Violation de données de Service NSW

En 2020, Service NSW — l'agence de services numériques et en personne à guichet unique de l'État australien de Nouvelle-Galles du Sud — a subi une importante violation de données lorsqu'une campagne d'hameçonnage a compromis des dizaines de comptes de messagerie du personnel, exposant des centaines de gigaoctets de documents personnels de citoyens.

Ce qui s'est passé

À partir de mars 2020 environ, des attaquants ont mené une campagne d'hameçonnage imitant un courriel d'avertissement Microsoft Office 365, dirigeant les employés de Service NSW vers une fausse page de connexion Office 365 qui récoltait leurs identifiants. Grâce à cette technique, les attaquants ont obtenu l'accès aux comptes de messagerie de 47 membres du personnel.

En avril 2020, les intrus ont exfiltré environ 738 Go de données — soit approximativement 3,8 millions de documents — des boîtes aux lettres compromises. Comme les données résidaient dans la messagerie des employés plutôt que dans une base de données structurée, il s'agissait d'un ensemble tentaculaire et non structuré de correspondances, de formulaires et de pièces jointes accumulés au fil du temps.

Impact

Service NSW a d'abord estimé qu'environ 186 000 clients avaient été touchés. Après une longue analyse criminalistique des documents saisis, l'agence a revu ce chiffre à la baisse, à environ 104 000 clients dont les informations personnelles ont été confirmées volées.

Les documents exposés comprenaient des dossiers d'identité hautement sensibles : permis de conduire, dossiers Medicare et de santé, certificats de naissance, détails d'enregistrement d'armes à feu, informations de Working With Children Check et coordonnées de cartes de crédit. L'étendue des documents d'identité a rendu la violation particulièrement grave en raison du risque de vol d'identité en aval.

Conséquences

En décembre 2020, le vérificateur général de la NSW a publié un rapport critique sur la gestion des informations personnelles par Service NSW, concluant que les processus métier de l'agence — y compris le traitement de routine des documents d'identité des clients par courriel — augmentaient le risque et l'ampleur de la violation. Le commissaire à la protection de la vie privée de la NSW a également publié des déclarations publiques sur l'incident. Service NSW a notifié individuellement les clients touchés et a offert un soutien pour le remplacement des documents d'identité compromis.

Pourquoi c'est important

La violation de Service NSW est un exemple australien déterminant de la manière dont l'hameçonnage contre la messagerie du personnel — plutôt qu'un exploit technique sophistiqué — peut produire une violation d'importance nationale lorsqu'une agence gouvernementale stocke les documents d'identité des citoyens sous forme non structurée. Elle a accéléré la transition du gouvernement de la NSW vers l'authentification multifacteur, la réduction de la conservation de documents sensibles dans la messagerie et un contrôle renforcé de la collecte et du stockage des dossiers d'identité. L'incident préfigurait la vague de grandes violations australiennes — Optus, Medibank — qui domineraient l'agenda national deux ans plus tard.