Fuite de l'Agence nationale des recettes de Bulgarie

Le 15 juillet 2019, un pirate anonyme a envoyé aux rédactions bulgares un trésor de données dérobées à la National Revenue Agency (NAP), l'administration fiscale du pays. La fuite — confirmée par la suite comme couvrant 6 074 140 personnes — a exposé les dossiers de la quasi-totalité de la population adulte bulgare, ce qui en fait la plus grande violation de données de l'histoire du pays.

Ce qui s'est passé

L'intrusion a débuté en juin 2019, lorsque l'attaquant a découvert et exploité une vulnérabilité d'injection SQL dans un service en ligne peu utilisé de remboursement de TVA. L'injection SQL — qui consiste à transmettre des entrées conçues pour que l'application les exécute comme des commandes de base de données — a permis à l'attaquant de lire directement les bases de données dorsales de la NAP sans aucun accès privilégié. Sur une période prolongée, l'attaquant a téléchargé des dizaines de tables.

Le 15 juillet, le pirate a envoyé aux médias bulgares des fichiers échantillons et un message raillant l'état de la cybersécurité bulgare, affirmant détenir plus de 110 dossiers et environ 21 gigaoctets de données. Près de 11 Go répartis en 57 dossiers ont circulé publiquement. La NAP a confirmé l'authenticité des données le lendemain.

Impact

• Les données divulguées comprenaient noms complets, numéros d'identité nationaux, adresses, données de revenus et fiscales, cotisations de sécurité sociale et de retraite, paiements liés à la santé, ainsi qu'un registre d'utilisateurs de jeux d'argent en ligne — couvrant la période de 2007 à mi-2019.
• L'enquête de la CPDP a établi que les données de 6 074 140 personnes avaient été compromises : environ 4,1 millions de personnes vivantes (citoyens bulgares et étrangers) et 1,96 million de personnes décédées.
• Dans un pays d'environ 7 millions d'habitants, cela représentait presque chaque adulte vivant.

Enquête et sanction

La police bulgare a arrêté Kristian Boykov, un testeur d'intrusion de 20 ans employé par une société de cybersécurité locale, le lendemain de la fuite. Il a nié toute implication et a été libéré quelques jours plus tard ; le dossier de l'accusation n'a jamais abouti à une condamnation, et le véritable auteur reste officiellement non confirmé.

Le régulateur de la protection des données, la CPDP, a infligé à la NAP une amende de 5,1 millions de BGN (environ 2,6 millions d'EUR) le 29 août 2019 pour ne pas avoir mis en œuvre de garanties techniques et organisationnelles adéquates — l'une des plus lourdes sanctions RGPD de l'UE à l'époque. Les tribunaux bulgares ont par la suite confirmé l'amende.

Pourquoi c'est important

La fuite de la NAP est un exemple type d'une faille unique au niveau applicatif se transformant en exposition à l'échelle nationale. Une vulnérabilité web qu'une revue de code de routine ou un pare-feu applicatif aurait dû détecter a au contraire exposé les dossiers fiscaux et d'identité de toute une nation. Elle est devenue le cas de référence dans les débats de l'UE — y compris une question parlementaire européenne formelle — sur la question de savoir si les administrations des États membres détenant des données citoyennes obligatoires respectaient leurs obligations de sécurité au titre du RGPD.