Le pirate informatique et spécialiste en cybersécurité Inti De Ceukelaire (29 ans), partisan du "piratage éthique", a affirmé ce mercredi avoir pu acheter 107 noms de domaines sur internet qui appartenaient jusqu'ici à des zones de police, des hôpitaux, des services sociaux ou juridiques, mais qui n'ont pas été prolongés. Il a pu de cette manière accéder à 848 adresses mails de collaborateurs et via celles-ci à de nombreux courriers électroniques et documents sensibles. "C’est pénible de voir combien de données sensibles peuvent ainsi être achetées en ligne. Ce ne devrait pas être possible", conclut De Ceukelaire.
Un pirate éthique récupère des données sensibles grâce au rachat de 107 domaines expirés
Toute personne, entreprise ou organisation possédant un nom de domaine doit le renouveler régulièrement. Si ce n'est pas le cas, ce nom expire - comme cela peut aussi être le cas après une faillite ou une fusion de communes par exemple - et d'autres personnes peuvent racheter ce domaine remis sur le marché. C'est ce qu'a fait l’Alostois Inti De Ceukelaire (photo). Il a acheté - pour 8 euros/pièce - une centaine de domaines non-renouvelés de Centres publics d’aide sociale (CPAS), de Centres de travail social généraliste en Flandre (CAW) et de zones de police, notamment.
"En tant que citoyen responsable, je voulais éviter que des données sensibles ne se retrouvent entre de mauvaises mains. J'ai donc acheté un peu plus de 100 domaines pour environ 850 euros", a expliqué le pirate informatique sur son blog. Plus précisément, il s’agissait de 44 domaines de CPAS, 32 domaines de zones de polices, 12 domaines de Centres de travail social, 12 domaines de Centres d’accompagnement des élèves (CLB), 4 domaines d’hôpitaux (psychiatriques) et 3 domaines d’institutions juridiques. L'achat de ces domaines lui a permis de savoir comment ils étaient encore utilisés.
Des milliers d'e-mails
Il s'est avéré que de nombreux courriers sensibles arrivaient encore dans les boîtes de réception liées aux domaines expirés. Il s'agissait notamment d'informations à propos de détenus, de personnes en surendettement, de la santé ou la situation sociale de personnes vulnérables, ou encore de documents d'assurances.
Grâce aux adresses e-mail liées au domaine, il était également possible de réinitialiser les mots de passe de services de stockage dans le cloud comme Dropbox ou Google Drive. Inti De Ceukelaire indique avoir transmis les informations au Centre pour la Cybersécurité Belgique (CCB), qui a prévenu les précédents propriétaires de ces domaines et les a mis en garde contre les dangers des domaines expirés.
"J’ai acheté ces noms de domaines et en collaboration avec Cybersécurité, je vais essayer de les rendre à leurs propriétaires légitimes. Mais l’horloge continue de tourner et le risque existe que ces noms de domaines expirent à nouveau", met en garde De Ceukelaire.
"C’est effectivement un gros problème", confirmait Miguel De Bruycker ce mercredi dans l’émission De Ochtend de la VRT. Il est chef du Centre pour la Cybersécurité. "Selon nos directives générales, le responsable informatique de services publics devrait prendre des mesures de protection, comme retirer de la circulation certains équipements informatiques et logiciels".
Inti De Ceukelaire souligne aussi que la responsabilité est partagée. "Les services sociaux ou les zones de police qui laissent des noms de domaines expirer auraient pu l’éviter avec des instruments bon marché. Prolonger un nom de domaine pour 10 ans coûte entre 100 et 200 euros. C’est très peu quand on sait qu’une fuite de données d’une ampleur encore jamais vue en Belgique a pu être évitée par le rachat de cette centaine de noms de domaines expirés".