Violation de données de la Commission électorale britannique

Le 8 août 2023, la Commission électorale britannique a révélé que des acteurs hostiles se trouvaient dans ses systèmes depuis août 2021, dans l'une des plus importantes violations connues touchant des citoyens britanniques — concernant les données personnelles d'environ 40 millions d'électeurs.

Ce qui s'est passé

Les intrus ont pénétré en exploitant la chaîne de vulnérabilités ProxyShell du serveur Microsoft Exchange sur site de la Commission — trois failles (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) pour lesquelles Microsoft avait publié des correctifs au printemps 2021. La Commission ne les a pas appliqués. À l'aide de ces failles, les attaquants ont usurpé un compte utilisateur et installé des web shells, leur conférant un contrôle persistant.

Surtout, les attaquants sont ensuite restés indétectés pendant plus d'un an. Une activité suspecte n'a été repérée qu'en octobre 2022, et la violation n'a été rendue publique qu'en août 2023 — un calendrier que la Commission a attribué à la nécessité de chasser d'abord les acteurs et d'évaluer les dégâts.

Ce qui a été consulté

• Les copies de référence des registres électoraux détenues par la Commission, contenant les noms et adresses de toute personne inscrite pour voter au Royaume-Uni entre 2014 et 2022 — soit environ 40 millions de personnes, à l'exclusion des personnes inscrites anonymement (conservées séparément).
• Le système de messagerie de la Commission et ses systèmes de contrôle internes étaient également accessibles aux intrus.

La Commission a estimé que ces données, en grande partie partiellement publiques, présentaient un risque direct limité et que les processus électoraux n'avaient pas été affectés, les registres étant des copies statiques que les attaquants pouvaient lire mais non altérer.

Conclusions réglementaires et de sécurité

En décembre 2023, l'ICO a émis un blâme formel, constatant que la Commission n'avait pas corrigé des vulnérabilités connues et opérait avec une mauvaise hygiène de mots de passe — de nombreux comptes utilisaient encore des mots de passe identiques ou similaires à ceux délivrés à l'origine par le support, les exposant au devinement.

Attribution

Le 25 mars 2024, le gouvernement britannique a attribué l'intrusion à des acteurs affiliés à l'État chinois, nommant APT31 et la société-écran du ministère de la Sécurité de l'État Wuhan Xiaoruizhi Science and Technology, et imposant des sanctions aux côtés des États-Unis.

Pourquoi c'est important

La violation a combiné un échec de correctif élémentaire avec une présence indétectée d'un an au sein d'un organisme central de la démocratie britannique. Elle a cristallisé les inquiétudes sur le ciblage par des États de l'infrastructure électorale et poussé les organismes publics britanniques vers des exigences plus strictes de gestion des vulnérabilités et de divulgation.