Fuite de données Movistar au Pérou

Pendant les fêtes de décembre 2024, une base de données contenant environ 22 millions d'enregistrements liés à des clients de Movistar Pérou — la filiale locale de Telefónica — a circulé librement sur des forums cybercriminels, devenant l'une des plus importantes expositions de données personnelles péruviennes recensées.

Ce qui s'est passé

Comme l'ont rapporté des chercheurs suivant l'activité du dark web durant les fêtes, des acteurs malveillants ont partagé ouvertement le jeu de données Movistar plutôt que de le vendre, dans une vague de divulgations gratuites pendant cette période. Les fichiers CSV couvraient une période de collecte allant d'environ 2016 à 2018, ce qui suggère une extraction depuis d'anciens systèmes clients ou de facturation.

La fuite est survenue à un moment sensible : Telefónica était en train de céder ses activités péruviennes, et l'apparition d'une base de plusieurs millions d'enregistrements a immédiatement attiré l'attention nationale.

Conséquences

Les champs exposés comprenaient :

• Numéros d'identification nationale (DNI).
• Noms complets et dates de naissance.
• Adresses physiques et codes de localisation Ubigeo (le système de codage géographique du Pérou).
• Numéros de téléphone mobile et détails des forfaits souscrits.

Les analystes ont souligné que, bien que datant de 2016-2018, les champs les plus dommageables — numéros DNI, dates de naissance et noms — sont des identifiants statiques qui changent rarement, gardant les données utiles aux fraudeurs des années plus tard. La combinaison de numéros de téléphone et de documents d'identité est particulièrement dangereuse pour les attaques de SIM-swapping, où des criminels usurpent l'identité d'une victime auprès de l'opérateur, détournent le numéro de téléphone et interceptent les codes SMS servant à autoriser les virements bancaires.

Une précision sur les chiffres

Telefónica a fait observer que le chiffre de 22 millions désigne des enregistrements et non des clients uniques — un même abonné pouvant apparaître sur plusieurs lignes — de sorte que le nombre réel de personnes distinctes touchées est inférieur. L'authenticité et la provenance du jeu de données ont été examinées plutôt que pleinement confirmées par l'opérateur, même si le volume et la structure étaient cohérents avec de véritables données clients de télécommunications.

Pourquoi c'est important

La fuite de Movistar Pérou a mis en lumière le risque persistant lié à la conservation des données télécoms : des enregistrements collectés près d'une décennie plus tôt ont refait surface pour menacer des millions de personnes. Survenant quelques semaines après la fuite d'Interbank, elle a renforcé une tendance plus large d'exposition à grande échelle des données péruviennes liées au DNI dans les secteurs financier et télécom — alimentant l'inquiétude quant au risque cumulé de fraude à l'identité et de SIM-swapping dans un pays où le DNI constitue le socle de la vérification d'identité numérique et financière.