L'Agence numérique du Japon a publié hier un avis : certains de ses sites construits avec la plateforme de création de sites par IA Studio ont été piratés par des hackers, entraînant la fuite de 13 323 données personnelles.
Les données divulguées concernent les différentes consultations soumises par les citoyens via des formulaires web entre 5/2021 et 3/2023. En détail : environ 8833 opinions et suggestions générales, environ 3661 consultations liées aux certificats de vaccination, environ 462 informations sur des activités d'ateliers, environ 250 consultations sur le recrutement, et même environ 117 demandes de prêt du costume de la mascotte « Mai Nyan ».
Plus problématique encore : les champs concernés. L'Agence numérique a confirmé que le nom de l'expéditeur, l'adresse électronique et le contenu des messages ont fui ; certains canaux de demande pourraient également compromettre l'organisme d'appartenance, l'adresse postale et le numéro de téléphone. Ce ne sont pas seulement des messages qui ont été exposés, mais aussi de multiples éléments d'identification permettant de cibler des individus précis.
Pas encore de dommages secondaires constatés
Bonne nouvelle : au 22 octobre, les autorités n'ont détecté aucune utilisation abusive de ces informations ni de dommages secondaires. L'Agence numérique a toutefois tiré la sonnette d'alarme : se méfier des courriels, appels et SMS inconnus se faisant passer pour l'agence ou des organismes apparentés, ne pas ouvrir des liens et pièces jointes d'origine douteuse, et ne surtout pas saisir ses mots de passe ou données bancaires. Dès qu'un phishing ciblé exploite les informations divulguées, le risque passe de « possible » à « en cours ». Les autorités soulignent particulièrement qu'elles ne demanderont jamais de mots de passe ni d'informations d'authentification par courriel ou par téléphone.
La commodité de la création de sites par IA s'est cette fois transformée en faille de sécurité. Lorsque des outils à faible barrière d'entrée prennent en charge les services publics en ligne, la responsabilité en matière de données et de protection ne peut évidemment plus être traitée à la légère.