Fuite de la base de données électorale de la COMELEC (« Comeleak »)

Le 27 mars 2016, des pirates ont défiguré le site web de la Commission électorale des Philippines (COMELEC) et, en quelques heures, ont publié en ligne l'intégralité de sa base de données d'inscription des électeurs. L'exposition des données personnelles d'environ 55 millions d'électeurs inscrits — six semaines avant une élection nationale — est devenue connue sous le nom de « Comeleak » et figure parmi les plus grandes fuites de données gouvernementales de l'histoire.

Ce qui s'est passé

Deux groupes étaient impliqués. Anonymous Philippines a défiguré la page d'accueil de la COMELEC, y laissant un message exigeant une sécurité renforcée pour les machines de comptage des votes destinées à l'élection générale du 9 mai 2016. Quelques heures plus tard, un second groupe, LulzSec Pilipinas, a publié l'intégralité de la base de données — environ 340 gigaoctets — sur un miroir public.

Les enquêteurs ont établi par la suite que le membre de LulzSec Joenel de Asis avait téléchargé la base de données le 22 mars, cinq jours avant la défiguration, en exploitant la faible sécurité de l'infrastructure web de la COMELEC.

Données exposées

Les dossiers divulgués contenaient :

• Noms complets, dates de naissance, adresses postales et électroniques
• Noms complets des parents
• 15,8 millions d'empreintes digitales
• Numéros de passeport et dates d'expiration de 1,3 million d'électeurs expatriés (OFW)

Les données biométriques et de passeport ont rendu la fuite bien plus dommageable qu'une exposition classique de listes électorales, créant un risque durable de vol d'identité et de fraude pour des dizaines de millions de Philippins.

Arrestations et poursuites

Le Bureau national d'investigation a agi rapidement. Paul Biteng, un diplômé en informatique de 20 ans lié à Anonymous Philippines, a été arrêté le 20 avril 2016 et a admis la défiguration tout en niant son implication dans la fuite. Joenel de Asis, un dirigeant de 23 ans de LulzSec Pilipinas, a été arrêté le 28 avril et a admis avoir téléchargé et divulgué la base de données.

Conséquences réglementaires

Dans une décision marquante du 28 décembre 2016, la Commission nationale de la protection des données (NPC) a conclu que la COMELEC avait enfreint la loi sur la protection des données de 2012 par des garanties inadéquates, et a recommandé des poursuites pénales contre le président de la COMELEC, Andres Bautista, pour négligence. Il s'agissait de la première action coercitive majeure de la NPC, établissant un précédent selon lequel les dirigeants d'agences pouvaient être tenus personnellement responsables des manquements à la protection des données.

Pourquoi c'est important

Comeleak est la fuite gouvernementale emblématique des Philippines : une exposition quasi totale des données personnelles et biométriques de l'électorat national à la veille d'une élection présidentielle. Elle a catalysé l'application de la loi sur la protection des données, établi la responsabilité personnelle des agents publics et demeure un avertissement mondial sur la concentration de données d'identité et biométriques sensibles dans les systèmes électoraux.