Fuite chez Star Health et extorsion d'un haut responsable (Inde, 2024)

En août 2024, Star Health and Allied Insurance — le plus grand assureur santé indépendant d'Inde — est devenu l'épicentre de l'un des scandales de fuite de données les plus lourds de conséquences du pays. Un acteur de menace utilisant l'alias xenZen a publiquement affirmé avoir accès aux dossiers de 31,2 millions de clients, exposés via des bots Telegram personnalisés que n'importe qui pouvait interroger.

Ce qui s'est passé

À la mi-2024, xenZen avait mis en place des bots Telegram capables de renvoyer des données clients à la demande : 31 216 953 dossiers clients et 5 758 425 dossiers de sinistres. Le jeu de données était d'une richesse inhabituelle, comprenant numéros PAN, numéros de téléphone, adresses de domicile, données fiscales et dossiers médicaux — exactement la combinaison que la loi indienne émergente sur la protection des données personnelles numériques est conçue pour prévenir.

Ce qui a transformé une fuite déjà grave en scandale national, c'est la correspondance d'extorsion que xenZen a ensuite publiée. Selon l'acteur — corroboré par des preuves vidéo des échanges e-mail — les données ont d'abord été proposées à un haut responsable de Star Health pour environ 28 000 $. Le responsable a ensuite exigé 150 000 $, xenZen alléguant qu'une partie de cette demande était présentée comme une compensation due à la direction pour avoir laissé la fuite se poursuivre.

L'implication d'une complicité interne a transformé l'affaire d'un échec de sécurité en un scandale de gouvernance et d'éthique.

Impact

• 31,2 millions de dossiers clients exposés, y compris PAN, adresse, données fiscales et médicales.
• 5,76 millions de dossiers de sinistres exposés.
• Bots Telegram démantelés en octobre 2024 par l'action coordonnée de la Haute Cour de Madras, de I4C et de la task force indienne de cybercriminalité.
• Pénalité réglementaire proposée de 250 crores de roupies (~30 M$) au titre du cadre DPDP indien.
• Les allégations de complicité d'un haut responsable ont déclenché des revues de gouvernance et des actions collectives en justice.

Pourquoi c'est important

L'incident Star Health est la fuite par laquelle le régime indien de protection des données est devenu adulte. La loi DPDP, encore en train de stabiliser sa posture d'application en 2024, s'est vu offrir un cas de référence d'école. Et l'implication présumée de la haute direction a recadré le débat public : non plus « à quel point les systèmes des assureurs sont-ils sécurisés », mais « à quel point les personnes qui les dirigent sont-elles dignes de confiance ».