Une liste de surveillance de terroristes incluant près de 2 millions d'enregistrements a été exposée et non sécurisée sur Internet pendant trois semaines, entre le 19 juillet et le 9 août. La liste de surveillance proviendrait du Terrorist Screening Center (TSC), un centre multi-agences géré par le Federal Bureau of Investigation (FBI).
La liste de surveillance a été découverte par le chercheur en sécurité Bob Diachenko le 19 juillet, qui l'a immédiatement signalée au ministère de la Sécurité intérieure. Si le DHS a reconnu l'incident et remercié le chercheur pour son travail, il n'a pas donné plus de détails, a écrit M. Diachenko dans une publication LinkedIn qui détaille ses découvertes.
Le TSC a été créé en 2003 à la suite des attentats du 11 septembre, afin de permettre aux différents départements et agences gouvernementales de partager des informations sur les terroristes présumés. Le Centre est responsable de la gestion et de l'exploitation de la base de données sur le filtrage des terroristes (TSDB) et partage les informations avec les organismes de sécurité intérieure, d'application de la loi et de renseignement, y compris le Département d'État (DOS), le Département de la défense (DOD), l'Administration de la sécurité des transports (TSA), les douanes et la protection des frontières (CBP) et, dans certains cas, certains partenaires internationaux également.
LIRE LA SUITE : 10 milliards d’infos de bases de données non sécurisées exposées, selon une étude
Diachenko a admis qu'il n'était pas certain que la liste ait été consultée par des parties non autorisées. Le serveur exposé était également indexé par les moteurs de recherche Censys et ZoomEye, ce qui pourrait suggérer que le chercheur en sécurité n'était pas le seul à avoir vu la liste. « Le cluster Elasticsearch exposé contenait 1,9 million d'enregistrements. Je ne sais pas quelle proportion de la liste de surveillance TSC complète il stockait, mais il semble plausible que la liste entière ait été exposée », a-t-il ajouté.
Les enregistrements exposés comprenaient plusieurs types de données, notamment les noms complets, les identifiants de la liste de surveillance TSC, la citoyenneté, le sexe, les dates de naissance, les numéros de passeport, le pays de délivrance et les indicateurs d'interdiction de vol. Diachenko a également souligné que la base de données a été découverte sur une adresse IP du Bahreïn plutôt que des États-Unis.
Selon M. Diachenko, la fuite de données aussi sensibles pourrait poser des problèmes aux personnes dont les informations ont pu figurer sur la liste. Il ajoute que « La liste de surveillance des terroristes est constituée de personnes soupçonnées de terrorisme, mais qui n'ont pas nécessairement été inculpées d'un quelconque crime. Entre de mauvaises mains, cette liste pourrait être utilisée pour opprimer, harceler ou persécuter les personnes figurant sur la liste et leurs familles. Elle pourrait causer un certain nombre de problèmes personnels et professionnels à des personnes innocentes dont le nom figure sur la liste ».
