Le ministère des Affaires étrangères de la Corée du Sud enquête sur la fuite en ligne de données de passeport appartenant au président Lee Jae Myung, à la première dame Kim Hea Kyung et à 166 passagers de l'avion présidentiel. Selon le ministère, la divulgation pourrait être une fuite interne. Cette affaire rappelle utilement qu'une fuite de données de passeport ne commence pas toujours par un pirate externe, et que les personnes qui manipulent vos documents comptent autant que les systèmes qui les stockent.

Ce que nous savons de la fuite de données de passeport

Les faits disponibles à ce stade sont limités. Le ministère des Affaires étrangères enquête sur la publication en ligne de données de passeport du président, de la première dame et de 166 personnes ayant voyagé à bord de l'avion présidentiel. Le ministère a indiqué que la fuite pourrait provenir de l'intérieur, plutôt que d'une intrusion externe. Aucun autre détail n'a été fourni dans le résumé que nous avons examiné, de sorte que les questions sur la manière dont les données ont été exposées, où elles sont apparues et qui pourrait en être responsable restent ouvertes.

Il convient d'être prudent ici. Une « fuite interne » est une hypothèse de travail en cours d'enquête, et non une conclusion. Tant que le ministère ne publiera pas plus d'informations, toute affirmation sur les motivations, la méthode ou l'ampleur relèverait de la spéculation.

Pourquoi les fuites internes sont difficiles à prévenir

La plupart des discussions sur la sécurité se concentrent sur les attaquants qui s'introduisent de l'extérieur : rançongiciels, hameçonnage, identifiants volés. Les incidents internes fonctionnent différemment. La personne impliquée dispose déjà d'un accès légitime, de sorte que les pare-feu et le chiffrement en périphérie ne font guère pour l'arrêter. Cet accès peut être utilisé délibérément, ou les données peuvent être mal manipulées par accident, par exemple via un courriel mal adressé, un dossier partagé non sécurisé ou un fichier copié sur un appareil personnel.

Les données de passeport sont particulièrement sensibles car elles regroupent plusieurs identifiants au même endroit : nom complet, date de naissance, nationalité, numéro de document et photo. Ensemble, ils peuvent faciliter la fraude à l'identité, les tentatives de prise de contrôle de comptes et un ingénierie sociale convaincante. Les manifestes de voyage ajoutent une couche supplémentaire, puisqu'ils révèlent qui a voyagé ensemble et quand.

Le schéma de perturbation des systèmes gouvernementaux sensibles n'est pas propre à un seul pays. Notre couverture de l'attaque par rançongiciel contre le ministère de la Justice de Colombie montre une voie différente vers un problème similaire : les institutions publiques détiennent de grandes quantités de données personnelles, et les défaillances en leur sein peuvent se répercuter sur de nombreuses personnes.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont pas chefs d'État, mais les leçons s'appliquent à quiconque remet une copie de passeport à un employeur, une agence de voyage, un hôtel, un service de visa ou un organisateur d'événements. Vous ne pouvez généralement pas contrôler la manière dont ces organisations protègent vos données, mais vous pouvez contrôler ce que vous leur donnez et la façon dont vous réagissez en cas de problème.

  • Limitez les destinataires d'une copie. Demandez si un scan est réellement nécessaire, ou si l'organisation peut simplement consulter l'original en personne.
  • Partagez le minimum. Si une photocopie est requise, demandez si certains champs peuvent être masqués, et envisagez d'ajouter une mention datée telle que « pour l'enregistrement à l'hôtel uniquement ».
  • Utilisez des canaux sécurisés. Évitez d'envoyer des images de passeport par courriel ordinaire ou par applications de messagerie lorsqu'un portail de téléversement sécurisé est disponible. Un VPN peut protéger votre connexion sur un Wi-Fi public, mais il ne protège pas les données une fois qu'elles se trouvent sur le serveur de quelqu'un d'autre.
  • Supprimez vos propres copies. Les anciens scans dans les fils de courriels, les dossiers cloud et les galeries de téléphones sont des cibles faciles. Supprimez-les lorsqu'ils ne sont plus nécessaires.
  • Renseignez-vous sur la conservation. Vous pouvez demander aux organisations combien de temps elles conservent les données de votre document et qui peut y accéder.

Que faire si vos données de passeport sont exposées

Si l'on vous informe que vos données de passeport font partie d'une fuite, agissez méthodiquement plutôt que dans la panique.

  1. Confirmez que l'avis est authentique. Contactez l'organisation par un canal officiel que vous trouvez vous-même, et non via des liens contenus dans un message inattendu.
  2. Contactez votre autorité de délivrance des passeports. Demandez si le document doit être signalé ou remplacé, et quelle est la procédure dans votre pays.
  3. Surveillez les usages abusifs. Surveillez les comptes bancaires, les rapports de crédit lorsqu'ils existent, et tout compte gouvernemental ou de voyage pour détecter des activités que vous ne reconnaissez pas.
  4. Attendez-vous à des arnaques de suivi. Les données fuitées alimentent souvent des hameçonnages qui citent des détails réels pour paraître crédibles. Traitez avec méfiance les appels et messages non sollicités concernant vos voyages ou votre identité.
  5. Renforcez vos comptes. Utilisez des mots de passe uniques et l'authentification multifacteur sur vos comptes de courriel et de voyage, car ce sont des voies de récupération courantes pour les attaquants.
  6. Envisagez un gel de crédit si votre pays en propose un et que vous constatez des signes d'usage abusif de votre identité.

Points clés à retenir

L'enquête sud-coréenne est encore en cours, et les détails peuvent évoluer à mesure que le ministère des Affaires étrangères communique davantage. Ce qui est déjà clair, c'est que des données d'identité sensibles peuvent fuiter de l'intérieur d'une organisation tout aussi facilement que lors d'une attaque externe. La meilleure réponse pour les particuliers est pratique : partagez les données de passeport avec parcimonie, supprimez les copies dont vous n'avez plus besoin, surveillez les signes d'usage abusif de votre identité et connaissez vos prochaines étapes avant qu'un avis n'arrive. Prendre quelques minutes dès maintenant pour vérifier où sont stockés vos scans de passeport est un moyen simple de réduire votre exposition si la prochaine fuite de données de passeport implique quelqu'un à qui vous avez confié vos documents.