Failles de sécurité sur sites gouvernementaux britanniques exposent données sensibles

Contexte de la découverte

L’enquête publiée par WIRED révèle que des chercheurs en sécurité ont identifié un ensemble de vulnérabilités sur des sites officiels du Royaume-Uni. L’article précise que les failles concernent « plusieurs portails », sans préciser le nombre exact, mais indique que les données exposées sont qualifiées de « god‑tier », c’est‑à‑dire d’une sensibilité très élevée. Cette qualification montre que les informations compromises dépassent le simple niveau administratif pour inclure des dossiers personnels et des documents internes stratégiques.

Types de vulnérabilités identifiées

Selon le reportage, les failles se manifestent sous trois formes principales : des configurations S3 mal sécurisées laissant des buckets accessibles publiquement, des API internes sans authentification qui renvoient des réponses contenant des identifiants de service, et des versions obsolètes de frameworks web (notamment des installations de WordPress et Drupal non mises à jour). L’article souligne que chaque vecteur permet un accès direct aux bases de données ou aux fichiers de configuration, ce qui rend possible la récupération de clés d’API et de données personnelles.

Risques et implications

Les chercheurs estiment que l’accès non restreint à ces ressources pourrait être exploité pour élaborer des attaques de phishing ciblées ou pour déployer des logiciels malveillants via des serveurs compromis. L’exposition de clés d’API, en particulier, ouvre la porte à des abus de services cloud, entraînant des coûts imprévus et la possibilité de masquer des activités malveillantes derrière l’infrastructure gouvernementale. L’article indique également que la divulgation de dossiers personnels viole les obligations du RGPD, exposant le gouvernement à des sanctions potentielles.

Réponses et recommandations

Face à ces constats, le texte mentionne que le gouvernement a lancé une « revue de sécurité » interne et a demandé aux équipes techniques de révoquer les clés exposées ainsi que de mettre à jour les logiciels obsolètes. Les experts cités recommandent la mise en place d’une surveillance continue des configurations cloud, l’usage de scanners d’API pour détecter les endpoints non authentifiés, et l’adoption de politiques de « least privilege » afin de limiter les droits d’accès. L’article conclut que, sans une approche systématique de la gestion des configurations, le risque de nouvelles fuites reste élevé.