La fuite lettone nourrit les arnaques

La cyberattaque contre la CSDD, l’autorité lettone du trafic routier, a exposé les reçus de paiement liés à environ 1,2 million de personnes et 150 000 à 200 000 entreprises. Les données bancaires n’ont pas été volées, mais les fraudeurs disposent désormais d’un puissant outil d’usurpation.

Quiconque a immatriculé une voiture en Lettonie depuis 2008 doit désormais se méfier d’un appel, d’un SMS ou d’un courriel trop bien renseigné. Les assaillants qui ont pénétré les systèmes de la CSDD ont emporté des archives de reçus de paiement associées à environ 1,2 million de personnes et à quelque 150 000 à 200 000 entreprises (LSM, BNN). Dans un pays de moins de deux millions d’habitants, cela couvre l’essentiel de la population adulte. Aucun compte bancaire n’a été vidé. Mais les criminels ont obtenu une matière première plus durable : de quoi rendre une fraude crédible pendant des années, puisque les données remontent à près de deux décennies.

Ce qu’un escroc sait désormais

Les données volées ressemblent à une fiche personnelle prête à l’emploi : noms, codes nationaux d’identification, plaques d’immatriculation, montants payés, dates de paiement et adresse enregistrée au moment où le service a été utilisé (tezinas.lv, inbox.lv). Les numéros de téléphone, adresses électroniques, coordonnées bancaires et identifiants de connexion n’auraient pas été compromis (NRA). La nuance est importante, mais elle ne suffit pas à rassurer : une voix qui cite votre code d’identité, votre plaque, le montant exact d’une redevance payée l’an dernier et votre ancienne adresse a de bonnes chances d’être crue.

Le code d’identité ne permet pas, à lui seul, de déverrouiller les outils d’identité numérique lettons comme Smart-ID ou Mobile-ID. Le risque vient du scénario suivant : un fraudeur lance une tentative de connexion avec ce code, ce qui déclenche une demande de validation sur le téléphone de la victime, puis appelle en se faisant passer pour la CSDD ou une banque afin de pousser à appuyer sur « approuver » (NRA). Des courriels et SMS frauduleux aux couleurs de la CSDD circulaient déjà quelques jours après la révélation de l’incident (Delfi, tezinas.lv). La fenêtre de fraude restera ouverte longtemps : les fichiers incluent aussi des personnes qui ont immatriculé un véhicule en 2008 et ont depuis quitté le pays (LSM).

Des protections de base absentes

L’intrusion a commencé durant le week-end des 7 et 8 août. CERT.LV, l’organisme letton chargé de la réponse nationale aux incidents cyber, n’a été prévenu que le lundi soir 10 août (NRA). La CSDD a informé le public le 13 août que son site avait subi une attaque. L’ampleur réelle de la fuite n’a été connue que le 18 août (eng.lsm.lv, LSM).

Le problème ne relève pas d’une attaque hors norme. Selon la presse lettone, la CSDD ne respectait pas plusieurs exigences applicables aux systèmes classés au niveau de sensibilité le plus élevé, c’est-à-dire ceux qui concentrent assez de données personnelles pour toucher une large part de la population. L’authentification multifactorielle, qui impose une deuxième confirmation en plus du mot de passe, manquait. Les tests d’intrusion, ces audits où des spécialistes sont payés pour tenter de pénétrer un système avant de vrais attaquants, faisaient également défaut (BauskasDzīve/LETA, Delfi).

CERT.LV avait proposé, entre janvier et avril, d’installer des capteurs de surveillance réseau, l’équivalent d’alarmes capables de détecter des flux suspects. Le dispositif n’était en cours de déploiement qu’après la fuite (LA.lv).

La sanction politique a été rapide. Le président Edgars Rinkēvičs a estimé que la direction de la CSDD ne pouvait pas rester en poste et a demandé au parquet d’examiner l’affaire. Le directoire et le conseil de la CSDD ont tous deux démissionné (Delfi, Kauno diena). Un autre incident informatique avait déjà forcé, plus tôt ce mois-ci, la fermeture du poste-frontière letton de Pāternieki avec la Biélorussie. La robustesse des systèmes publics lettons était donc déjà un sujet politique avant que la fuite de la CSDD ne le rende plus difficile à contourner.

Un signal européen, pas une anomalie lettone

La Lettonie n’est pas un cas isolé. La Lituanie a révélé plus tôt cette année que, selon les procureurs, plus de 600 000 enregistrements auraient été copiés illégalement depuis son registre national des biens et des personnes morales, via des connexions non autorisées passant par les systèmes d’autres institutions reliées au registre (LRT). Le chemin d’attaque diffère, mais le résultat se répète : données administratives volées, clarté publique tardive, puis avertissements sur de possibles usurpations d’agences publiques (LRT).

Les règles européennes classent déjà les transports et les registres publics parmi les infrastructures critiques au titre de NIS2, la directive qui actualise le cadre de cybersécurité de l’Union. Elle impose une notification rapide des incidents et donne aux régulateurs des pouvoirs de contrôle et de sanction (ENISA, The Record). Mais lorsque l’organisme en défaut est une agence publique plutôt qu’une entreprise privée, la responsabilité passe souvent par des audits, des démissions et de la pression politique davantage que par des amendes.

La fuite de la CSDD ne semble pas avoir nécessité une opération sophistiquée de niveau étatique. Elle a surtout exploité un système exposé à Internet où les contrôles élémentaires n’étaient pas en place. L’administration numérique européenne repose sur des registres interconnectés qui accumulent des décennies de données, tandis que les gouvernements demandent aux citoyens de leur confier toujours plus de démarches. Cette confiance dépend désormais moins de nouveaux services en ligne que de contrôles sans éclat mais décisifs : mots de passe, journaux d’accès, authentification forte et capteurs réseau opérationnels avant que quelqu’un ne vienne les tester.