Des documents de voyage et des données personnelles rendus publics
Un site internet tiers, opérant sous le nom de UK Visa Portal, a exposé sans protection les passeports et les photos d’identité (selfies) de milliers de personnes ayant payé ses services pour obtenir un visa d’immigration britannique. Selon les informations communiquées par un lanceur d’alerte à des journalistes, au moins 100 000 documents étaient accessibles en ligne.
Ce site n’est pas affilié au gouvernement du Royaume-Uni. Plusieurs internautes ont déjà témoigné sur des forums avoir cru utiliser le portail officiel GOV.UK et avoir, par erreur, payé des frais à cette société privée.
Une brèche persistante, une réponse juridique
L’anonyme qui a signalé la faille a indiqué que la plateforme exposait non seulement les copies des passeports et les selfies des candidats, mais aussi leurs données de localisation. Au lieu de corriger la vulnérabilité, les responsables du site ont mandaté des avocats pour répondre aux sollicitations des journalistes. Selon le témoignage recueilli, le site n’avait pas encore sécurisé les données au moment des premières révélations.
Une sécurisation intervenue après la publication
Les données exposées ont finalement été protégées dans la nuit suivant la publication du premier article d’investigation, soit environ vingt-quatre heures après la mise au jour de la brèche par les journalistes. Aucune confirmation n’a été obtenue concernant d’éventuelles mesures de notification aux personnes concernées ou aux autorités compétentes en matière de protection des données.
Des pratiques trompeuses et des risques identitaires
Le site UK Visa Portal facturait des frais pour des démarches que les demandeurs auraient pu effectuer directement et gratuitement, ou à moindre coût, sur le site officiel du gouvernement britannique. Plusieurs plaintes en ligne font état de cette confusion, certains usagers affirmant avoir été induits en erreur par le nom du site.
L’exposition de documents d’identité officiels (passeports) et de données biométriques (selfies) expose les victimes potentielles à des risques élevés d’usurpation d’identité et de fraude documentaire. La localisation des candidats, également divulguée, pourrait en outre permettre de suivre leurs déplacements.
Un précédent qui soulève des questions
Cette affaire met en lumière les risques liés aux sites intermédiaires qui imitent les portails administratifs officiels. Elle soulève également des interrogations sur la réactivité des opérateurs privés face à des fuites massives de données personnelles, surtout lorsqu’ils opposent d’abord une réponse juridique plutôt que de sécuriser les fichiers compromis.
