Exposition du fichier électoral mexicain (Mexique, 2016)

En avril 2016, le chercheur en sécurité Chris Vickery a découvert que l'intégralité du registre électoral national mexicain — 93,4 millions d'enregistrements — était exposée sur une base de données MongoDB accessible publiquement et sans mot de passe, hébergée sur Amazon AWS, depuis des mois. C'était alors l'une des plus vastes expositions de données citoyennes détenues par un gouvernement, où que ce soit dans le monde.

Ce qui s'est passé

La base de 132 Go était configurée en accès public sans aucune authentification — quiconque connaissait l'adresse IP pouvait se connecter et lire l'intégralité du contenu. Vickery l'a localisée à l'aide du moteur de recherche Shodan, qui indexe les systèmes connectés à Internet, en balayant le port MongoDB par défaut 27017. Les enregistrements auraient été exposés depuis septembre 2015.

Chaque enregistrement correspondait à un électeur mexicain inscrit et comprenait le nom complet, l'adresse du domicile, la date de naissance et les numéros d'identité nationale (credencial / liés au CURP) — précisément les données utilisées pour l'identification des électeurs en personne. L'autorité électorale du Mexique, l'Instituto Nacional Electoral (INE), a confirmé par la suite l'authenticité des enregistrements.

Impact

• 93,4 millions d'enregistrements électoraux — soit la quasi-totalité de l'électorat adulte — ont été exposés.
• Les données incluaient les adresses des domiciles, un détail particulièrement sensible dans un pays confronté à de graves préoccupations liées aux enlèvements, à l'extorsion et à la violence des cartels.
• Selon la loi mexicaine, les données du fichier électoral sont strictement confidentielles, et leur extraction non autorisée peut entraîner des peines pouvant aller jusqu'à 12 ans de prison, faisant de cette exposition une affaire potentiellement pénale, et non une simple négligence en matière de vie privée.

Pourquoi c'est important

Ce cas est un exemple emblématique du risque de mauvaise configuration cloud appliqué à un jeu de données gouvernemental d'échelle nationale. Aucun pare-feu n'a été franchi et aucun logiciel malveillant n'a été utilisé — les données personnelles de tout un électorat ont été exposées par un seul réglage par défaut non sécurisé. L'affaire a renforcé l'examen de la manière dont des tiers et des acteurs politiques obtiennent des copies du fichier électoral, des contrôles insuffisants sur les données gouvernementales partagées avec des prestataires, et de la vague plus large d'expositions de MongoDB ouverts qui a marqué le milieu des années 2010, incitant les éditeurs de bases de données à livrer des configurations sécurisées par défaut.