Fuite massive de données au « UK Visa Portal » : 100 000 passeports exposés, la plateforme menace le journaliste au lieu de réagir

Parmi les fichiers exposés figuraient des scans de passeports, des selfies de vérification d’identité et d’autres données de dossier . TechCrunch a pu vérifier l’authenticité de la fuite en contactant plusieurs personnes dont les informations figuraient dans les documents exposés, confirmant la correspondance avec de vraies demandes . L’ampleur de l’incident est considérable : au moins 100 000 documents sensibles étaient vulnérables au moment de la découverte .

Qui se cachait derrière UK Visa Portal ?

Le site fonctionnait comme un service commercial totalement indépendant, sans aucun lien avec le Home Office (le ministère de l’Intérieur britannique) ou le portail officiel GOV.UK . D’après les informations disponibles, il était géré par Active Leadgen LLC, une société enregistrée aux Émirats arabes unis . La plateforme facturait des frais pour aider les utilisateurs à effectuer des demandes d’autorisation de voyage électronique (ETA) ou d’autres formalités d’immigration – des démarches qu’il est souvent possible de réaliser soi-même gratuitement ou à moindre coût directement sur GOV.UK .

Le site présentait également une lacune de taille pour une plateforme manipulant des données aussi sensibles : aucune adresse de contact dédiée ou mécanisme de signalement des bugs de sécurité . Cette absence a probablement prolongé la durée d’exposition des données, aucun moyen simple n’existant pour que des chercheurs ou des utilisateurs puissent signaler le problème.

La réponse sidérante de l’entreprise : menaces juridiques au lieu de mesures correctives

C’est la réaction – ou plutôt l’absence de réaction – de l’entreprise une fois la faille découverte qui constitue l’aspect le plus controversé de cette affaire. Lorsque TechCrunch a contacté l’exploitant du site pour l’alerter avant la publication de son article, la brèche de sécurité n’avait toujours pas été corrigée .

Au lieu de sécuriser immédiatement les serveurs exposés, d’émettre une communication publique ou de prévenir les utilisateurs concernés, la société a opté pour une tout autre approche. Plusieurs sources confirment qu’Active Leadgen LLC a dépêché des avocats dans une tentative apparente d’intimider TechCrunch pour empêcher la publication de l’article . Le bucket de stockage n’a finalement été sécurisé que dans la nuit qui a suivi la mise en ligne du reportage – pas avant la publication, et pas en réponse au signalement éthique de la faille .

Conséquences et risques pour les victimes

Le jeu de données exposées crée un risque sérieux d’usurpation d’identité et de fraude. En combinant des scans de passeport en haute résolution, des selfies d’identité et potentiellement des métadonnées de géolocalisation, des acteurs malveillants pourraient utiliser ces informations pour commettre des fraudes financières, ouvrir des comptes bancaires ou mener des attaques d’ingénierie sociale .

Pour les victimes, beaucoup n’avaient aucune raison de soupçonner qu’elles utilisaient un service non gouvernemental, et la nouvelle de l’exposition a donc été un véritable choc. Le canal officiel du gouvernement britannique pour les demandes de visa reste le site GOV.UK. Cet incident constitue un rappel brutal de la nécessité de toujours vérifier scrupuleusement l’identité des services tiers qui réclament des documents d’identité hautement sensibles.