Le rêve brésilien en matière d’identification numérique vient de virer au cauchemar
Le silence de FacePass est plus éloquent que les 1,6 million de visages exposés.
La récente violation de FacePass, une application brésilienne de reconnaissance et d’identification faciales, a mis en évidence de profondes vulnérabilités dans l’écosystème croissant de l’identification numérique. Selon les chercheurs en cybersécurité de Cybernews, plus de 1,6 million de fichiers contenant des données sensibles sur les utilisateurs et des informations d’identification internes ont été laissés sans protection dans un bac S3 d’Amazon Web Services (AWS) mal configuré.
Les données exposées comprennent des numéros d’identité nationaux, des selfies de vérification faciale, des noms complets, des identifiants fiscaux CPF, des numéros de téléphone et des identifiants d’accès à AWS, ce qui donne une image troublante des risques individuels et systémiques.
Alors que le Brésil s’apprête à intégrer rapidement la vérification biométrique et l’identification numérique dans son infrastructure nationale, cet incident souligne la fragilité de ces systèmes d’identité numérique, d’autant plus que de plus en plus de pays s’efforcent de mettre en œuvre ce système controversé.
Les experts en cybersécurité préviennent que les documents divulgués pourraient être utilisés à des fins d’usurpation d’identité, de fraude financière et de campagnes d’hameçonnage très ciblées. La possibilité d’associer des selfies à des documents d’identité officiels augmente considérablement le risque d’usurpation d’identité biométrique, qui consiste pour les pirates à imiter les traits physiques d’une personne afin de contourner les systèmes d’authentification.
Ce qui est encore plus inquiétant, c’est l’exposition des identifiants AWS de FacePass, qui auraient pu permettre à des acteurs malveillants d’accéder aux systèmes plus larges de l’entreprise. Cette lacune est particulièrement préoccupante compte tenu des récentes mises à jour des outils de gestion des identités et des accès (IAM) d’AWS, outils qui ont été soit mal configurés, soit ignorés. Lorsque les entreprises ne parviennent pas à sécuriser correctement les systèmes censés protéger les données biométriques, les conséquences vont bien au-delà d’une simple défaillance technique : elles sapent directement la confiance des utilisateurs et la sécurité publique.
Cette violation n’est pas un cas isolé, elle reflète un problème systémique croissant dans la manière dont les plateformes d’identité numérique sont conçues et entretenues. Les données biométriques sont immuables ; elles ne peuvent pas être modifiées comme un mot de passe. Une fois divulguées, elles restent vulnérables indéfiniment. Lorsque ces identifiants sont liés à des bases de données centralisées, comme c’est souvent le cas dans les programmes d’identité numérique, les enjeux sont encore plus élevés. Une faille devient un point unique de défaillance catastrophique, pouvant compromettre des millions d’identités d’un seul coup.
FacePass aurait remédié à la faille d’AWS exposée après avoir été notifiée par Cybernews, mais n’a pas encore fait de déclaration publique sur l’incident. Ce silence illustre une fois de plus le manque de transparence qui affecte de nombreuses plateformes d’identification biométrique et numérique. En l’absence de communication claire, de responsabilité et de cadres solides en matière de protection de la vie privée, les utilisateurs doivent supporter le fardeau de la négligence des entreprises.
yogaesoteric
10 avril 2025
