Dans le contexte: Les résultats d’une coopération internationale réussie entre les forces de l’ordre luttant contre la cybercriminalité ont été connus pour la deuxième fois cette semaine. Bien qu’il ne s’agisse pas d’une affaire aussi grave que l’effondrement du rançongiciel Hive, l’arrestation d’un pirate informatique vendant les données personnelles de millions de personnes fournit un autre exemple de la fragilité de la confidentialité numérique. Il montre également le coût de l’erreur humaine de ceux qui hébergent nos informations personnelles.

Mercredi, la police autrichienne a annoncé la arrêter d’un pirate informatique aux Pays-Bas pour avoir vendu les informations personnelles de presque toutes les personnes vivant en Autriche. L’enquête a nécessité une collaboration entre les autorités de plusieurs pays pendant deux ans.

Le suspect hollandais anonyme de 25 ans aurait mis en vente en ligne un ensemble de données contenant les noms, adresses, sexes et dates de naissance de neuf millions d’Autrichiens, soit la quasi-totalité de la population du pays. Reuters note que la police arrêté l’homme en novembre, mais a retardé son annonce dans l’attente d’une enquête internationale en cours qui a commencé par une violation de données en 2020.

Le pirate n’a pas acquis les données à l’aide de logiciels malveillants. Le journal autrichien Die Presse écrit qu’il a simplement saisi suite à une erreur commise par quelqu’un lors d’une opération informatique de routine.

Lorsque le Gebühren Info Service (GIS), qui gère les frais de diffusion autrichiens, a embauché un sous-traitant viennois pour restructurer ses données en 2020, l’un des employés de l’entreprise a accidentellement utilisé les informations réelles du service lors d’un test. Le SIG signalé le vol de données en mai 2020.

Le pirate peut y avoir accédé à l’aide d’un moteur de recherche, même s’il ne s’agissait pas de Google. En conséquence, les données personnelles de millions de citoyens australiens ont été rendues accessibles au public en ligne pendant environ une semaine. Lorsqu’une personne nommée « DataBox » sur Raidforum.com a proposé de vendre des informations de registre sur des millions d’Autrichiens en Nouvelle-Zélande, les autorités néo-zélandaises l’ont achetée pour une somme à quatre chiffres pour confirmer qu’elle provenait de la violation du SIG. Le style de composition des données correspondait à la tenue des registres SIG.

La police a identifié le suspect après avoir sécurisé un serveur en Allemagne à partir duquel ils auraient téléchargé les données du SIG. La transaction bitcoin néo-zélandaise a également pointé les autorités vers le pirate informatique, que la police soupçonnait de cybercrimes.

Lorsque la police néerlandaise a arrêté le suspect à Amsterdam, elle a trouvé 130 000 banques de données contenant des informations personnelles sur des personnes en Thaïlande, en Chine, aux Pays-Bas, en Colombie et au Royaume-Uni, y compris des dossiers médicaux.