Le Likud fait fuiter les infos personnelles de tous les adultes israéliens

Une plainte déposée contre le parti du Likud a mis à nu l’une des fuites les plus importantes et les plus compromettantes en termes d’informations personnelles concernant les citoyens de toute l’Histoire d’Israël.

La plainte accuse le parti au pouvoir d’avoir contrevenu de manière éhontée aux lois sur la confidentialité dans sa campagne électorale.

La plainte, qui a été déposée jeudi, accuse le Likud d’avoir utilisé son accès au registre des électeurs de la commission centrale électorale pour créer une base de données de tous les Israéliens en âge de voter, puis de l’avoir mise à la disposition de tous ses activistes de terrain par l’intermédiaire de l’application Elector, téléchargeable par tous.

Cette application vise à permettre aux partis politiques de procéder à un traitement des données en temps réel le jour des élections, en révélant des informations déterminantes recueillies sur le terrain sur les électeurs individuels, dans les bureaux de vote (avec notamment les taux de soutien pour une formation spécifique dans un seul bureau) et dans les régions.

Mais une faille dans l’interface de l’application a donné un « accès administrateur » à la base de données toute entière, ce qui a permis d’accéder et de pouvoir copier l’intégralité du registre des électeurs israéliens – ainsi que d’obtenir des informations supplémentaires sur des centaines de milliers de votants recueillies par le Likud.

Cette base de données comprend les noms, le sexe, l’adresse du domicile – ainsi que le numéro de téléphone mobile dans un grand nombre cas – de 6,5 millions d’adultes israéliens, ainsi que les réponses qu’ils ont pu être amenés à apporter dans le cadre de sondages.

Cette fuite marque le deuxième fiasco majeur du Likud en termes de confidentialité vis-à-vis des électeurs, mais il est bien plus important que l’incident qui l’avait précédé. Le journal économique The Marker avait fait savoir, le 9 septembre, qu’il était parvenu à accéder à la base de données des électeurs du Likud (lien en hébreu) en amont du scrutin du 17 septembre, avec notamment des informations que le parti avait enregistré sur la relation qu’il entretenait avec chaque Israélien. Plus de 6 000 personnes avaient figuré dans la liste des « non-partisans ».

Cette nouvelle fuite a deux aspects, l’un accidentel et l’autre intentionnel.

Le Premier ministre Benjamin Netanyahu s’exprime lors d’un rassemblement du parti du Likud à Tel Aviv, le 17 novembre 2019 (Crédit : Tomer Neuberg/Flash90)

Comme l’a d’abord rapporté Seventh Eye, site internet d’investigation israélien qui se concentre sur l’industrie des médias, la version web de l’application Elector a été trop rapidement conçue, autorisant un simple navigateur à obtenir un accès de haut-niveau à toute la base de données.

Un individu se rendant sur le site internet en utilisant un navigateur standard, comme Google Chrome, pouvait ainsi effectuer un clic droit à partir de sa souris sur la page et sélectionner « Voir la page source ». Le code-source qui était alors révélé contenait un lien vers la page du compte administrateur, sur laquelle il suffisait qu’un pirate se rende pour trouver les mots de passe, qui figuraient en plein jour, des utilisateurs « administrateurs » – les personnes ayant l’autorisation de gérer les bases de données.

En utilisant les noms d’utilisateurs et les mots de passe des administrateurs, il était alors possible d’entrer sur le site avec un plein accès aux bases de données complètes, et notamment aux informations les plus actualisées mises en place par la commission centrale électorale concernant les citoyens adultes israéliens. La base de données incluait également des informations collectées par le biais des enquêtes d’opinion incessantes menées par l’équipe de campagne du Likud par SMS, qui sollicitait puis enregistrait les préférences politiques des usagers.

