Le mercredi 23 septembre 2020, le Département américain de la sécurité intérieure (DHS) a enfin admis que les images initialement utilisées pour identifier des voyageurs avaient été piratées. Il s’agit de photos montrant leur visage, leur plaque d'immatriculation et des informations sur leur état de santé. Le responsable de cette fuite de données est un sous-traitant des douanes et du contrôle des frontières appelé Perceptics.Les renseignements sur les données piratées ont même été publiés sur le Dark Web alors qu'au début, le DHS avait affirmé le contraire. Selon une déclaration du bureau de l'inspecteur général du DHS, dans un rapport publié récemment sur l'incident, environ 184 000 images ont été piratées. De plus, le bureau a admis que 19 de ces images ont été publiées sur le Dark Web. La raison de cette faille est due au fait que le service des douanes et de la protection des frontières a insuffisamment assuré la sécurité des données sensibles sur un appareil non crypté.
« Le service de Douanes et de la protection des frontières (CBP) n’a pas correctement protégé les données sensibles sur un appareil non crypté utilisé pendant son projet pilote de technologie de reconnaissance faciale », peut-on lire dans le rapport.
Par conséquent, cela aurait un impact majeur sur la confiance du public vis-à-vis du gouvernement américain. Il pourrait en outre amener les voyageurs à hésiter à permettre au DHS de consulter leurs données biométriques lors des contrôles douaniers.
« Cet incident peut nuire à la confiance du public dans la capacité du gouvernement à sauvegarder les données biométriques et peut entraîner une réticence des voyageurs à autoriser le DHS à saisir et à utiliser leurs données biométriques aux douanes américaines », a encore indiqué le rapport.
Afin de disposer de ces différentes données sur les voyageurs, le CBP fait appel à de nombreuses technologies. En plus de ces dispositifs de reconnaissance faciale, il met également en place des caméras pour obtenir des captures de chaque véhicule et de chaque visage qui traverse la frontière. Les données recueillies sont ensuite traitées des ordinateurs. Ces mesures permettent au gouvernement de suivre les personnes qui franchissent les frontières américaines, notamment dans le cadre de la recherche de criminels et de terroristes présumés.
Conformément au rapport nouvellement publié, la base de données biométrique du DHS « contient le dépôt de données biométriques de plus de 250 millions de personnes et peut traiter plus de 300 000 transactions biométriques par jour. Il s’agit du plus grand dépôt de données biométriques du gouvernement fédéral, et le DHS partage ce dépôt avec le ministère de la Justice et le ministère de la Défense. »
La réalisation d'un projet de numérisation biométrique de cette envergure requiert une somme d'argent colossale, un réseau complexe d'entrepreneurs, mais aussi des sous-traitants. Parmi ces derniers figure donc la société Perceptics, qui est chargée du traitement des images des visages ainsi que des voitures capturées aux postes de péage. La société s'occupe également des caméras d'autoroute et de celles des postes frontières. Ainsi, le rapport du ministère américain de la sécurité intérieure indique que la société Perceptics est à l'origine de la présence de visages et de plaques d'immatriculation sur le Dark Web.
« Un sous-traitant travaillant sur ce projet, Perceptics, a transféré des copies des données biométriques du CBP, telles que les images des voyageurs, à son propre réseau d’entreprise », peut-on lire dans les colonnes du rapport.
En guise d'appui, le Département américain de la sécurité intérieure précise également dans son rapport que la société sous-traitante a consulté les données et que « plus tard en 2019, le DHS a connu un incident majeur en matière de vie privée, le réseau du sous-traitant ayant été soumis à une cyber-attaque malveillante ». La personne responsable de cette attaque est un hacker qui se fait appeler Boris Bullet-Dodger. Alors que le DHS avait initialement nié que les visages et les plaques d'immatriculation des personnes avaient été publiés sur le Dark Web, le département l'admet à présent.
Comme indiqué dans le rapport, un employé de Perceptics a été autorisé à accéder à un site du CBP à Anzalduas, au Texas. En présentant des tickets informatiques, il a demandé au CBP l'autorisation d'entrer afin de procéder à la maintenance des caméras. Lors de la maintenance, une faille de sécurité est survenue durant la période d'août 2018 à janvier 2019. Lorsqu'il est à l'intérieur, l'employé de Perceptics a relié un disque dur externe aux ordinateurs du CBP pour y télécharger les images avant de les transférer sur un serveur de Perceptics. Deux mois plus tard, soit en mai 2019, l’hacker Boris Bullet Dodger a envoyé une demande de rançon à Perceptics.
« Perceptics a reçu une demande de rançon par e-mail d’un hacker du nom de « Boris Bullet Dodger » exigeant 20 bitcoins dans les 72 heures. La demande de rançon indiquait que, sans les bitcoins, les données volées seraient téléchargées sur le Dark Web. Les percepteurs n’ont pas payé la rançon et l’hacker a téléchargé plus de 9 000 fichiers uniques sur le Dark Web », souligne le rapport.
Le CBP est intervenu en apprenant le piratage et de ce fait, il a révoqué les accréditations de Perceptics en lui interdisant notamment de collaborer avec le DHS.
« Toutefois, la suspension a été levée le 26 septembre 2019, laissant Perceptics éligible aux prochains marchés fédéraux. Dans le cadre de la levée de la suspension, le CBP et Perceptics ont conclu un accord afin de corriger les risques identifiés dans l’enquête du CBP sur la violation des données », ajoute le DHS.
À la suite de cet événement, le DHS a présenté une série de recommandations qui visent à « renforcer la sécurité et s’assurer que cela ne se reproduise plus ». Cependant, peu importe la qualité de la sécurité informatique proposée, le problème sous-jacent reste toujours présent dans la mesure où la police des frontières capture des photos de toutes les personnes qui franchissent la frontière et les enregistre sur des machines. Ces dernières risquent toujours de rester vulnérables. L'unique solution pour éviter cela est de renoncer totalement à la collecte et au stockage des données.
Source : DHS
Et vous ?
Qu'en pensez-vous ?Voir aussi :
USA : le DHS teste un système de reconnaissance faciale aux frontières, pour identifier les voyageurs qui entrent ou sortent des États-Unis USA : Portland adopte l'interdiction de la reconnaissance faciale la plus stricte à ce jour dans le pays, bannissant l'utilisation publique et privée de la technologie San Francisco devient la première ville US à interdire l'usage de la reconnaissance faciale, pour des raisons en lien avec les droits de l'Homme États-Unis : le sénateur Bernie Sanders veut interdire l'utilisation de la reconnaissance faciale par la police En France, l'IA est utilisée pour identifier les personnes qui ne portent pas de masque dans des lieux publics, déjà expérimentée à Cannes, la technologie entre en phase de test à Paris 
