Exposition d'une base de 106 millions de voyageurs en Thaïlande

En septembre 2021, des chercheurs ont révélé qu'une base de données contenant les dossiers personnels de plus de 106 millions de visiteurs étrangers de la Thaïlande avait été laissée totalement non sécurisée sur l'Internet public — sans mot de passe, sans pare-feu, indexée par un moteur de recherche et téléchargeable par quiconque la trouvait.

Ce qui s'est passé

Le 22 août 2021, le chercheur en sécurité Bob Diachenko de Comparitech a localisé une instance Elasticsearch exposée, d'une taille d'environ 200 Go. Elle avait été indexée par le moteur de recherche Censys deux jours plus tôt, le 20 août. La base contenait plus de 106 000 000 de dossiers de personnes entrées en Thaïlande, avec des dates allant de 2011 à nos jours.

Diachenko a confirmé l'authenticité des données de la manière la plus directe possible : il y a trouvé son propre dossier d'arrivée d'un voyage antérieur dans le pays.

Ce qui a été exposé

Chaque dossier contenait le type d'informations recueillies sur une carte d'arrivée d'immigration thaïlandaise :

• Nom complet
• Date d'arrivée
• Sexe
• Statut de résidence
• Numéro de passeport
• Informations et type de visa
• Numéro de carte d'arrivée thaïlandaise

Notamment, aucune donnée financière (cartes de crédit, coordonnées bancaires) n'était présente, ce qui limitait le risque immédiat de fraude. Mais les numéros de passeport, les noms et l'historique de voyage sont précisément les identifiants utilisés pour l'usurpation d'identité, la falsification de documents et le hameçonnage ciblé.

Réponse

Diachenko a suivi la pratique de divulgation responsable et alerté les autorités thaïlandaises le jour même de la découverte. Les responsables thaïlandais ont reconnu le signalement le 23 août et sécurisé la base le lendemain. L'instance exposée aurait été remplacée par un pot de miel (honeypot) afin d'étudier d'éventuelles tentatives d'accès ultérieures.

Le gouvernement thaïlandais a soutenu qu'aucun tiers non autorisé n'avait accédé aux données avant leur verrouillage — bien que, comme c'est souvent le cas avec les bases ouvertes, la fenêtre précise d'exposition avant la découverte de Diachenko n'ait pu être établie avec certitude.

Pourquoi c'est important

L'incident est un exemple classique de violation par mauvaise configuration : pas d'intrusion sophistiquée, pas de logiciel malveillant et pas de rançon — simplement un jeu de données détenu par l'État, d'ampleur nationale, laissé ouvert par défaut. Comme les dossiers remontaient à une décennie, l'exposition a potentiellement touché tout étranger ayant voyagé en Thaïlande depuis 2011, ce qui en fait l'une des plus vastes expositions connues de données de voyageurs transfrontaliers au monde.

Il a souligné une leçon récurrente pour le secteur public en Asie du Sud-Est : de grands ensembles de données sur les citoyens et les visiteurs s'accumulent discrètement, et un seul index de recherche mal déployé peut placer les documents d'identité de dizaines de millions de personnes à la portée de quiconque dispose d'un navigateur. L'affaire a également alimenté directement le durcissement de l'application de la loi thaïlandaise sur la protection des données personnelles (PDPA), entrée en vigueur en 2022.