Selon Ran Bar-Zik, programmateur du bureau de Verizon Media à Ramat Gan qui a signalé la fuite au siège de la cybersécurité israélienne, « toutes les agences de renseignement, tous les gouvernements étrangers et même les compagnies commerciales peuvent dorénavant obtenir ces informations sur tous les citoyens israéliens ».

« J’ai vu de nombreuses fuites au cours de ma carrière », a-t-il commenté auprès du journal économique Calcalist. « Mais je n’avais jamais vu une fuite due à une incompétence aussi absurde ni plus nuisible que celle-ci ».

Capture d’écran du site internet de l’application de données électorales Elector, le 10 février 2020 (Capture d’écran)

Mais cela n’a été que la moitié du problème. Et il y en a eu un second, complètement intentionnel, selon les plaignants.

La campagne du Likud a passé des semaines à médiatiser des codes d’accès à l’application sur les comptes du parti, sur les réseaux sociaux, et sur les réseaux activistes pour tenter de mobiliser sa base, appelée à collecter des informations qui pourraient aider à cibler les électeurs au jour du scrutin. Cet effort a, dans les faits, permis à d’innombrables individus, qui n’avaient pas la permission directe de visionner ces informations, d’accéder aux bases de données.

Il est impossible de dire pour le moment si les capacités des usagers à obtenir des informations issues de la base de données en utilisant les codes d’accès de la campagne du Likud ont été limitées.

Selon la page de téléchargement de l’application sur Google Play Store, Elector a été remis à niveau dans la journée de jeudi – le jour même où la plainte a été déposée auprès de la commission centrale électorale – de manière à limiter le nombre de recherches quotidiennes qu’un utilisateur est en mesure de faire sur la base de données.

Selon les lois sur la confidentialité, les partis politiques peuvent accéder au registre des électeurs mais il leur est interdit de transmettre les données à une partie tierce. La plainte, qui a été déposée par les avocats Shahar Ben-Meir et Yitzhak Aviram, et qui est accompagnée de recherches sur l’application effectuées par des experts du secteur, clame que la transmission du Likud de la base de données sur Elector, qu’il hébergeait sur ses propres serveurs, s’apparente à une violation extrême de la loi.

Le juge de la Cour suprême Neal Hendel, président du Comité central des élections, le 14 janvier 2020. (Yonathan Sindel/Flash90)

Dans une vidéo en hébreu diffusée sur YouTube, Tzuriel Yemin, programmateur responsable de l’application Elector, s’était vanté de ce que ses capacités incluaient la possibilité de copier la base de données des électeurs vers un site extérieur pour préservation.

Tandis que les failles d’Elector ont été corrigées après la découverte de la fuite, cette exposition d’informations par le biais de l’application mobile à des activistes de terrain du Likud non-habilités a allègrement continué pendant le week-end, avec des événements de campagne et des pages Facebook qui ont vivement recommandé aux usagers de télécharger et d’utiliser les informations sur les électeurs potentiels dans leurs secteurs et dans leurs cercles sociaux.

La plainte précise que le parti Shas a également utilisé l’application de manière similaire, les campagnes des deux partis coordonnant leurs efforts.

Le Likud avait utilisé Elector pour la première fois lors des Primaires du 26 décembre au sein de la formation, qui avaient opposé Netanyahu et son rival Gideon Saar. Elle a depuis servi aux députés Travaillistes et à Yisrael Beytenu.

Dimanche, le chef de la commission centrale électorale Neal Hendel a ordonné à toutes les parties concernées – et notamment au Likud, au Shas, à l’entreprise qui a conçu Elector, au procureur-général Avichai Mandelblit ainsi qu’à l’Autorité en charge de la protection de la vie privée au sein du ministère de la Justice, de répondre à la plainte d’ici mercredi.

Les experts clament qu’il n’y a aucun moyen de savoir qui a obtenu les informations comprises dans la base de données, que ce soit au mois de septembre ou avant jeudi, lorsque Elector a réparé la faille du site et en a limité l’accès via l’application mobile.