Un registre national, une porte latérale
Le registre central de la population danois, le CPR, a subi une fuite massive. Environ 8,8 millions de personnes sont concernées. Le pays compte autour de 6 millions d'habitants. L'écart s'explique par le contenu du registre, qui conserve aussi les personnes expatriées et décédées, soit environ 11 millions d'individus. Noms, adresses et numéros CPR font partie des données exposées.
Le registre n'a pas été attaqué de front. Les attaquants ont détourné l'accès légitime d'une entreprise privée autorisée à le consulter, puis utilisé la force brute pour énumérer des numéros CPR valides et extraire les données associées. Incident survenu en septembre. Découvert le 2 octobre.
La conservation comme multiplicateur
Premier enseignement, souvent sous-estimé : le volume de données conservées détermine l'ampleur d'une fuite. Un registre qui garde durablement des personnes décédées ou parties à l'étranger expose mécaniquement bien plus que sa population active. Ça vaut pour n'importe quelle base client ou RH qui n'a jamais été purgée.
Les accès tiers, angle mort de la gouvernance des données
Second enseignement. Un partenaire disposant d'un accès autorisé devient une surface d'attaque aussi critique que le système lui-même. Que des requêtes d'énumération massives aient pu passer sans alerte pose deux questions concrètes : les volumes de requêtes étaient-ils plafonnés, et quelqu'un surveillait-il le comportement des accès partenaires ?
Dans beaucoup d'organisations, ces accès API ont été ouverts pour un projet, puis oubliés. Ils échappent aux revues d'habilitations et leurs journaux ne sont pas exploités.
Reprendre la main sur les flux sortants
Une gouvernance des données réaliste passe par un inventaire des accès tiers aux bases critiques, un quota par partenaire et une alerte dès qu'un volume inhabituel est extrait. Les mesures ne sont pas coûteuses. Elles supposent simplement de savoir qui accède à quoi. Au Danemark, l'accès de l'entreprise a été coupé. Après coup.
