Attaque DDoS d'Anonymous Sudan contre eCitizen

À partir du 23 juillet 2023, le groupe hacktiviste pro-russe Anonymous Sudan a lancé une campagne soutenue de déni de service distribué (DDoS) contre eCitizen, le portail unifié à travers lequel le gouvernement kényan venait de regrouper environ 5 000 services publics. En quelques jours, des Kényans ordinaires se sont retrouvés incapables de payer leur électricité, de transférer de l'argent ou de demander des documents de voyage.

Ce qui s'est passé

Quelques semaines plus tôt, le Kenya avait fait transiter des milliers de services gouvernementaux — et leurs paiements — par une passerelle eCitizen unique. Cette consolidation rendait le portail extrêmement pratique et en faisait un point unique de défaillance. Anonymous Sudan a exploité précisément cela, inondant la plateforme de ce que le ministre des TIC Eliud Owalo a décrit comme des « requêtes extraordinaires » destinées à submerger et engorger le système.

L'attaque s'est propagée bien au-delà d'eCitizen. Les services touchés comprenaient, selon les rapports :

• M-Pesa, l'épine dorsale de l'argent mobile exploitée par Safaricom, avec des transferts banque-vers-portefeuille et des transactions USSD défaillants par intermittence.
• L'achat de jetons d'électricité Kenya Power, empêchant les ménages de recharger leurs compteurs prépayés.
• Le traitement des visas et de l'immigration, déclenchant des mesures d'urgence de visa à l'arrivée.
• La billetterie ferroviaire, l'enregistrement des entreprises, des sites universitaires et hospitaliers, ainsi que de grands médias.

Réponse du gouvernement

Les équipes techniques kényanes ont bloqué les adresses IP sources incriminées, même si des perturbations intermittentes ont persisté plusieurs jours. Owalo a publiquement confirmé qu'aucune donnée n'avait été consultée ou volée — cohérent avec un DDoS, qui submerge la disponibilité plutôt que de violer la confidentialité. Le gouvernement a présenté l'incident comme une défaillance de résilience à corriger, et non comme une fuite de données.

Attribution et motif

Anonymous Sudan a affirmé que la campagne était une représaille à des déclarations kényanes qui, selon lui, mettaient en doute la souveraineté du gouvernement du Soudan, dans le contexte du rôle de médiation de Nairobi dans la guerre civile soudanaise. Les chercheurs en sécurité estiment largement que, malgré son nom et sa cause affichée, le groupe opère comme une structure pro-russe liée à des réseaux hacktivistes plus larges alignés sur le Kremlin, spécialisée dans des attaques DDoS perturbatrices et peu sophistiquées contre les alliés occidentaux et leurs partenaires.

Pourquoi c'est important

L'attaque contre eCitizen est une mise en garde sur la centralisation du gouvernement numérique. Faire transiter 5 000 services et leurs canaux de paiement par un seul portail a apporté de l'efficacité, mais a créé une cible dont la perturbation s'est répercutée simultanément sur la finance, l'énergie, les transports et l'immigration. Cela a poussé le Kenya — et d'autres États africains en numérisation rapide — à investir dans l'atténuation des DDoS, le filtrage du trafic et la redondance des infrastructures d'information critiques, et a montré comment un groupe hacktiviste relativement peu sophistiqué peut paralyser la vie quotidienne d'une nation en s'attaquant à la seule disponibilité.