Fuite de la base de données de citoyenneté turque (MERNIS)

En avril 2016, une base de données de 6,6 Go contenant les dossiers personnels de 49 611 709 citoyens turcs a été divulguée en clair sur un site hébergé hors de Turquie — une exposition couvrant la quasi-totalité de la population adulte du pays et l'une des plus grandes fuites d'identité nationale de l'histoire.

Ce qui s'est passé

Le fichier divulgué était un dump PostgreSQL issu de MERNIS (Merkezi Nüfus İdare Sistemi), le système central de registre civil de la Turquie géré par le ministère de l'Intérieur. Les dossiers correspondaient aux citoyens inscrits pour voter aux élections locales de 2009. Chaque ligne contenait un TC Kimlik No (numéro d'identité national), le prénom et le nom, les noms de la mère et du père, le sexe, la ville de naissance, la date de naissance, la ville et le district d'enregistrement, ainsi qu'une adresse résidentielle complète.

Le dump a été distribué via torrent et un site miroir/.onion dédié à partir du 3 avril 2016. Le site présentait la divulgation comme politiquement motivée, raillant le gouvernement turc sur ses pratiques de sécurité des données et reproduisant les mêmes champs pour le président Recep Tayyip Erdoğan et d'autres responsables.

Vérification

La confirmation indépendante est venue rapidement. L'Associated Press a comparé dix numéros d'identité turcs non publics au jeu de données et en a fait correspondre huit aux noms exacts, établissant que les données étaient authentiques plutôt que fabriquées ou recyclées.

Conséquences

• 49,6 millions de citoyens ont vu des données d'identité immuables — numéros d'identité nationaux, filiation, détails de naissance et adresses — publiées en clair, librement téléchargeables.
• Comme un TC Kimlik No ne peut pas être modifié, l'exposition a créé une base permanente pour l'usurpation d'identité, la fraude financière et l'imposture qu'aucune réinitialisation de mot de passe ne pouvait corriger.
• Les données ont continué de circuler pendant des années sur des forums et canaux Telegram, alimentant l'écosystème ultérieur des fuites turques.

Réponse officielle

Les autorités turques ont largement minimisé l'incident. Le ministre des Communications de l'époque, Binali Yıldırım, l'a qualifié de « vieille histoire » recyclée d'un épisode de 2010 où des fonctionnaires auraient vendu des fragments du registre. Le ministère de la Justice a ouvert une enquête, mais aucun auteur n'a jamais été identifié publiquement et aucune mesure de réparation n'a été offerte aux citoyens concernés.

Pourquoi c'est important

La fuite MERNIS est l'événement fondateur des fuites de données turques : elle a démontré qu'une unique base de registre civil centralisée, une fois exfiltrée, peut compromettre durablement toute la population d'une nation. Elle a aussi préfiguré un schéma récurrent en Turquie — fuite de vastes jeux de données détenus par l'État, déni ou minimisation officielle, et absence de responsabilité — qui se répétera avec les fuites e-Devlet des années plus tard.