Fuite de la base de données de la police nationale de Shanghai

Début juillet 2022, un utilisateur anonyme se faisant appeler « ChinaDan » met en vente sur la place de marché Breach Forums un trésor de données de 23 téraoctets portant sur environ un milliard de résidents chinois, issu d'une base de données de la police nationale de Shanghai. Le prix demandé est de 10 bitcoins — soit environ 200 000 $ à l'époque. Si elle s'avère authentique dans son intégralité, cette fuite figure parmi les plus importantes jamais recensées et constitue la plus grande fuite connue d'un système gouvernemental chinois.

Ce qui s'est passé

Les données proviendraient du Bureau de la sécurité publique de Shanghai, hébergées sur un cloud privé. Des chercheurs en sécurité ont signalé que la base de données sous-jacente — bâtie sur un cluster Elasticsearch accessible via un tableau de bord d'administration — était restée accessible sur l'internet public sans mot de passe pendant plus d'un an. Les identifiants et le chemin d'accès auraient été exposés dans un billet de blog technique, permettant à quiconque le trouvait d'interroger et de télécharger le contenu.

Le vendeur a publié un échantillon de 750 000 enregistrements comme preuve. Des journalistes de Reuters, de la BBC et du Wall Street Journal ont appelé indépendamment des personnes figurant dans l'échantillon et confirmé que les noms, numéros d'identité et détails d'affaires correspondaient à de vraies personnes.

Impact

Les champs divulgués comprenaient :

• Noms complets, numéros de carte d'identité nationale, lieux de naissance et adresses
• Numéros de téléphone mobile
• Dossiers d'affaires et signalements de police, y compris des résumés d'incidents nommant victimes et suspects

Comme les données combinaient des informations d'état civil avec des dossiers de police sensibles, l'exposition présentait un risque inhabituel : vol d'identité, fraude et ciblage de victimes de crimes, d'informateurs et de dissidents.

Réponse

Les autorités chinoises n'ont jamais reconnu publiquement la fuite. Les régulateurs ont au contraire cherché à étouffer la discussion : des hashtags tels que « #dataleak » et « #databreach » ont été bloqués sur Weibo, et les publications associées supprimées sur WeChat. Aucun résultat d'enquête officiel, poursuite ni notification aux citoyens concernés n'a été divulgué.

L'incident est survenu à un moment délicat, quelques mois seulement après l'entrée en vigueur de la loi sur la protection des informations personnelles (PIPL) et de la loi sur la sécurité des données, censées renforcer la protection de la vie privée — des lois qui contraignent les entreprises privées bien plus étroitement que les propres organes de sécurité de l'État.

Pourquoi c'est important

La fuite de Shanghai est l'exemple emblématique de données massives détenues par l'État exposées par une simple erreur de configuration. Une seule base de données non sécurisée a anéanti la vie privée d'une part substantielle du pays le plus peuplé du monde, démontrant que les archives de surveillance de masse constituent elles-mêmes des points de défaillance uniques de grande valeur. Le silence officiel a également mis en lumière une faille structurelle : le régime chinois de protection de la vie privée encadre rigoureusement les entreprises privées tout en offrant peu de recours aux citoyens lorsque ce sont les systèmes de l'État qui fuient.