Violation de la division Éducation de la Ville d'Helsinki

Le 2 mai 2024, la Ville d'Helsinki a révélé que sa division Éducation avait subi une violation de données majeure. L'intrusion, attribuée à un serveur d'accès distant non corrigé, figure parmi les plus importantes violations de données personnelles jamais subies par une municipalité finlandaise, touchant finalement élèves, tuteurs et l'ensemble du personnel de la Ville.

Ce qui s'est passé

L'attaquant a obtenu l'accès en exploitant une vulnérabilité connue sur un serveur d'accès distant (VPN) exploité par la division Éducation. Un correctif (hotfix) du fournisseur était déjà disponible pour combler la faille, mais il n'avait pas été installé sur le serveur concerné — une défaillance étonnamment proche d'autres violations marquantes causées par des infrastructures exposées à Internet non corrigées.

Une fois à l'intérieur du réseau de la division Éducation, l'intrus a atteint des disques réseau contenant une large gamme de fichiers. La Ville d'Helsinki a souligné que l'attaquant n'a pas obtenu de mots de passe ni le contenu de comptes de messagerie, mais a bien accédé à un grand volume de données personnelles identifiantes et sensibles.

Impact

• La violation a potentiellement touché plus de 80 000 élèves et leurs tuteurs, ainsi que l'ensemble du personnel de la Ville d'Helsinki — selon certains décomptes, bien plus de 120 000 personnes au total.
• Les données exposées comprenaient les noms d'utilisateur et adresses e-mail de tout le personnel municipal, ainsi que les codes d'identité personnels et adresses des élèves, tuteurs et agents de la division Éducation.
• Plus grave encore, l'attaquant a atteint des disques réseau hébergeant des dossiers sensibles d'aide sociale — incluant des informations sur les frais d'éducation de la petite enfance, le statut d'enfants, les demandes d'aide aux élèves et des dossiers relatifs au besoin de soutien spécialisé d'enfants.
• La Ville n'a signalé aucune utilisation abusive confirmée des données dérobées à ce moment, mais a appelé les personnes concernées à rester vigilantes.

Réponse

La Ville d'Helsinki a notifié le Médiateur finlandais à la protection des données, la police et le Centre national de cybersécurité, et a lancé une campagne d'avis public pour atteindre les groupes concernés. L'Autorité finlandaise d'enquête de sécurité a mené une enquête indépendante, publiant ses conclusions sur les défaillances ayant permis la violation.

Pourquoi c'est important

La violation de la division Éducation d'Helsinki est un avertissement sur la gestion des correctifs dans le secteur public. Un seul serveur VPN non corrigé a exposé les dossiers les plus sensibles que détient une municipalité — des données sur des enfants vulnérables et leurs familles. Elle a renforcé, à l'échelon des collectivités locales, la même leçon qu'Equifax avait enseignée à l'échelle de l'entreprise : les vulnérabilités connues et corrigeables sur les systèmes exposés à Internet constituent la voie la plus courante et la plus évitable vers une compromission catastrophique.