Etats-Unis : un vol de données de fonctionnaires pire qu’estimé

Récemment, on apprenait que les données personnelles de 4 millions de fonctionnaires américains ont été dérobées à l’occasion d’un important piratage du système d’information de l’administration locale en charge de ces personnels – leur paie, leur formation, ou encore leur retraite –, le bureau de gestion du personnel (OPM). Un piratage découvert par hasard, à l’occasion d’une démonstration produit, et qui se serait étalé sur plusieurs mois.

Mais voilà, certaines données particulièrement sensibles semblent avoir été dérobées au passage. Selon une déclaration de la Maison Blanche, des enregistrements du formulaire 86 ont ainsi été volés : ce formulaire doit être rempli par les personnes postulant pour un poste lié à la sécurité nationale ; les informations qu’il contient sont ensuite vérifiées. Pour Joel Brenner, ancien du renseignement américain cité par nos confrères d’Associated Press, ces données « sont une mine d’or. Cela vous aide à approcher et recruter des espions ».Et selon nos confrères, « presque tous les millions de détenteurs d’une habilitation de sécurité, y compris certains à la CIA, à la NSA et des personnels militaires ses opérations spéciales, sont potentiellement exposés ».

Mais le vol de données à l’OPM devrait concerner bien plus que 4 millions de personnes : les estimations vont désormais de 9 à 14 millions de personnes concernées.

La Maison Blanche n’a de son côté pas manqué de réagir, exigeant des mesures d’urgence qui tendent à montrer que souffle désormais un certain vent de panique de l’autre côté de l’Atlantique. La présidence américaine demande ainsi que soient déployés « immédiatement » des indicateurs de compromission, que les vulnérabilités critiques connues soient corrigées « sans délai », qu’un contrôle plus étroit soit exercé sur les comptes des utilisateurs à privilèges, et que soit enfin accéléré le déploiement de l’authentification à facteurs multiples. A charge pour toutes les agences fédérales de rapporter sur leurs progrès et sur leurs difficultés sous 30 jours.

Un délai à laisser les bras ballants n’importe quel RSSI compte tenu de l’ampleur de la tâche si l’on part de zéro. Et la situation de l’OPM laisse à craindre que certaines agences américaines partent effectivement d’une feuille blanche, ou presque.