• Des hacktivistes connus sous le nom de FocaLeaks affirment avoir piraté et exfiltré des données sur 37 000 agents de la Policía Nacional Civil de El Salvador (PNC).
• Les informations peuvent être utilisées pour accéder aux dossiers gouvernementaux de tous les citoyens et pour accéder à des enquêtes criminelles.

Les attaques de ransomware contre les services de police ont fait la une des journaux à plusieurs reprises au cours des dernières années, en particulier l’attaque de Babuk et le déversement de fichiers de la police D.C. contenant des informations sur le personnel ainsi que des fichiers présumés concernant des informateurs confidentiels.

Mais alors que les ransomwares ont fait les gros titres, l’hacktivisme à l’ancienne est toujours une chose, comme le montre le récent incident impliquant Epik. Et à l’heure actuelle, les forces de police du Salvador et les résidents de ce pays semblent être exposés à un risque important d’exposition de données personnelles et sensibles.

DataBreaches.net a d’abord été informé de l’opération « FocaLeaks » par DDoSecrets.com,un site qui sert de collectif de transparence à but non lucratif. Grâce à eux, DataBreaches.net pris contact avec un porte-parole de FocaLeaks pour obtenir plus d’informations. Toutes les communications avec le porte-parole de FocaLeaks ont été menées en anglais.

La violation a déjà été rapportée dans les médias par David Bernal sur La Prensa Gráfica le 9 septembre.

Qui est FocaLeaks ?

FocaLeaks se décrit comme l’effort de collaboration d’individus en Amérique latine et en Europe. Leur objectif, selon leur porte-parole, est « d’exercer une pression sur les gouvernements ayant des tendances autoritaires et populistes pour déstabiliser leur pouvoir et générer du mécontentement au sein de la population ». Bien que le nom focaLeaks soit spécifique aux activités impliquant le Salvador, le groupe prétend avoir accès à divers systèmes gouvernementaux, documents et bases de données d’autres pays.

« FocaLeaks » en tant qu’opération ou groupe est actif depuis moins d’un mois et tire son nom d’un terme dérisoire pour le gouvernement et la police du Salvador utilisé par l’opposition ou des éléments anti-gouvernementaux: « foca » signifie « sceau ».

Lorsqu’on lui a demandé s’ils s’engageaient dans des activités perturbatrices telles que la destruction de bases de données, le porte-parole a répondu:

Normalement, nous obtenons des informations de diverses sources, nous les stockons et les utilisons comme une ressource de renseignement, nous ne sommes pas bruyants, nous ne causons pas de dommages à l’infrastructure. Ce n’est pas notre but, nous sommes dans leurs systèmes depuis des années sans problèmes.

Le porte-parole, qui sera appelé ici « John Doe » (aucun parent de Dissent Doe, cependant), a tenu à noter que FocaLeaks n’est affilié à aucun mouvement populaire ou parti politique existant. Doe n’a pas non plus de rancune particulière contre la police du Salvador, « à part se prêter à des arrestations illégales comme celle de [Mario Gómez] – son arrestation et sa saisie d’appareils étaient irrégulières et illégales ».

---

Somos los que vamos a equilibrar la balanza de el poder. Hemos estado observando sus actos desde hace mucho tiempo, hemos visto sus pecados, los hemos pesado en la balanza y han sido hallados deficientes. El día que han decidido atropellar a Mario derramaron la gota que colmó el vaso. Tenemos acceso a diversos sistemas gubernamentales, documentos y bases de datos, aquí les dejamos nuestra primera muestra, si no desisten en su proceder vamos a hacer el mundo arder, nada estará oculto, somos la luz. Vamos a exponer información personal de cada miembro de las fuerzas armadas, policía nacional civil, políticos, no se escapará nadie. Somos una idea, la idea de que pensar diferente no es un crimen, controlar el flujo de la información si lo es. #LiberenaMario

— Déclaration de FocaLeaks

---

La cyberattaque contre la police du Salvador

Doe n’a pas fourni de détails spécifiques sur leurs méthodes, disant seulement à DataBreaches.net que dans un poste de police, ils avaient repéré des clés et des informations d’utilisateur collées sur un mur. Et cela, dit Doe, a été le début de tout cela.

