La Commission électorale britannique a révélé mardi une cyberattaque « complexe » sur ses systèmes qui n’a pas été détectée pendant plus d’un an, permettant aux acteurs de la menace d’accéder à des années de données électorales appartenant à 40 millions de personnes.
« L’incident a été identifié en octobre 2022 après la détection d’une activité suspecte sur nos systèmes », a déclaré le régulateur. « Il est devenu clair que des acteurs hostiles avaient accédé aux systèmes pour la première fois en août 2021. »
L’intrusion a permis un accès non autorisé aux serveurs de la Commission hébergeant le courrier électronique, les systèmes de contrôle et les copies des registres électoraux qu’elle conserve à des fins de recherche. L’identité des intrus est actuellement inconnue.
Les registres comprenaient le nom et l’adresse de toute personne au Royaume-Uni qui s’était inscrite pour voter entre 2014 et 2022, ainsi que les noms des personnes inscrites comme électeurs étrangers. Cependant, ils ne contenaient pas d’informations sur les personnes qualifiées pour s’inscrire de manière anonyme et les adresses des électeurs étrangers inscrits en dehors du Royaume-Uni.
Les détails révélés à la suite de l’incident cybernétique sont les suivants –
- Nom, prénom et nom de famille
- Adresses e-mail (personnelles et/ou professionnelles)
- Adresse personnelle si incluse dans un formulaire Web ou un e-mail
- Numéro de téléphone de contact (personnel et/ou professionnel)
- Contenu du formulaire Web et des e-mails pouvant contenir des données personnelles
- Toute image personnelle envoyée à la Commission.
- Adresse du domicile dans les entrées de registre
- Date à laquelle une personne atteint l’âge de voter cette année-là
On ne sait pas pourquoi la divulgation a été retardée de 10 mois supplémentaires, mais la Commission a déclaré à la BBC et au Guardian que cela avait été fait pour empêcher l’accès de l’adversaire, enquêter sur l’étendue de la violation et appliquer les garde-corps de sécurité.
La Commission a également noté que les données consultées pourraient être combinées avec d’autres détails qui sont déjà disponibles dans le domaine public pour « déduire des modèles de comportement ou pour identifier et profiler des individus ».
Il a également souligné que l’attaque n’a aucun impact sur le processus électoral ou le statut de l’inscription électorale, et qu’il est peu probable que les données détenues dans ses serveurs de messagerie présentent un risque pour les personnes à moins que des informations sensibles ne soient partagées dans ces messages.
« Quiconque a été en contact avec la Commission, ou qui s’est inscrit pour voter entre 2014 et 2022, doit rester vigilant quant à l’utilisation ou la divulgation non autorisée de ses données personnelles », a déclaré l’organisme de surveillance, ajoutant qu’il avait mis en place des mesures d’atténuation pour se protéger contre futures attaques.
