Fuite de données des citoyens du gouvernement bangladais

En juillet 2023, un site web mal configuré exploité par l'Office of the Registrar General, Birth & Death Registration du Bangladesh laissait fuiter les données personnelles de plus de 50 millions de citoyens — l'une des plus vastes expositions de données personnelles détenues par un État dans l'histoire de l'Asie du Sud. Les données n'ont pas été dérobées par un intrus sophistiqué ; elles étaient simplement accessibles à la vue de tous, indexables par Google.

Ce qui s'est passé

Le 27 juin 2023, Viktor Markopoulos, chercheur chez la société sud-africaine Bitcrack Cyber Security, dépannait une erreur SQL et l'a collée dans Google. La base de données bangladaise exposée « est apparue » comme deuxième résultat de recherche. Selon Markopoulos, trouver ces données « était trop facile ».

Le point d'accès défaillant appartenait à un site du gouvernement bangladais relié à l'écosystème d'identité nationale (NID). Les champs exposés comprenaient les noms complets, adresses, numéros de téléphone, adresses e-mail et numéros d'identité nationale des citoyens — exactement la combinaison nécessaire à l'usurpation d'identité et à la fraude financière.

TechCrunch, qui a vérifié et divulgué la fuite le 7 juillet 2023, a délibérément tu le nom du site car les données étaient encore accessibles publiquement au moment de la publication. L'équipe nationale de réponse aux incidents informatiques (CIRT) et le bureau de presse du gouvernement n'ont pas répondu aux demandes de commentaire.

Conséquences

• Les données personnelles de plus de 50 millions de citoyens bangladais ont été exposées — chiffre repris par les médias bangladais et internationaux.
• Comme les données étaient directement liées au système NID, les personnes concernées encouraient un risque durable d'usurpation d'identité, de fraude par échange de carte SIM et d'usurpation, sans possibilité de « renouveler » un numéro d'identité national immuable.
• La fuite résultait d'une défaillance d'infrastructure et de configuration, et non d'une intrusion dans un système durci — ce qui la rendait à la fois embarrassante et, en principe, totalement évitable.

Réponse du gouvernement

Le site a été mis hors ligne vers le 10 juillet 2023. Zunaid Ahmed Palak, alors ministre d'État aux Technologies de l'information et de la communication, a reconnu l'exposition mais a affirmé qu'elle « n'était pas le résultat d'un piratage », l'attribuant plutôt à « des faiblesses de sécurité présentes dans les sites web ». Le gouvernement a ouvert une enquête sur l'ampleur de l'exposition et sur l'organisme partenaire responsable, des dizaines d'agences partageant l'accès aux données des citoyens.

Pourquoi c'est important

Le Bangladesh avait numérisé d'énormes volumes de données citoyennes sans loi mature de protection des données ni socle de sécurité uniforme entre les plus de 170 organisations connectées à la base NID. Cet incident — découvert par hasard plutôt que par un attaquant — a montré comment un seul site partenaire mal configuré peut compromettre les données de toute une population. Il est devenu le cas de référence dans le débat bangladais sur une loi nationale de protection des données et sur un contrôle plus strict de l'accès des tiers aux systèmes d'identité de l'État.