Une fuite de données biométriques de la police est un signe des choses à venir

Des milliers de responsables de l’application de la loi et de personnes postulant pour être des policiers en Inde ont vu leurs informations personnelles divulguées en ligne, notamment des empreintes digitales, des images de balayage facial, des signatures, ainsi que des détails de tatouages et de cicatrices sur leur corps. Comme si cela ne suffisait pas, à peu près au même moment, des cybercriminels ont commencé à annoncer la vente de données biométriques similaires de la police indienne sur l’application de messagerie Telegram. Le mois dernier, le chercheur en sécurité Jeremiah Fowler a repéré les fichiers sensibles sur un serveur web exposé lié à ThoughtGreen Technologies, une société de développement informatique et d’externalisation ayant des bureaux en Inde, en Australie et aux États-Unis. Sur un total de près de 500 gigaoctets de données couvrant 1,6 million de documents, datés de 2021 jusqu’à ce que Fowler les découvre début avril, se trouvaient une mine d’informations personnelles sensibles sur des enseignants, des employés des chemins de fer et des responsables de l’application de la loi. Des certificats de naissance, des diplômes, des certificats d’éducation et des demandes d’emploi étaient inclus. Fowler, qui a partagé ses découvertes exclusivement avec WIRED, déclare que parmi cette masse d’informations, ce qui était le plus inquiétant était ce qui semblait être des documents de vérification liés aux forces de l’ordre ou au personnel militaire indien. Bien que le serveur mal configuré ait été désormais fermé, l’incident souligne les risques que représentent les entreprises qui collectent et stockent des données biométriques, telles que les empreintes digitales et les images faciales, et comment elles pourraient être utilisées de manière abusive en cas de fuite accidentelle des données. « Vous pouvez changer votre nom, vous pouvez changer vos informations bancaires, mais vous ne pouvez pas changer vos véritables données biométriques, » souligne Fowler. Le chercheur, qui a également publié les découvertes au nom de Website Planet, indique que ce type de données pourrait être utilisé par des cybercriminels ou des fraudeurs pour cibler des personnes à l’avenir, un risque accru pour des postes sensibles dans l’application de la loi. Parmi les applications mobiles et fichiers d’installation examinés par Fowler figure l’une intitulée « installation de logiciel facial, » et un dossier séparé contenait 8 Go de données faciales. Les photographies des visages des personnes incluaient des rectangles générés par ordinateur utilisés fréquemment pour mesurer la distance entre les points du visage dans les systèmes de reconnaissance faciale.