Des attaquants auraient dérobé les données d'environ 8 millions de personnes dans le registre de population CPR du Danemark, et la méthode employée compte autant que le nombre. Le débat sur le VPN face à la violation de données du CPR danois est utile à mener, car cet incident montre exactement où s'arrête la protection d'un VPN.

Ce qui s'est passé dans la violation du CPR danois

Selon les informations résumées dans la source, des pirates ont dérobé des données dans une base de données gouvernementale danoise contenant des informations sur les citoyens. L'intrusion aurait eu lieu en septembre, mais n'a été découverte que le 2 octobre. Cet écart entre la compromission et la détection est un thème récurrent dans les grandes violations de données : les attaquants ont eu le temps d'agir à l'intérieur du système avant que quiconque ne s'en aperçoive.

La source décrit les données volées comme des enregistrements liés au système CPR, la base de données centrale d'état civil du Danemark. D'autres articles indexés dans les résultats de recherche citent un chiffre légèrement supérieur de 8,8 millions de personnes et mentionnent des noms, des adresses et des numéros CPR. Comme les chiffres diffèrent selon les rapports, considérez « environ 8 millions » comme un ordre de grandeur approximatif plutôt qu'un décompte définitif. Des détails tels que les champs exactement concernés doivent être confirmés auprès des déclarations officielles des autorités danoises.

Comment un accès légitime est devenu la voie de l'attaque

Le détail le plus frappant est ce dont les attaquants n'ont pas eu besoin. Selon la source, aucune faille zero-day sophistiquée n'a été nécessaire. Ils ont plutôt abusé de l'accès légitime d'une entreprise danoise au système CPR. Autrement dit, la porte était ouverte par conception : certaines entreprises privées sont autorisées à interroger le registre à des fins légitimes, et les attaquants auraient trouvé un moyen d'utiliser cette autorisation.

Il s'agit d'un type de risque différent de celui des histoires de failles logicielles qui dominent l'actualité de la sécurité. Lorsqu'une vulnérabilité est exploitée, le correctif est un patch. Lorsqu'un accès légitime est détourné, la faiblesse réside dans les personnes en qui l'on a confiance, dans la manière dont cette confiance est surveillée et dans la rapidité avec laquelle une activité inhabituelle est repérée. Les identifiants ou l'intégration d'un sous-traitant deviennent le maillon faible d'une chaîne qui inclut la base de données gouvernementale elle-même.

C'est aussi un rappel que les organisations qui détiennent des données sensibles font face à une réelle pression réglementaire quant à la manière dont elles les protègent. Les sanctions prévues par la loi indienne DPDP, avec des amendes pouvant atteindre 250 crore ₹, sont un exemple de la façon dont les législateurs tentent d'associer des conséquences financières à une mauvaise gestion des données par les organisations qui les collectent.

Violation de données du CPR danois et limites du VPN : pourquoi le chiffrement ne va pas jusque-là

Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous consultez. C'est utile sur un Wi-Fi public et pour limiter une partie du suivi effectué par votre fournisseur d'accès ou par les sites web. Cela ne pénètre pas dans les bases de données gérées par les gouvernements ou leurs sous-traitants.

Dans ce cas, les données personnelles étaient stockées dans un registre national. Vous ne les avez pas envoyées sur une connexion que vous pouviez protéger ; elles étaient déjà là, liées à votre identité, et partagées avec des organisations disposant d'un accès légal. Aucun outil grand public sur votre téléphone ou votre ordinateur portable ne se place entre cette base de données et un attaquant qui utilise les autorisations d'un tiers de confiance.

Ce n'est pas un argument contre les VPN. C'est un argument pour comprendre leur portée. Un VPN protège les données en transit depuis votre appareil. Il ne peut pas protéger des données que quelqu'un d'autre détient, stocke et auxquelles il accorde l'accès.

Ce que cela signifie pour vous

Si vous vivez au Danemark, surveillez les communications officielles indiquant si vos données ont été affectées, et soyez prudent face aux messages inattendus qui utilisent votre nom, votre adresse ou votre numéro d'identité personnel. Ce type de données est utile pour rendre convaincantes des tentatives d'hameçonnage, puisque l'expéditeur semble savoir qui vous êtes. La montée des arnaques pilotées par l'IA rend cela plus urgent ; une récente enquête sur l'hameçonnage par IA et les deepfakes dépassant les défenses des entreprises montre à quel point les attaques ciblées deviennent convaincantes.

Si vous vivez ailleurs, la leçon s'applique quand même. De nombreux pays tiennent des registres centraux, et de nombreux services vous demandent de fournir des données d'identité. Vous ne pouvez généralement pas vous soustraire à un registre national, mais vous pouvez décider quelle quantité de données supplémentaires vous confiez aux entreprises et aux plateformes.

Ce que les utilisateurs soucieux de leur vie privée peuvent encore contrôler

Vous ne pouvez pas sécuriser la base de données de quelqu'un d'autre, mais vous pouvez réduire la part de votre vie qui se retrouve au même endroit :

  • Partagez moins par défaut. Ne fournissez que les informations dont un service a strictement besoin, et ignorez les champs facultatifs.
  • Réfléchissez à deux fois avant de téléverser une pièce d'identité. Les documents d'identité et les données biométriques sont les données les plus difficiles à remplacer une fois exposées. La violation de données de Mercor, qui a exposé des données biométriques et des documents d'identité, est un cas parallèle de fuite de données sensibles depuis un tiers plutôt que depuis la personne qui les a fournies.
  • Méfiez-vous des obligations de vérification. Des propositions telles que le plan de l'UE sur l'âge minimum pour les réseaux sociaux, qui obligerait les plateformes à vérifier l'âge de leurs utilisateurs, soulèvent la question de la quantité de données d'identité qui finissent dans davantage d'endroits.
  • Traitez les numéros d'identité personnels comme des données sensibles. Ne les partagez pas à la légère, et soyez sceptique envers quiconque vous cite le vôtre comme preuve de légitimité.
  • Vérifiez avant de répondre. Si un message mentionne vos données personnelles, contactez l'organisation par un canal officiel que vous avez trouvé vous-même.

Points clés à retenir

La leçon VPN de la violation de données du CPR danois est simple : un VPN est un bon outil pour protéger votre connexion, mais il ne peut pas protéger les données détenues par les gouvernements et les entreprises qu'ils autorisent. Dans cet incident, la voie d'attaque rapportée était un accès légitime détourné, et non une exploitation technique, et la violation est restée non détectée de septembre au 2 octobre.

Utilisez un VPN là où cela aide, mais limitez aussi ce que vous confiez au départ. Passez en revue les services qui détiennent vos documents d'identité, évitez les téléversements inutiles et restez vigilant face aux messages qui semblent trop bien vous connaître. Moins il y a de données sensibles dans les systèmes tiers, moins il y a à perdre quand l'un d'eux défaillent.