Mise en vente de 30 millions de dossiers d'élèves vietnamiens

En juillet 2022, un acteur malveillant utilisant le pseudonyme « meli0das » a mis en vente sur un forum de piratage clandestin une base de données de plus de 30 millions d'élèves, d'enseignants et de personnels éducatifs vietnamiens. Au prix de 3 500 dollars en Monero, ce trésor — s'il était authentique à pleine échelle — figurerait parmi les plus grandes violations de l'histoire du Vietnam, touchant environ un tiers de la population du pays.

Ce qui s'est passé

Le vendeur, qui s'était inscrit sur le forum en juin 2022, affirmait avoir obtenu les dossiers d'une grande plateforme / site web éducatif vietnamien. Il prétendait que les données n'avaient « jamais été divulguées » auparavant et n'offrait des échantillons de preuve qu'aux acheteurs en mesure de démontrer des fonds suffisants.

Pour établir sa crédibilité, meli0das a publié un échantillon d'environ 70 dossiers — la plupart appartenant à des enseignants — que les chercheurs ont examinés et jugés cohérents avec des données réelles du système éducatif.

Ce qui a été exposé

Selon l'annonce et l'échantillon publié, chaque dossier contenait :

• Noms complets
• Adresses e-mail et coordonnées
• Dates de naissance
• Notes / résultats scolaires des élèves
• Nom de l'établissement et localisation

Le même acteur a mis en vente séparément un ensemble plus restreint de 360 000 dossiers d'élèves d'un autre établissement éducatif, suggérant un accès à plusieurs sources plutôt qu'une violation isolée unique.

Paiement et mobile

Le prix demandé de 3 500 dollars devait être réglé en Monero (XMR), une cryptomonnaie axée sur la confidentialité, prisée des criminels car ses transactions sont bien plus difficiles à tracer que celles du Bitcoin. Le mobile était purement financier — les données étaient proposées à la vente, et non utilisées pour de l'extorsion ni divulguées librement.

Pourquoi c'est important

L'incident s'est inscrit dans une vague de fuites de données vietnamiennes à grande échelle qui a suscité une inquiétude nationale. Les jeux de données éducatifs sont particulièrement sensibles car ils concernent des mineurs et combinent des détails d'identité avec des coordonnées — un matériau de choix pour le hameçonnage, la fraude et les arnaques ciblées contre les familles.

Survenant après l'exposition des Zing ID de VNG et d'autres fuites massives, la mise en vente de 30 millions de dossiers d'élèves a renforcé un avertissement récurrent des chercheurs en sécurité : le Vietnam fait face à un problème structurel de fuite de données, avec de vastes ensembles de données de citoyens et d'élèves mal sécurisés et resurgissant à plusieurs reprises sur les marchés criminels. Elle a accentué l'urgence d'appliquer le décret sur la protection des données personnelles émergent du Vietnam et les demandes de garanties plus strictes autour des systèmes gouvernementaux et éducatifs. La violation n'a jamais été publiquement attribuée à un acteur connu ni pleinement corrigée.