« C’est un désastre ». C’est ainsi qu’a qualifié le Premier ministre suédois la fuite de données qui a frappé l’agence des transports de Suède (Swedish Transport Agency, STA). Effectivement, des milliers de données ont été exposées : il s’agit de données personnelles de militaires (unités d’élite, pilotes de combat, etc.), des permis de conduire, informations liées aux citoyens, véhicules de l’armée et de la police mais aussi sur certains programmes de protection de témoins. Un désastre, si ce n’est une catastrophe.
Le Premier ministre suédois, Stefan Lofven.
Comment un gouvernement a-t-il pu laisser aussi facilement de telles données s’échapper dans la nature ? La réponse tient en trois mots : réduction des coûts. En 2015, la STA externalise la maintenance de ses bases de données à IBM dans des centres situés en Europe de l’Est, en République Tchèque. Les employés avaient alors un accès complet aux bases de données concernées ainsi qu’aux logs, comme le rapporte le journal local Dagens Nyheter qui a eu accès aux documents de la police. Nos confrères expliquent vaguement qu’une autre entreprise, NCR établie en Serbie, était quant à elle sensée s’occuper de la sécurité et des communications.
Chercher les coupables
« C’est un fait que la sécurité n’a pas été prise au sérieux. Cela signifie que la Suède n’a pas testé la loyauté des prestataires, ni si elle pouvait leur faire confiance. Dans le cas de la Serbie, il y a des relations très étroites avec les services d’intelligence russes. Dans le pire des scénarios, on peut imaginer qu’un accès [aux données suédoises] leur a été donné », commente un expert de la sécurité au journal The Local.
En tâche de fond, on comprend que cette externalisation a été réalisée dans l’urgence, à un moment où la STA faisait face à des contraintes budgétaires. De son côté, IBM Suède a refusé de commenter pour le moment. Mais la médiatisation de l’affaire pourrait la pousser à sortir de son silence. L’ex-directrice de la STA Maria Ågren, débarquée dans d’opaques conditions en janvier dernier, a été condamnée à une amende de 8 500 dollars le mois dernier pour « négligence avec des informations secrètes ». « Soyons clairs : si un citoyen lambda avait été à l’origine de cette fuite de données, ce serait la prison à vie », a quant à lui commenté Rick Falkvinge, directeur du Parti Pirate suédois.