Des centaines de milliers de fichiers potentiellement sensibles provenant de services de police à travers les États-Unis ont été divulgués en ligne la semaine dernière. La collection, baptisée «BlueLeaks” et rendu consultable en ligne, découle d’une faille de sécurité dans une société de conception et d’hébergement Web du Texas qui gère un certain nombre de portails de partage de données des forces de l’ordre de l’État.
La collection – près de 270 gigaoctets au total – est la dernière version de Déni de secrets distribué (DDoSecrets), un alternative à Wikileaks qui publie des caches de données auparavant secrètes.
Une capture d’écran partielle du cache de données BlueLeaks.
Dans un publier sur TwitterDDoSecrets a déclaré que les archives BlueLeaks indexaient « dix ans de données provenant de plus de 200 services de police, centres de fusion et autres ressources de formation et de soutien des forces de l’ordre », et que « parmi les centaines de milliers de documents figurent des rapports, des bulletins, des guides et des Suite. »
Centres de fusion sont des entités détenues et exploitées par l’État qui recueillent et diffusent des informations sur l’application de la loi et la sécurité publique entre les partenaires étatiques, locaux, tribaux et territoriaux, fédéraux et du secteur privé.
BreachTrace a obtenu une analyse interne le 20 juin par le Association nationale des centres de fusion (NFCA), qui a confirmé la validité des données divulguées. L’alerte NFCA a noté que les dates des fichiers dans la fuite s’étendent en fait sur près de 24 ans – d’août 1996 au 19 juin 2020 – et que les documents incluent des noms, des adresses e-mail, des numéros de téléphone, des documents PDF, des images et un grand nombre de fichiers texte, vidéo, CSV et ZIP.
« De plus, le vidage de données contient des e-mails et des pièces jointes associées », indique l’alerte. « Notre analyse initiale a révélé que certains de ces fichiers contiennent des informations très sensibles telles que les numéros de routage ACH, les numéros de compte bancaire international (IBAN) et d’autres données financières ainsi que des informations personnellement identifiables (PII) et des images de suspects répertoriés dans les demandes d’informations. (RFI) et d’autres rapports d’application de la loi et d’agences gouvernementales.
La NFCA a déclaré qu’il semble que les données publiées par BlueLeaks aient été prises après une faille de sécurité à Netsentialune société de développement Web basée à Houston.
« L’analyse préliminaire des données contenues dans cette fuite suggère que Netsential, une société de services Web utilisée par plusieurs centres de fusion, les forces de l’ordre et d’autres agences gouvernementales à travers les États-Unis, était à l’origine du compromis », a écrit la NFCA. « Netsential a confirmé que ce compromis était probablement le résultat d’un acteur malveillant qui a exploité un compte d’utilisateur client Netsential compromis et la fonction de téléchargement de la plate-forme Web pour introduire du contenu malveillant, permettant l’exfiltration d’autres données client Netsential. »
Joint par téléphone dimanche soir, Netsential Director Stephen Gartrell a refusé de commenter cette histoire.
La NFCA a déclaré qu’une variété d’acteurs de la cyber-menace, y compris des États-nations, des hacktivistes et des cybercriminels à motivation financière, pourraient chercher à exploiter les données exposées dans cette violation pour cibler les centres de fusion et les agences associées et leur personnel dans diverses cyberattaques et campagnes.
L’ensemble de données BlueLeaks a été publié le 19 juin, également connu sous le nom de « Juneteenth », la plus ancienne commémoration célébrée au niveau national de la fin de l’esclavage aux États-Unis. Le respect de cette date cette année a suscité un regain d’intérêt du public à la suite de manifestations généralisées contre la brutalité policière et le meurtre filmé de Georges Floyd aux mains de la police de Minneapolis.
Stewart Bakeravocat au bureau de Washington, DC de Steptoe & Johnson LLP et un ancien secrétaire adjoint de la politique au Département américain de la sécurité intérieurea déclaré que les données de BlueLeaks ne devraient pas faire la lumière sur les fautes de la police, mais pourraient exposer des enquêtes sensibles sur les forces de l’ordre et même mettre des vies en danger.
« Avec ce volume de matériel, il y aura forcément des compromis sur des opérations sensibles et peut-être même des sources humaines ou des policiers en civil, donc je crains que cela ne mette des vies en danger », a déclaré Baker. «Chaque opération du crime organisé dans le pays aura probablement recherché son propre nom avant que les forces de l’ordre ne sachent ce qu’il y a dans les fichiers, de sorte que les dommages pourraient être causés rapidement. Je serais également surpris si les dossiers produisaient beaucoup de scandales ou de preuves d’inconduite policière. Ce n’est pas le genre de travail que font les centres de fusion.