Deux Lettons sur trois dans une fuite de données, et toute la direction démissionne

La Direction de la sécurité routière lettone (CSDD), qui tient le registre des véhicules et délivre les permis, a subi une cyberattaque dans la nuit du 7 au 8 août. Le bilan, confirmé mi-août, est sans équivalent à l'échelle d'un pays : 1,2 million de personnes et 200 000 entreprises et autres personnes morales.

La Lettonie compte un peu plus de 1,8 million d'habitants. Environ deux tiers de la population figurent dans la fuite.

Ce qui a été pris

Les données proviennent des reçus de paiement effectués auprès de l'organisme, et remontent à 2008 — dix-huit ans d'historique. On y trouve :

• les numéros d'identification personnels ;

• les numéros d'enregistrement des entreprises ;

• les numéros de plaque d'immatriculation ;

• les montants et dates de paiement ;

• les adresses d'immatriculation des véhicules.

Les numéros de téléphone, adresses électroniques, identifiants et mots de passe n'ont pas été touchés.

Comment c'est arrivé

Les attaquants ont exploité une vulnérabilité sur un système exposé sur Internet. Plusieurs exigences de cybersécurité obligatoires n'étaient pas satisfaites. Une nouvelle tentative d'intrusion a été enregistrée le week-end précédant le 19 août.

Varis Teivans, directeur adjoint du CERT letton, a relevé la compétence technique des attaquants au vu des méthodes employées. L'enquête, menée par les autorités de cybersécurité et la police, se poursuit — et le CSDD et son prestataire d'infrastructure informatique, l'opérateur letton Tet, se renvoient la responsabilité.

Les conséquences politiques

Elles sont, à l'échelle européenne, inhabituellement rapides et sévères. Le conseil de surveillance du CSDD a présenté sa démission. Son dirigeant, Aivars Aksenoks, ancien maire de Riga et ancien ministre de la Justice, a annoncé son départ à l'issue de l'enquête.

Le président letton Edgars Rinkēvičs a estimé que l'attaque représentait « une menace importante pour la sécurité nationale » et jugé que la direction devait partir.

Le ministre des Transports a ordonné une enquête interne accélérée, qui doit notamment examiner le contrat de services de cybersécurité liant le CSDD à son prestataire.

Pourquoi ça nous concerne

Un registre automobile n'est pas une infrastructure sensible au sens habituel du terme. Il ne fait ni fonctionner un réseau électrique ni voler un avion. Il détient simplement, pendant dix-huit ans, une donnée par citoyen — et c'est très exactement ce qui en fait une cible de premier plan.

La même logique vaut pour n'importe quel opérateur public européen tenant un registre à vocation universelle. La question à poser n'est pas « ces données sont-elles sensibles ? » mais « depuis combien de temps les conservons-nous, et pourquoi ? ». Dix-huit ans de reçus de paiement n'avaient probablement aucune raison de rester en ligne.

Source

The Record, « Latvian officials resign after cyberattack exposes data on 1.2 million people », août 2026, d'après le radiodiffuseur public letton LSM et le CERT letton.