Fuite de données BPJS Kesehatan

En mai 2021, un vendeur sur la place de marché de piratage RaidForums a mis en vente une base de données contenant les enregistrements personnels d'environ 279 millions d'Indonésiens — un chiffre supérieur aux quelque 270 millions d'habitants vivants du pays, ce qui implique que le lot comprenait des personnes décédées et des doublons. Les données ont été rattachées à BPJS Kesehatan, l'administrateur national de l'assurance maladie indonésienne, ce qui en fait l'une des plus importantes expositions de données personnelles jamais enregistrées en Asie du Sud-Est.

Ce qui s'est passé

Le 12 mai 2021, un compte RaidForums utilisant le pseudonyme « Kotz » a publié une offre de vente de l'ensemble du jeu de données pour 2 bitcoins (environ 74 000 dollars à l'époque), et a publié un échantillon gratuit d'environ 1 million d'enregistrements pour en prouver l'authenticité. Les chercheurs ayant examiné l'échantillon l'ont jugé cohérent avec les registres d'affiliés de BPJS Kesehatan.

Les champs exposés comprenaient des noms complets, des numéros d'identité nationale (NIK), des détails de cartes d'identité, des adresses de domicile, des numéros de téléphone, des adresses e-mail, des dates et lieux de naissance et — pour certains enregistrements — des informations salariales. L'affiliation à BPJS étant de fait obligatoire pour les résidents indonésiens, la fuite a touché la quasi-totalité de la population.

Impact

• Environ 279 millions d'enregistrements ont été mis en vente, incluant des données sur des citoyens vivants et décédés.
• La combinaison exposée de numéros NIK, d'adresses et de coordonnées a créé un large risque d'usurpation d'identité, de fraude par échange de carte SIM et d'hameçonnage ciblé.
• Les enquêteurs ont déterminé que les données avaient probablement été exfiltrées via un accès compromis plutôt que par une perturbation par chiffrement ; les services de BPJS sont restés opérationnels.

Réponse des autorités

Le ministère de la Communication et de l'Information (Kominfo) a confirmé que la fuite provenait de données de BPJS et a entrepris de bloquer l'accès au forum et de retirer les miroirs de téléchargement hébergés sur des services de stockage cloud. Le Kominfo s'est coordonné avec BPJS Kesehatan et l'Agence nationale de cybersécurité et de cryptographie (BSSN) pour mener une enquête. Les dirigeants de BPJS ont été convoqués par les parlementaires, et les responsables ont publiquement reconnu que les protections des données en Indonésie étaient inadéquates.

Pourquoi c'est important

La fuite BPJS Kesehatan est devenue l'exemple emblématique de la faiblesse du régime de gouvernance des données en Indonésie avant l'adoption, en 2022, de sa loi sur la protection des données personnelles (loi PDP). En l'absence d'un texte exhaustif sur la vie privée à l'époque, ni l'agence ni le gouvernement n'ont fait l'objet de sanctions légales, et aucun individu n'a jamais été tenu responsable. L'incident — aux côtés des expositions contemporaines eHAC et PeduliLindungi — a alimenté une pression publique et parlementaire durable qui a finalement produit la première loi omnibus de protection des données de l'Indonésie.