Les identités de 20 000 agents du FBI divulguées par un pirate

D’ordinaire missionné pour enquêter sur les fuites de données des autres, le FBI va, une fois n’est pas coutume, devoir se pencher sur un incident qui le concerne directement. En effet, le célèbre service fédéral de police judiciaire est confronté depuis ce week-end à un grave souci qui pourrait bien compromettre la sécurité de ses agents. Et pour cause : leur identité a été lâchée dans la nature.

C’est le site Motherboard qui a révélé l’affaire. En tout, des données concernant 20 000 agents du FBI et 9 000 employés du département de la sécurité intérieure ont fuité sur Internet. La liste a été publiée partiellement sur CryptoBin et nécessite un mot de passe, qui a été renseigné par l’auteur présumé de la fuite.

Les premières identités de la liste.

Celui-ci se présente comme un militant pro-palestinien. Le doxxing, qui désigne l’acte par lequel des révélations de données personnelles ont lieu, est en effet précédé d’un message de soutien aux Palestiniens (« Long Live Palestine, Long Live Gaza, #FreePalestine ») et son compte Twitter, entre deux messages farfelus, fait également référence à la situation israélo-palestinienne.

On peine à voir le lien entre cette fuite intentionnelle et la lutte pour la cause palestinienne, dans la mesure où le FBI n’est pas un acteur du conflit ni une clé pour sa résolution. Mais peut-être l’auteur du piratage cherche-t-il à brouiller tout bêtement les pistes : son compte sur Twitter, baptisé « pénis », est en effet agrémenté d’un avatar montrant Buzz L’Éclair.

La liste elle-même contient l’identité de l’agent, sa fonction au sein de l’établissement, son numéro de téléphone et son adresse e-mail professionnelle. Après vérification sur Google, plusieurs adresses renvoient effectivement sur des agents dont l’identité est publique, tandis que d’autres requêtes ne donnent rien.

De quoi mettre en péril certains agents ?

La portée du piratage doit toutefois être relativisée.

Comme le fait remarquer le Guardian, une partie des informations figurant sur CryptoBin est obsolète : certaines personnes ne travaillent plus pour le FBI ou le département de la sécurité intérieure, tandis que d’autres n’ont pas le bon intitulé de poste. Mais il n’en demeure pas moins que la sortie de cette liste interroge sur la fiabilité du FBI à sécuriser des données sensibles.

D’autant qu’il semble que la méthode employée par l’auteur de la fuite pour obtenir toutes ces informations soit l’une des moins techniques à mettre en œuvre : il s’agirait d’une bête ingénierie sociale. Cette méthode consiste en effet à manipuler son interlocuteur pour lui faire croire quelque-chose et l’amener à livrer une information confidentielle.

Une action basée sur de l’ingénierie sociale.

En l’occurrence, le responsable de la fuite, qui a pris contact avec Motherboard, explique avoir mis la main sur un e-mail compromis rattaché au département de la justice. Il s’en ensuite servi pour tromper un autre employé du département pour qu’il lui donne un accès au portail. De fil en aiguiller, grâce à une machine virtuelle en ligne, il a ensuite pu atteindre l’intranet et récupérer les bases de données.

Dans un communiqué, un porte-parole du département de la justice a affirmé que « cet accès non-autorisé fait l’objet d’une enquête ; cependant, il n’y a aucune indication à ce stade montrant qu’il y a eu la moindre brèche menant vers une information personnelle sensible ». Mais les documents publiés sur CryptoBin tendent à nuancer franchement cette déclaration.