnelles des citoyens argentins stockées dans le Registre national des personnes (RENAPER), l'organisme étatique qui centralise l'identité de toute la population du pays.

Ce fait illustre l'un des risques structurels que la technologie Bitcoin a été conçue pour éviter : lorsque les données personnelles ou les actifs d'une personne dépendent d'un dépositaire central (un État, une entreprise, un registre), Une seule défaillance de ce gardien expose tous ceux qui dépendent de lui, sans que l'individu n'ait le contrôle ou les ressources nécessaires pour éviter ce problème.

Selon le rapport VECERT Analyzer, le cyber-attaquant a été identifié comme étant « LaPampaLeaks » et offre un accès à l'historique des adresses, aux liens familiaux et aux numéros de téléphone portable.

Le communiqué de la société mentionne également que parmi les informations prétendument compromises les données du président Javier Milei apparaissentla députée Lilia Lemoine, des responsables du Secrétariat d'État au renseignement (SIDE) et l'ancienne présidente Cristina Kirchner. Cependant, VECERT classe le statut de l'alerte comme « non confirmé » même s'il existe des « preuves visibles ».

Parmi ces preuves, les chercheurs de VECERT ont partagé une capture d'écran du texte présumé publié sur un forum Internet par le(s) attaquant(s) dans lequel ils vendraient l'API qui permet d'accéder aux informations exposées:

RENAPER et le gouvernement argentin n'ont pas publié de déclarations à ce sujet au moment de cette publication. Le contexte local n’est cependant pas à l’abri de ce type de menaces. Selon les médias locaux, le 28 mai La Police Fédérale Argentine a démantelé un gang qui vendait des données personnelles volées à RENAPER et d'autres organisations publiques via les canaux Telegram, les utilisant pour des escroqueries virtuelles, des vols d'identité et des vidages de comptes. Sept personnes ont été arrêtées lors de onze perquisitions simultanées dans différentes régions du pays.

Le point d’échec que Bitcoin cherche à éliminer

Le fait qu’une fuite de données RENAPER permette des attaques spécifiques n’est pas une conséquence accidentelle. C'est en tout cas la conséquence directe du modèle de garde centralisée.

Avec nom, adresse, liens familiaux et numéro de téléphone portable d'une personne, un attaquant peut construire un canular crédible. Par exemple, le hameçonnage (technique par laquelle un attaquant se fait passer pour une personne ou une institution de confiance en utilisant les données réelles de la victime pour voler des mots de passe, de l'argent ou des informations sensibles) devient d'autant plus efficace que le profil disponible est complet. Ces mêmes informations facilitent également les attaques physiques ciblées.

Bitcoin fonctionne selon un principe opposé. Le réseau n'oblige aucune organisation à enregistrer l'identité de ses utilisateurs ou à protéger leurs actifs. Chaque personne contrôle ses fonds en utilisant ses propres clés cryptographiques, sans intermédiaires et sans registre central qui, s'il était compromis, exposerait simultanément des millions de personnes. L'autonomie financière du Bitcoin ne dépend pas de RENAPER, d'une banque ou de tout autre dépositaire protégeant les données de l'utilisateur : Cela dépend exclusivement de la protection par l'utilisateur de son propre mot de passe. que prouve au réseau qu'il est l'unique propriétaire de ces pièces.

Le débat sur la vulnérabilité des registres d’État centralisés n’est pas nouveau, mais les épisodes récurrents de fuites de données provenant d’organisations publiques renouvellent la question de savoir quelles sont les garanties réelles qu’offre la conservation centralisée des informations personnelles et s’il existe des alternatives de conception qui transfèrent ce contrôle à l’individu.