« Notre équipe a exploité les failles de son application mobile pour accéder ou réussir à vider les informations, compte tenu de sa mauvaise authentification, a déclaré Doe à ce site, ajoutant: « Vous seriez surpris du peu de sécurité de ces api (sic). »

Le vidage de données

DDoSecrets a mis à la disposition du public un ensemble de données expurgées. DataBreaches.net a décidé de ne fournir qu’un seul échantillon fortement expurgé des types d’enregistrements dans chacun des deux fichiers fournis par FocaLeaks à ce site.

Un ensemble de données contient des enregistrements qui ressemblent à ceci :

ONI: [caviardé] NOMBRE: [caviardé] Datos policiales: [caviardé] INTERPOL/DEPARTAMENTO BUSQUEDA INTERNACIONAL DE PERSONAS FUGITIVAS Y EXTRADICCIONES/RANGO:[caviardé] TEL INSTITUCIONAL: [caviardé] Usuario de Imperium: [caviardé] DUI: [caviardé] ESTADO: ACTIVO

L’autre ensemble de données contient des enregistrements qui ressemblent à ceci :

{“id »:”[caviardé] »,”oni »:”[caviardé] »,”numero »:”[caviardé] »,”Correo »:”[caviardé] »,”upd »:”[caviardé] »,”imei »:”[caviardé] », épingle: « [caviardé] »

Les données des deux ensembles concordent.

Sans entrer dans les détails ici, un ensemble de données contient les connexions au système Policía Nacional Civil de El Salvador (PNC). Selon FocaLeaks, l’usurpation de l’IMEI permet à quelqu’un d’accéder à une application de police personnalisée qui peut ensuite être utilisée pour accéder à une plate-forme afin d’obtenir d’autres données qui lui permettront d’accéder à la plate-forme « Imperium ». Bien que DataBreaches.net connaisse les noms de l’application et de la plate-forme, ils ne sont pas nommés ici. Doe nous a fourni des captures d’écran prises à partir de l’application personnalisée et de l’une des plates-formes. Doe nous a également fourni des étapes spécifiques à suivre pour accéder à Imperium. Pour protéger la sécurité d’autrui, nous ne signalons pas ces étapes. Nous notons que bien que Doe ait pu nous fournir des captures d’écran à partir de l’application personnalisée et d’une plate-forme, il n’y avait pas de capture d’écran fournie à partir de « Imperium », malgré notre demande. Bien que ce manque de preuve soit un peu préoccupant, nous notons que lorsque nous avons contacté le PNC, ils n’ont pas nié le piratage revendiqué. Leur conseiller à la sécurité nationale était cc: sur leur déclaration, décrite plus loin dans ce post.

Selon Doe, la plate-forme « Imperium » contient des enquêtes criminelles, mais elle contient également des dossiers d’état civil qui incluent les informations du gouvernement sur chaque individu dans le pays, y compris leur rang, leur numéro de téléphone, leur adresse e-mail, leurs informations de plaque d’immatriculation et leurs documents d’identité.

Si l’affirmation de FocaLeaks est exacte, il existe un risque important pour la sécurité car les numéros IMEI ne peuvent pas être modifiés, et l’accès à la plate-forme Imperium pourrait potentiellement être utilisé à mauvais escient pour trouver et riposter contre des informateurs ou d’autres, ou pour tenter d’extorquer des personnes susceptibles de faire l’objet d’une enquête. Il pourrait également être utilisé pour prendre en charge l’identité des individus à des fins frauduleuses.

Soutenant l’affirmation de FocaLeaks, les rapports de La Prensa Gráfica indiquent qu’au moins plusieurs membres des forces de police ont trouvé leurs informations dans une fuite antérieure de données non expurgées, et certains auraient déposé des plaintes auprès du bureau du procureur parce qu’ils pensent qu’ils sont maintenant en danger.

Réponse de PNC

DataBreaches.net n’a pas tenté de tester des revendications ou des instructions spécifiques fournies par Doe à ce site quant à la façon d’accéder à Imperium, car cela violerait les lois sur le piratage de ce pays. Ce site a toutefois tenté de contacter la PNC pour lui demander s’il confirmerait le piratage revendiqué et ce qu’il a fait en réponse aux allégations. Comme indiqué précédemment ailleurs, la police est clairement au courant, comme elle l’a tweeté plus tôt ce mois-ci, par exemple.

On sait que des pirates informatiques ont infiltré la base de données informatique du @PNCSV qui contient les informations institutionnelles avec le nom de chaque élément de police et l’endroit où il est mis en évidence.

