OPM : les pirates emportent les dossiers qui servent à faire confiance aux agents

En 2015, l’administration américaine révèle que des données utilisées dans les enquêtes d’habilitation ont été volées à l’Office of Personnel Management. Le bilan de ce volet atteint 21,5 millions de personnes. Il comprend des candidats à une enquête, mais aussi des proches mentionnés dans leurs dossiers.

Ce que conserve ce type d’administration est particulièrement sensible. Au-delà de l’identité et des numéros d’identification, une enquête peut contenir des informations sur les relations, les parcours et les entretiens nécessaires pour évaluer une personne. Le risque n’est donc pas comparable à la simple exposition d’un pseudonyme public.

La compromission met en cause les accès aux systèmes, dont des identifiants de prestataires selon les éléments rendus publics au Congrès. Il serait trompeur de raconter le dossier comme une seule faille magique : les investigations distinguent plusieurs intrusions et plusieurs ensembles de données.

L’administration indique que ses efforts de renforcement de la sécurité ont permis d’identifier deux incidents liés. La réponse comprend une analyse forensique, des notifications et des services de protection pour les personnes concernées. Le décompte évolue au fil de l’examen des bases ; un premier chiffre ne représente pas forcément le bilan final.

Des responsables américains et des enquêtes publiques ont relié cette opération à un objectif de renseignement chinois. Les sources retenues ici ne permettent pas de donner l’identité certaine de l’ensemble des opérateurs ni de prouver l’usage final de chaque dossier dérobé.

L’histoire d’OPM déplace la notion de butin. Certaines informations ont de la valeur parce qu’elles expliquent qui une institution autorise à entrer, à savoir et à agir — et ce qu’elle connaît de ces personnes.