Exposition de la base de données Aadhaar

En janvier 2018, des journalistes de Tribune India ont démontré que, pour 500 roupies indiennes (environ 8 USD) et une conversation WhatsApp de 10 minutes, n'importe qui pouvait obtenir des identifiants fonctionnels donnant accès à un portail de la Unique Identification Authority of India (UIDAI) restituant des dossiers personnels complets indexés sur n'importe lequel des environ 1,1 milliard de numéros Aadhaar du pays.

La révélation est intervenue au milieu d'une contestation constitutionnelle en cours visant Aadhaar lui-même et a forcé une remise en question nationale de l'infrastructure d'identité biométrique de l'Inde.

Ce qui s'est passé

Aadhaar est le programme national d'identité biométrique de l'Inde — à l'époque le plus grand au monde, couvrant environ 1,1 milliard de résidents avec des relevés d'empreintes digitales et d'iris liés à un numéro d'identification à 12 chiffres. Aadhaar est requis pour la déclaration d'impôts, la distribution de l'aide sociale, l'enregistrement des cartes SIM de téléphonie mobile (à l'époque) et l'ouverture de comptes bancaires. Le rattachement d'Aadhaar à ces systèmes fait de la base de données la primitive d'identité universelle de l'État indien.

La reporter de Tribune India Rachna Khaira a enquêté sur des signalements clandestins indiquant que des dossiers Aadhaar étaient disponibles à l'achat. Le déroulement de l'enquête :

• Khaira a contacté un vendeur via un groupe Telegram / WhatsApp circulant dans la communauté du carding.
• A payé 500 roupies (environ 8 USD) via Paytm.
• A reçu en 10 minutes des identifiants de connexion fonctionnels à un portail de l'UIDAI.
• A utilisé ces identifiants pour interroger n'importe quel numéro Aadhaar à 12 chiffres et recevoir en réponse : nom, adresse, date de naissance, sexe, numéro de téléphone, e-mail, photographie, ainsi que l'intégralité du profil rattaché à cet identifiant.

Pour 300 roupies supplémentaires (environ 5 USD), le vendeur proposait un logiciel produisant des cartes Aadhaar imprimables à partir des données interrogées.

Le mécanisme semble avoir été un abus d'initié : l'UIDAI avait distribué des identifiants de portail à des milliers d'opérateurs d'enrôlement et d'agents autorisés à travers l'Inde pour les travaux légitimes d'enrôlement biométrique. Certains de ces opérateurs avaient revendu leurs identifiants sur le marché criminel — ce qui signifie que la violation n'était pas un point d'intrusion unique mais un problème distribué d'abus d'initié affectant le modèle de contrôle d'accès lui-même.

Conséquences

La réaction publique initiale de l'UIDAI a consisté à nier la violation et à déposer une plainte pénale (First Information Report) contre Khaira et le journal Tribune pour leur travail journalistique. L'attention de la presse internationale et le tollé éditorial ont forcé un revirement partiel — la FIR a été restreinte au vendeur et aux intermédiaires plutôt qu'aux journalistes, mais la posture de menace contre la presse est devenue partie intégrante de la mémoire publique de l'incident.

Le gouvernement indien et l'UIDAI ont par la suite :

• Révoqué les identifiants des opérateurs d'enrôlement pour des milliers d'agents.
• Introduit de nouveaux mécanismes de contrôle d'accès exigeant une authentification biométrique pour chaque requête sur le portail.
• Imposé une journalisation d'audit sur les requêtes des opérateurs.

L'affaire constitutionnelle Justice K.S. Puttaswamy v. Union of India a culminé en septembre 2018 avec la Cour suprême indienne confirmant la constitutionnalité d'Aadhaar pour les programmes d'aide sociale de l'État mais invalidant le rattachement obligatoire aux services privés (télécoms, banques). L'arrêt rendu à 5 voix contre 0 a explicitement cité la révélation de Tribune et les préoccupations plus larges de sécurité d'Aadhaar comme motivant ces restrictions.

Dossiers exposés

Le périmètre exact est difficile à délimiter, car la violation était une vente d'accès et non une exfiltration de masse unique. Concrètement, n'importe lequel des 1,1 milliard de dossiers Aadhaar pouvait être interrogé moyennant le paiement d'identifiants. L'UIDAI affirme qu'aucune extraction massive de la base de données n'a eu lieu et que les gabarits biométriques d'empreintes digitales / d'iris n'ont pas été exposés — seulement les données démographiques et de contact.

Le chiffre de 1,1 milliard dans cette fiche reflète le périmètre de l'exposition, et non le nombre de dossiers réellement interrogés, qui est inconnaissable.

Pourquoi c'est important

Aadhaar est le cas emblématique des systèmes nationaux d'identité biométrique et du risque d'initié distribué. Il a établi :

• Que les systèmes d'identité à l'échelle du milliard de dossiers nécessitent une architecture de contrôle d'accès fondamentalement différente de celle des bases de données d'entreprise. Le modèle de distribution d'identifiants qui fonctionnait pour l'enrôlement n'a pas survécu au contact avec les marchés criminels.
• Que l'abus d'initié par revente d'identifiants à faible valeur peut produire une exposition à l'échelle d'une violation sans aucun « piratage » au sens conventionnel.
• Que l'interaction entre le rattachement d'identité imposé par l'État et l'exposition nationale aux violations constitue un enjeu de politique publique de premier ordre. La restriction par la Cour suprême du rattachement d'Aadhaar au secteur privé en a été une conséquence directe.
• Que menacer les journalistes de plaintes pénales pour le signalement de violations est une réponse contre-productive de l'État. L'épisode Tribune-FIR est désormais un cas de référence dans l'analyse de la liberté de la presse appliquée à la divulgation en cybersécurité.

L'incident Aadhaar a catalysé le Digital Personal Data Protection Act (DPDPA) de l'Inde, adopté en 2023, qui fournit le premier cadre complet de protection des données pour les résidents indiens et inclut des dispositions spécifiques relatives aux opérateurs de systèmes d'identité.