Et le @Director_PNC quelques heures se prononcera sur la violation de la base de données informatique de la @PNCSV, où le nom, ONI, DUI, numéro de téléphone et lieu où le personnel de police sont mis en évidence sont exposés. (message du hack):

Selon Doe, PNC a retiré son site quelques jours après la découverte de la violation, et il est en panne au moment de cette publication. Au 3 septembre, l’Unité des technologies de l’information et des télécommunications (UTIT) de la PNC aurait assumé le contrôle à 100% du système Imperium.

La demande par e-mail de DataBreaches.net à PNC a été cc:d à leur agence de sécurité nationale. L’enquête comprenait deux dossiers non expurgés (un de chacun des deux fichiers fournis par FocaLeaks à ce site) avec une demande leur demandant d’indiquer si les données provenaient de leur système ou non.

Nous avons reçu une réponse de leur agence de sécurité nationale. Ils ont semblé traiter ce qui était clairement indiqué comme une enquête des médias et de la presse comme une plainte et ils lui ont attribué un numéro de plainte. Le corps de la réponse (adressée à @Chum1ng0) se lisait comme suit :

Estimado Chum: Hemos adjunto al Asesor para darle seguimiento a lo que expone. Esperemos el debido proceso de validar ciertos datos y encontrar una solución viable.
Saludos

Cela semble dire qu’ils ont renvoyé notre enquête à leur conseiller à la sécurité nationale qui, espérons-le, déterminera si les données peuvent être validées. Ainsi, plus de deux semaines après la fuite initiale des données, et plus de deux semaines après la fermeture du site Web, ils ne confirment pas le piratage allégué, mais ils ne le réfutent pas non plus.

Des préoccupations éthiques?

DataBreaches.net demandé à Doe s’ils avaient des préoccupations éthiques ou morales selon lesquelles les gens seraient lésés si les gens commençaient simplement à accéder aux enquêtes parce que FocaLeaks a rendu cette décharge publique. Doe a répondu :

La vérité est que, non, je pense que certaines choses devraient être accessibles à tout le monde, et plus encore lorsque les gens qui devraient se préoccuper de la protection de cette information ne semblent pas s’en soucier.

Dans certains pays, les renseignements personnels des policiers sont protégés — ils ne sont pas inclus dans les bases de données avec les adresses et les numéros de téléphone. Ne connaissant pas la pratique au Salvador, DataBreaches.net a demandé à Doe si FocaLeaks mettait les agents en danger avec cette décharge. Ils ont répondu :

Dans les pays d’Amérique latine, les taux d’abus policiers sont très élevés, nous pensons que cette base de données sera un outil utile pour faire face à ces abus.

DDoSecrets

FocaLeaks a fourni à DDoSecrets des données non expurgées sur 37 000 agents actifs. Doe affirme qu’ils ont également des données sur d’autres agents qui sont actuellement inactifs ou déchargés, mais ces données n’ont pas été données à DDosSecrets.

DDoSecrets et DataBreaches.net convenu qu’aucun de nos sites ne révélerait certaines informations qui pourraient exposer les gens à un risque de préjudice. Par conséquent, DDoSecrets a expurgé certains éléments des enregistrements de données.

Vous pouvez trouver l’ensemble de données expurgées et la couverture de DDoSecret sur https://ddosecrets.com/wiki/El_Salvador_Police_Database.

---

Reportage de Dissent en collaboration avec DDoSecrets. Recherche supplémentaire par Chum1ng0.

Remarque : DataBreaches.net a appris qu’il y a plusieurs années, des données sur les agents du PNC pourraient avoir été vendues sur le dark web par quelqu’un prétendant être un « enquêteur » de l’agence nationale de renseignement du Salvador. John Doe affirme que l’incident précédent n’avait rien à voir avec FocaLeaks et que FocaLeaks n’avait jamais eu ces données. Selon Doe, il n’y a jamais eu non plus de vidage de données publiques à l’époque.

Articles connexes:

• Les enquêtes de la police britannique toujours affectées par une attaque de ransomware
• Les dossiers de police divulgués contiennent des garanties disciplinaires…
• NZ: La police enquête sur une fuite présumée de la base de données ADN
• Le bureau du shérif du Missouri a divulgué l’audio de la police…
• La police saisit des ordinateurs dans le le cours d’une enquête de l’ACIC

et: