Compromission du centre de données du FBR pakistanais

Aux alentours du 14 août 2021 — la fête de l'Indépendance du Pakistan — des attaquants ont compromis le centre de données du Federal Board of Revenue (FBR), l'autorité suprême de collecte des impôts du pays. La compromission a mis hors service tous les sites web et services en ligne du FBR pendant plusieurs jours, gelant les déclarations fiscales, les dédouanements et une grande partie de l'activité économique qui en dépend à travers le pays.

Ce qui s'est passé

Les intrus ont percé la couche de virtualisation Microsoft Hyper-V qui sous-tendait le centre de données du FBR, accédant à un environnement d'environ 360 machines virtuelles. Une enquête ultérieure menée par des experts en cybersécurité privés et gouvernementaux a révélé deux défaillances aggravantes :

• Le FBR utilisait une copie piratée et sans licence de Microsoft Hyper-V, ce qui le privait de mises à jour de sécurité et de support.
• Des courriels de spear-phishing ont été identifiés comme vecteur d'entrée initial probable dans le réseau.

L'administration a d'abord tenté de qualifier la panne d'« optimisation du centre de données » de routine, mais l'ampleur de la perturbation — tous les services publics hors ligne pendant des jours — a rapidement contraint à confirmer une véritable cyberattaque.

La vente sur le dark web

En quelques jours, l'accès réseau aux systèmes du FBR a été mis en vente sur un forum de piratage russe. Le vendeur proposait l'accès à deux ou trois systèmes pour environ 26 000 dollars, avec des instructions pour infecter toutes les machines, ou l'accès complet à l'environnement compromis pour 30 000 dollars. Cela indiquait que les attaquants étaient en mesure soit d'approfondir l'intrusion, soit de la céder à d'autres groupes criminels.

Réponse et impact contesté

Le FBR a soutenu que les données des contribuables restaient en sécurité et qu'il n'y avait « aucun lien ni accès aux transactions bancaires à quelque niveau que ce soit ». Cependant, les défenseurs des droits numériques ont critiqué l'administration pour son manque de transparence, notant que les propres services de renseignement du Pakistan auraient averti le FBR de cyberattaques potentielles au préalable — des avertissements restés sans suite. L'utilisation de logiciels d'infrastructure piratés au sein d'un organisme fiscal national a particulièrement attiré l'attention.

Pourquoi c'est important

La compromission du FBR a révélé la fragilité du parc informatique gouvernemental pakistanais : une institution nationale critique exécutant un logiciel de virtualisation sans licence et non corrigé, mise à terre par un courriel d'hameçonnage et un risque connu mais ignoré. Elle est devenue une référence dans les débats sur la gouvernance de la cybersécurité de l'État, la conformité des licences logicielles et la transparence en cas de violation au Pakistan, soulignant comment les raccourcis dans les achats au niveau de l'infrastructure peuvent se traduire directement par des pannes opérationnelles à l'échelle nationale.