Un appareil militaire américain contenant les données biométriques de 2632 personnes en vente sur eBay

On trouve décidément de tout sur eBay, même les données biométriques d’anciens militaires US. Cette anecdote étonnante nous vient d’une récente enquête publiée par le New York Times, qui détaille la manière dont un ancien appareil nord-américain, contenant les données de milliers de personnes, s’est retrouvé sur eBay pour une poignée de dollars.

De l’Afghanistan à un listing Ebay

Après le 11 septembre 2001, les États-Unis ont commencé à largement utiliser des appareils de relevés biométriques durant certaines missions militaires. L’un d’eux, un SEEK II pour être exact, a été mis en vente sur eBay avec toutes ses données récoltées en Afghanistan en 2012. Matthias Marx, un membre du célèbre Chaos Computer Club, a acheté la machine pour 68 $ au magasin de surplus militaires qui avait posté l’annonce.

“La gestion irresponsable de cette technologie à haut risque est proprement incroyable, explique Matthias Marx au quotidien new-yorkais. C’est incompréhensible que le fabricant et les anciens usagers militaires ne se soient pas souciés du fait que des appareils contenant des données sensibles soient vendus en ligne.” Comment l’appareil est passé d’un terrain de déploiement militaire à une case sur eBay reste un mystère. Le vendeur affirme seulement avoir acquis le SEEK II lors d’une vente aux enchères de matériel militaire, ne se doutant pas que des données figuraient sur la carte mémoire. “J’espère n’avoir rien fait de mal”, a benoîtement commenté le revendeur.

Matthias Marx et d’autres membres du Chaos Computer Club ont commencé à collectionner les anciens appareils militaires après avoir appris que certains avaient été saisis par les forces talibanes lors du départ précipité de l’armée étasunienne en 2021. Le but premier était d’essayer de trouver des vulnérabilités qui pourraient mettre en danger les données personnelles contenues sur les machines. La découverte d’un trésor biométrique dormant dans la carte mémoire du SEEK II, puis d’une autre base de données sur un autre appareil, a donc été accueillie avec inquiétude. Ces données, en plus de contenir les identifiants biométriques de militaires, permettent aussi d’identifier les personnes qui ont collaboré avec l’oncle Sam en Afghanistan.

Un risque potentiellement “fatal”

“Cela n’aurait pas dû se produire. C’est un désastre pour les personnes dont les données sont exposées. Dans le pire des cas, les conséquences pourraient être fatales”, indique un ancien responsable des forces armées US au New York Times. En guise de commentaire, le département de la Défense a simplement expliqué que “n’ayant pas accès aux données, le service n’est pas en mesure de confirmer leur authenticité ou de les commenter d’une quelconque manière”.

Cette affaire rappelle de manière glaçante à quel point les relevés biométriques sont des données particulièrement sensibles. Contrairement à un pseudo ou un mot de passe, il n’est pas possible de changer son empreinte digitale pour brouiller les pistes autour de son identité. Même 10 ans après, certaines des personnes qui ont accepté de travailler avec les États-Unis peuvent toujours être identifiées, avec tous les risques que cela comporte.