Fuite de numéros de sécurité sociale National Public Data

En août 2024, l'obscur courtier en données de vérification d'antécédents National Public Data — exploité par la société floridienne Jerico Pictures, Inc. — a confirmé qu'une copie volée de sa base maîtresse avait été divulguée. Cette base contenait environ 2,9 milliards d'enregistrements comprenant noms, numéros de sécurité sociale, dates de naissance, ainsi qu'adresses actuelles et passées, en grande partie agrégés à l'insu et sans le consentement des personnes décrites. Elle est devenue l'une des plus vastes et des plus largement diffusées expositions de numéros de sécurité sociale américains jamais recensées.

Ce qu'il s'est passé

National Public Data collectait et agrégeait des informations personnelles à partir de registres publics, de dossiers judiciaires et de sources commerciales, puis les revendait à des sites de vérification d'antécédents, des enquêteurs et d'autres acheteurs de données. Selon la déclaration de l'entreprise elle-même, un acteur malveillant a obtenu l'accès à ses systèmes dès décembre 2023.

Le 8 avril 2024, un acteur malveillant utilisant le pseudonyme USDoD a mis en vente un jeu de données intitulé « National Public Data » sur le forum cybercriminel Breached, revendiquant 2,9 milliards d'enregistrements et réclamant 3,5 millions de dollars. Au cours des mois suivants, des portions ont circulé entre criminels, et en août 2024 une copie quasi complète — environ 2,7 milliards de lignes dans un export texte de plusieurs gigaoctets — a été publiée gratuitement, rendant les enregistrements accessibles à tous.

Conséquences

• Le corpus divulgué contenait environ 2,9 milliards d'enregistrements, bien que le nombre de personnes distinctes soit nettement inférieur car le fichier comportait de nombreuses entrées d'adresses dupliquées et historiques. Une analyse indépendante (Troy Hunt) a relevé d'importants volumes d'enregistrements et confirmé de vrais numéros de sécurité sociale, tout en avertissant que la formule des « 3 milliards de personnes » était trompeuse.
• Les champs exposés comprenaient noms, numéros de sécurité sociale, dates de naissance et adresses actuelles et antérieures ; certains enregistrements contenaient également des numéros de téléphone.
• Les données ayant été collectées et non fournies volontairement, de nombreuses personnes concernées n'avaient jamais entendu parler de National Public Data, ce qui a compliqué la notification et la remédiation.
• Plus d'une douzaine d'actions collectives et de nombreuses enquêtes de procureurs généraux d'États ont suivi.

Suites

Confrontée à une responsabilité potentielle pour la surveillance du crédit de centaines de millions de personnes, Jerico Pictures, Inc. s'est placée sous la protection du chapitre 11 (faillite) le 2 octobre 2024, et National Public Data a cessé ses activités avant la fin de l'année. L'entreprise n'a jamais versé la rançon annoncée ; au moment où elle a confirmé la fuite, les données étaient déjà publiques.

Pourquoi c'est important

La fuite National Public Data est le cas emblématique du risque systémique des courtiers en données non régulés. Les identifiants les plus sensibles de la vie américaine — des numéros de sécurité sociale qui ne peuvent être réémis à volonté — ont été agrégés par une entreprise avec laquelle la plupart des victimes n'avaient jamais interagi, mal sécurisés, volés, puis finalement distribués gratuitement. L'affaire a intensifié le débat politique américain sur la supervision des courtiers en données (notamment la proposition réglementaire du CFPB) et a souligné que l'exposition d'un individu ne dépend plus de sa propre hygiène de sécurité, mais de chaque tiers ayant discrètement collecté ses dossiers.