Une fuite de données d'un bot Telegram de recherche de personnes a mis les informations personnelles de Biélorusses ayant utilisé un service public de recours à la portée de quiconque dispose d'un téléphone. Selon la publication Zerkalo, comme le rapporte Nasha Niva, les données des personnes enregistrées dans le service Obrashcheniya.bel sont devenues accessibles via le populaire bot Telegram Sherlock, utilisé pour rechercher des informations personnelles.
Le texte source dont nous disposons est bref, ce billet s'en tient donc à ce qui a été rapporté et explique pourquoi ce schéma est important.
Ce qui a fuité d'Obrashcheniya.bel
Obrashcheniya.bel est un service d'interaction électronique avec les organes de l'État. Les citoyens l'utilisent pour soumettre des recours aux institutions gouvernementales. Selon le rapport, les données personnelles des personnes enregistrées dans ce service sont devenues accessibles via Sherlock.
Le reportage ne détaille pas, dans la partie dont nous disposons, exactement quels champs ont été exposés, comment les données ont quitté la plateforme, ni combien de comptes sont concernés. Nous n'allons pas spéculer sur ces points. Ce qui est clair, c'est que des enregistrements liés à une plateforme gouvernementale se sont retrouvés dans un outil ouvert aux utilisateurs ordinaires de Telegram.
Ce détail est au cœur de l'affaire. Un service public collecte des données dans un but précis : traiter un recours. Une fois que ces mêmes enregistrements apparaissent dans un outil de recherche généraliste, ils servent un public bien plus large, et les personnes concernées n'ont aucun mot à dire sur qui les recherche.
Comment le bot Sherlock a rendu les données consultables
Les bots de recherche de personnes sur Telegram fonctionnent comme un moteur de recherche pour les dossiers personnels. Un utilisateur saisit un nom, un numéro de téléphone ou un autre identifiant, et le bot renvoie toute information correspondante que ses opérateurs ont collectée. Les données proviennent généralement de nombreuses sources, y compris des bases de données fuitées, et sont fusionnées en un index pratique.
C'est ce qui rend une fuite plus dommageable avec le temps. Un vidage brut de données est difficile à utiliser. Il peut nécessiter des compétences techniques pour le télécharger, l'ouvrir et l'interroger. Un bot supprime cette barrière. N'importe qui peut lancer une recherche en quelques secondes, sans autre outil qu'une fenêtre de chat. En pratique, le bot transforme une fuite en service public pour quiconque veut trouver une personne précise.
Selon le rapport, les données d'Obrashcheniya.bel sont devenues consultables de cette manière. Une fois que des enregistrements se trouvent dans un tel index, les supprimer à la source ne les retire pas nécessairement du bot, car des copies ont pu déjà être collectées.
Qui est exposé et quels sont les risques
Le titre du rapport original note que des propagandistes bien connus figuraient parmi les personnes exposées. C'est un rappel que ce type de fuite ne fait pas de distinction. Les citoyens ordinaires qui ont déposé des recours de routine se trouvent dans le même index consultable que des personnalités publiques de premier plan.
Pour la plupart des gens, les risques pratiques sont bien connus :
- Hameçonnage ciblé et arnaques. Les attaquants qui connaissent votre nom et vos informations issues d'un service public peuvent élaborer des messages convaincants qui semblent provenir d'un organisme officiel.
- Doxxing et harcèlement. Des données personnelles consultables facilitent la localisation ou la pression exercée sur une personne par quelqu'un animé de rancune.
- Profilage. Des enregistrements liés à une plateforme étatique peuvent révéler qu'une personne a contacté les autorités, ce qui peut être sensible en soi selon le contexte.
Nous soulignons qu'il s'agit de risques généraux liés à des données personnelles exposées, et non d'incidents confirmés liés à cette fuite spécifique.
Ce schéma n'est pas propre à la Biélorussie. Une fois que des enregistrements quittent le système source, ils tendent à circuler largement, comme le montre notre couverture de la fuite Maxia Latam qui aurait exposé des données du CSS du Panama, où des données revendiquées provenant d'un fournisseur de services ont refait surface dans des annonces souterraines.
Comment vérifier et limiter votre exposition
Vous ne pouvez pas corriger vous-même une fuite sur une plateforme gouvernementale, mais vous pouvez réduire les dégâts.
- Recherchez-vous. Cherchez votre nom, votre adresse e-mail et votre numéro de téléphone dans les moteurs de recherche et les services de notification de fuites pour voir où ils apparaissent.
- Changez et séparez vos identifiants. Si vous avez utilisé sur un portail gouvernemental un mot de passe que vous réutilisez ailleurs, remplacez-le partout et utilisez un gestionnaire de mots de passe pour que chacun soit unique.
- Activez l'authentification à deux facteurs sur vos comptes e-mail et de messagerie, car ce sont les cibles habituelles après une fuite.
- Traitez tout contact inattendu avec méfiance. Les messages qui citent vos informations personnelles ne prouvent pas leur légitimité. Vérifiez via un canal officiel que vous trouvez par vous-même.
- Limitez ce que vous partagez. Ne fournissez que les informations qu'un service exige et évitez d'ajouter des détails superflus dans les formulaires de recours.
- Ajustez les paramètres de confidentialité de Telegram. Restreignez qui peut voir votre numéro de téléphone et les détails de votre profil.
Un VPN masque votre trafic à votre réseau et dissimule votre adresse IP, mais il ne supprime pas les données déjà collectées et indexées. C'est une couche de confidentialité, pas une solution à ce type d'exposition.
Ce que cela signifie pour vous
Si vous êtes enregistré sur Obrashcheniya.bel, partez du principe que vos informations peuvent être consultables et agissez en conséquence : renforcez la sécurité de vos comptes et méfiez-vous des messages sur mesure. Si vous ne l'êtes pas, la leçon s'applique quand même. Tout service qui détient vos données peut devenir le point de départ d'un dossier consultable, et les outils de recherche de personnes qui les agrègent échappent à votre contrôle.
À retenir
- Vérifiez ce qui est trouvable à votre sujet dans les outils de recherche de personnes et les listes de fuites, et répétez la vérification périodiquement.
- Utilisez des mots de passe uniques et l'authentification à deux facteurs partout.
- Soyez sceptique face aux messages qui en savent trop sur vous.
- Lisez notre couverture de la fuite Maxia Latam pour un autre exemple de la façon dont les enregistrements fuités circulent une fois qu'ils quittent le système source.
La fuite de données du bot Telegram de recherche de personnes liée à Obrashcheniya.bel est un exemple clair de pourquoi l'hygiène des données personnelles compte. Vous ne pouvez pas contrôler toutes les bases de données qui détiennent vos informations, mais vous pouvez rendre ce qui fuit bien moins utile à quiconque les trouve.
