Fuite de données de l'Agence suédoise des transports

En juillet 2017, la Suède a été plongée dans l'un de ses plus graves scandales de sécurité en temps de paix — non pas à cause d'un pirate, mais d'un contrat d'externalisation informatique catastrophiquement mal géré. L'Agence suédoise des transports (Transportstyrelsen) avait de fait exposé l'intégralité de la base de données du pays sur les véhicules et les permis de conduire, ainsi que des masses d'informations classifiées, à des informaticiens étrangers jamais habilités.

Ce qui s'est passé

En 2015, cherchant à réduire les coûts, l'Agence des transports a externalisé l'exploitation de ses registres de véhicules et de permis de conduire à IBM. IBM s'est à son tour appuyé sur des sous-traitants en République tchèque, en Roumanie et en Serbie. Sous une forte pression de calendrier — l'agence prédécesseure avait déjà commencé à licencier du personnel — la directrice générale Maria Ågren a décidé de contourner les exigences habituelles d'habilitation de sécurité suédoises, accordant à des techniciens étrangers l'accès à des systèmes sensibles sans la vérification d'usage.

Il en a résulté que des bases de données et fichiers sensibles entiers étaient accessibles à des personnels situés hors de Suède et dépourvus d'habilitation, en violation de la loi suédoise sur le traitement des informations secrètes.

Impact

Les informations exposées étaient extraordinairement sensibles :

• Le registre complet des véhicules et des permis de conduire suédois, photographies comprises.
• Des données pouvant révéler des personnes inscrites dans des programmes de protection des témoins et d'identité protégée.
• Des informations touchant prétendument des registres de police, des membres d'unités militaires secrètes, des pilotes de l'armée de l'air suédoise, ainsi que des véhicules gouvernementaux et militaires, et des détails sur les infrastructures nationales.

Rien n'indiquait que les données aient été dérobées par un adversaire, mais la Suède ne pouvait plus en garantir la confidentialité — la défaillance de sécurité résidait dans l'exposition elle-même.

Retombées

• Maria Ågren a été démise de ses fonctions en janvier 2017 et condamnée à une amende pour avoir été négligente avec des informations secrètes.
• Lorsque l'affaire est devenue publique en juillet 2017, les retombées politiques ont été sévères : deux ministres — le ministre de l'Intérieur et le ministre des Infrastructures — ont démissionné, et le gouvernement minoritaire du Premier ministre Stefan Löfven a surmonté de justesse une crise de motion de censure.

Pourquoi c'est important

L'affaire Transportstyrelsen est un cas marquant de risque lié aux tiers et à l'externalisation pour les gouvernements. Elle a montré qu'une « fuite » peut ne comporter aucun attaquant — et que confier des données à du personnel externalisé non habilité peut en soi constituer une atteinte à la sécurité nationale. Le scandale a refondu la manière dont la Suède encadre l'externalisation des systèmes informatiques publics sensibles, en durcissant les règles d'habilitation de sécurité, de souveraineté des données et de responsabilité ministérielle, et il demeure un exemple européen déterminant d'exposition auto-infligée de secrets d'État.