Les données du ministère de l’enseignement supérieur auraient-elles fuité ?
Des pirates se sont emparés de milliers de données personnelles d’étudiants et d’employés dans une grosse opération de piratage du site du ministère de l’enseignement supérieur et d'une université de Marrakech. Qu'en pensent les experts?
Mounia Kabiri Kettani
Les données personnelles de 1,8 millions employés relevant du ministère de l'enseignement supérieur sont vendues sur une plateforme à environ 30 euros.
«C’est un fiasco », lance d’emblée l’expert en cybersécurié, Karim Berrada, commentant l’opération d’accès de pirates à la base de données du ministère de l’enseignement supérieur, de la recherche scientifique et de l’innovation. C’est la deuxième fuite de données, après le piratage du site d’une université de Marrakech. Les données personnelles (noms et prénoms, dates de naissance, numéros de CIN, identifiants Massar...) de près d’un million d’étudiants sont en jeu, en plus d’une base de données où figure entre autres les coordonnées personnelles des employés notamment ceux bancaires. Sur twitter, l’expert en numérique Badr Bellaj souligne que la base de données personnelles de 1,8 millions d’employés de la faculté en question a été proposée à la vente à 30 euros avant qu’elle ne soit accessible pour tout le monde. Il suffit de cliquer sur un lien pour télécharger toutes les données.
Le tout est passé sous silence par le ministère concerné qui, à ce jour, n’a aucunement communiqué sur cette affaire. Contacté par l’Observateur du Maroc et d’Afrique, le ministre de tutelle n’a pas souhaité s’exprimer sur cette affaire sombre. Un autre expert en cybersécurité, déplore grandement ce manque de transparence et estime que même si le site qui héberge la plateforme n'appartient pas au gouvernement, celui-ci en est responsable : « Pour moi, le gouvernement a une responsabilité morale dans ce dossier. C’est une question de sécurité des données et il y a des données qui ont fui, sans trop qu'on sache comment », soutient-il avant d’ajouter que « lorsque la violation de données est susceptible d’engendrer un risque élevé pour les droits et les libertés, les organismes responsables ont l’obligation d’informer directement les personnes concernées du fait que leurs données ont été compromises et publiées en ligne ». Pour sa part, Berrada estime que rien n’indique que la fuite provient d’employés pour le moment. Ce serait plutôt l’œuvre d’un pirate informatique. Mais pour éviter ce genre de fuite, il faudra, selon lui, retreindre les sorties internet notamment les accès aux réseaux sociaux au sein des départements publics. «C’est la grande porte pour pirater des données », alerte-t-il en recommandant par la même occasion aux responsables à mieux s’outiller pour sécuriser les données et faire des sauvegardes permanentes. Risque ? «Si ces informations sont cryptées par des hackers, toutes les données seront perdues », avertit l’expert.
Dans un communiqué publié le 20 décembre, la commission nationale de contrôle de protection des données à caractère personnel (CNDP) rappelle à l’ordre. « Plusieurs informations, relayées régulièrement par la presse et les réseaux sociaux, font état d’un certain nombre de fuite de données à caractère personnel. La CNDP souhaite rappeler les mécanismes mis en œuvre, par ses soins, dans ces situations », note l’institution. Ainsi, dès réception de l’information, la commission prend contact avec le ou les responsable(s) de traitement concerné(s) ainsi qu’avec la ou les source(s) de l’information publiée. Les différents acteurs sont, alors, reçus à la commission pour répondre aux questions de la CNDP et lui permettre, ainsi, d’enrichir l’instruction du dossier et de mieux identifier la situation et les responsabilités juridiques des différents intervenants. « Il peut y avoir également saisine des organismes compétents pour auditer et sécuriser les systèmes impactés par cette violation », ajoute la CNDP. Selon les infractions constatées, une décision est entérinée par la commission et des mesures sont prises, pouvant aller du retrait de récépissé de déclaration, de l’autorisation préalable, à la saisie de matériel, jusqu’au transfert du dossier au Procureur du Roi, sans préjudice de la responsabilité civile et des sanctions pénales des contrevenants.
En 2021, les autorités marocaines ont recensé 577 menaces de cybersécurité, selon la direction générale de la sécurité des systèmes d'information de l'administration de la Défense nationale (DGSSI). D’après une étude menée par Comparitech, un site spécialisé dans la cybersécurité, le Maroc se classe au 11ème rang des pays les moins sécurisés sur 75 pays dans ce segment TIC. Il est ainsi considéré comme l'un des pays au monde les plus vulnérables aux attaques de cybersécurité.
