Violation de données MobiKwik

Fin mars 2021, un forum du dark web a mis en vente 8,2 téraoctets de données liées à la fintech indienne MobiKwik, couvrant prétendument jusqu'à 99 millions d'utilisateurs. L'annonce — et les démentis répétés et combatifs de MobiKwik — en ont fait l'un des épisodes d'exposition de données les plus controversés du secteur des paiements en Inde.

Ce qui s'est passé

Le chercheur en sécurité Rajshekhar Rajaharia a signalé pour la première fois en février 2021 que des données de clients MobiKwik semblaient circuler sur le dark web. MobiKwik a nié ces allégations. Le 29 mars 2021, un vendeur du forum utilisant le pseudonyme Jordandaven a publié une annonce proposant 8,2 To de données MobiKwik, affirmant qu'elle comprenait une base d'environ 36 millions de fichiers avec les enregistrements Know Your Customer (KYC) d'environ 3,5 millions de personnes.

Le jeu de données annoncé comprenait prétendument noms, numéros de téléphone, adresses e-mail, mots de passe hachés, adresses, documents KYC, images de cartes Aadhaar et données partielles de cartes de paiement. Des chercheurs et journalistes indépendants ont fait correspondre des échantillons avec de véritables utilisateurs MobiKwik, donnant du crédit à l'affirmation.

Le démenti

MobiKwik a réagi non pas en enquêtant publiquement mais en niant toute violation, affirmant être pleinement conforme aux lois sur la sécurité des données et suggérant que les utilisateurs avaient peut-être exposé leurs propres données ailleurs. L'entreprise a également menacé de poursuites le chercheur qui avait donné l'alerte — une réaction largement critiquée par la communauté de la sécurité comme « tirer sur le messager ».

Réponse réglementaire

• Le CERT-In indien et la Reserve Bank of India ont ordonné à MobiKwik de commander un audit forensique indépendant.
• L'annonce du dark web a ensuite été retirée, laissant l'ampleur exacte non confirmée publiquement.
• MobiKwik n'a jamais publié les conclusions de l'audit, et le nombre précis d'utilisateurs affectés reste contesté — les estimations vont des 3,5 millions d'enregistrements KYC revendiqués par le vendeur au chiffre annoncé de jusqu'à 99 millions de comptes.

Pourquoi c'est important

L'épisode MobiKwik est devenu un cas d'école sur la manière de ne pas gérer la divulgation d'une violation. La combinaison d'une vérification crédible par des tiers, d'une intervention réglementaire et d'un démenti d'entreprise a mis en évidence la faille du cadre de responsabilité indien avant la loi DPDP : à l'époque, aucune obligation légale de notification des violations ne contraignait une fintech à confirmer un incident ou à notifier les utilisateurs affectés. Il demeure un exemple fréquemment cité des dommages réputationnels qui suivent un démenti réflexe préféré à la transparence.