Extorsion de données de 55 millions de citoyens thaïlandais par « 9Near »

Début avril 2023, un pirate utilisant le pseudonyme « 9Near » a menacé de publier les données personnelles de 55 millions de ressortissants thaïlandais — un chiffre équivalant à environ trois quarts de la population de la Thaïlande. L'épisode a déclenché une alerte nationale, un blocage de site web ordonné par la justice et, finalement, la reddition d'un sergent de l'armée comme auteur présumé.

Ce qui s'est passé

Le 31 mars 2023, un site web à l'adresse 9near.org est apparu, affirmant détenir les dossiers personnels de 55 millions de Thaïlandais et menaçant de les divulguer. La revendication a également été publiée sur la place de marché cybercriminelle Breach Forums et amplifiée via Facebook pour attirer l'attention virale.

Les données comprenaient prétendument :

• Noms et prénoms
• Dates de naissance
• Numéros de carte d'identité nationale
• Numéros de téléphone

Le gouvernement thaïlandais a réagi rapidement. Le 1er avril, les autorités ont bloqué 9near.org, et le 3 avril, la Cour pénale a ordonné un blocage formel du site et de tout site republiant des données issues de celui-ci. Le ministère de l'Économie et de la Société numériques a ouvert une enquête.

La source : Mor Prom

Les enquêteurs ont retracé les données jusqu'à Mor Prom, l'application du ministère de la Santé publique lancée pour fournir des services de vaccination contre la COVID-19 et de santé au public. Le pirate présumé, un sergent de l'armée identifié par la suite comme Khemarat Boonchuay, aurait obtenu les dossiers avec l'aide de son épouse, une infirmière disposant d'un accès autorisé au système Mor Prom — ce qui fait en partie de cette affaire un cas d'accès interne plutôt qu'une intrusion à distance.

Dénouement

Après plusieurs semaines de cavale, Khemarat Boonchuay s'est rendu au Bureau d'enquête sur la cybercriminalité le 12 avril 2023, où lui et son épouse ont été interrogés. Les responsables ont déclaré qu'il ne semblait y avoir aucun mobile politique derrière le vol. Ils ont également indiqué que le jeu de données n'avait ni été vendu ni publié avant la fermeture du site, limitant le préjudice réel.

Pourquoi c'est important

L'affaire 9Near est devenue un moment déterminant pour la responsabilité en matière de protection des données en Thaïlande. Elle a porté atteinte à la confiance dans une plateforme de santé gouvernementale phare à la fin de la pandémie, a démontré comment un accès interne peut déjouer les contrôles techniques, et a mis à l'épreuve la nouvelle machinerie d'application de la loi thaïlandaise sur la protection des données personnelles (PDPA), qui venait tout juste d'entrer pleinement en vigueur. La rapidité de la fermeture ordonnée par la justice — et l'identification rapide d'un militaire en service — a signalé un durcissement de la position officielle face à l'extorsion massive de données dans le royaume.