Cyberattaque CSDD Lettonie : 1,2 million de citoyens exposés

Une cyberattaque expose les deux tiers de la population lettone

Dans la nuit du 7 au 8 août 2026, des attaquants ont réussi à pénétrer les systèmes d'information de la Direction de la sécurité routière de Lettonie (CSDD, Celü satiksmes drosibas direkcija), l'organisme gouvernemental chargé de l'immatriculation des véhicules, des permis de conduire et du contrôle technique automobile. L'ampleur de la fuite, révélée progressivement dans les jours suivants, a stupéfié le pays : 1,2 million de personnes et 200 000 entreprises sont concernées, dans un pays qui compte seulement 1,8 million d'habitants. En proportion de la population nationale, il s'agit de l'un des incidents de sécurité les plus massifs jamais enregistrés au sein de l'Union européenne.

Les données exfiltrées couvrent l'intégralité des enregistrements de paiements réalisés auprès de la CSDD au cours des 18 dernières années. Pour chaque transaction, les attaquants ont potentiellement obtenu les noms et prénoms des personnes concernées, leurs numéros d'identification nationaux (équivalent des numéros de sécurité sociale), leurs adresses postales telles qu'enregistrées au moment du paiement, les plaques d'immatriculation de leurs véhicules, ainsi que les montants et dates des paiements effectués. La nature exhaustive de ces informations ouvre la porte à de multiples formes d'exploitation malveillante : usurpation d'identité, phishing ciblé, tentatives de fraude bancaire ou encore chantage ciblé basé sur les habitudes de déplacement des victimes.

L'incident a été rendu public le 18 août 2026, soit dix jours après l'intrusion initiale, un délai de notification qui a suscité de vives critiques de la part des autorités et de la société civile. La CSDD n'a pas informé l'organisme national de réponse aux incidents cyber, CERT.lv, dans les délais requis par la réglementation lettone, qui impose une notification dans les 24 heures suivant la détection d'un incident significatif. Cette défaillance procédurale a considérablement aggravé la crise de confiance et fait l'objet d'une enquête séparée par les autorités de supervision du secteur public.

Face à la pression politique et publique, le conseil d'administration et le conseil de surveillance de la CSDD ont annoncé leur démission collective dans les jours suivant la divulgation publique de l'incident. Cette décision, rare pour un organisme gouvernemental en Lettonie, témoigne de la gravité de la situation telle que perçue par l'ensemble des institutions du pays. Le président de la République, Edgars Rinkevics, a officiellement saisi le procureur général pour qu'il examine les circonstances de l'incident et les éventuelles responsabilités pénales des dirigeants ayant géré la crise.

Le Premier ministre Andris Kulbergs a déclaré lors d'une conférence de presse le 20 août qu'il ne pouvait exclure que l'attaque ait été menée ou commanditée par un État étranger. La Lettonie, membre de l'OTAN et de l'Union européenne, partage une frontière avec la Russie et la Biélorussie et est régulièrement visée par des campagnes de cyberattaques attribuées à des acteurs étatiques russes. Sans attribution formelle à ce stade de l'enquête, le contexte géopolitique régional rend l'hypothèse d'une attaque parrainée par un État particulièrement sérieuse aux yeux des analystes et des services de renseignement.

D'un point de vue technique, l'intrusion a exploité une vulnérabilité dans un système exposé sur Internet. Les détails précis de la faille n'ont pas été rendus publics pour ne pas compromettre l'enquête judiciaire en cours, mais les premières analyses suggèrent qu'il s'agit d'une vulnérabilité connue sur un composant logiciel non patché depuis plusieurs mois malgré la disponibilité d'un correctif. CERT.lv a indiqué collaborer avec ses homologues européens au sein du réseau CSIRTs Network pour analyser les techniques d'attaque utilisées et évaluer si d'autres administrations européennes utilisant des systèmes similaires pourraient être exposées au même vecteur.

Les services de renseignement lettons (SAB) ont été mobilisés pour déterminer l'origine et la motivation de l'attaque. L'Agence nationale pour la protection des données a ouvert une procédure d'investigation conformément au RGPD, dont les sanctions potentielles peuvent atteindre 2 % du chiffre d'affaires mondial de l'organisation concernée ou 10 millions d'euros. Pour un organisme gouvernemental, des mécanismes spécifiques s'appliquent, mais la procédure permet d'établir formellement les responsabilités et d'imposer des mesures correctives contraignantes dans des délais définis par l'autorité de supervision.

Les citoyens lettons affectés ont été invités à surveiller de près leurs relevés bancaires et leurs communications officielles, à se méfier de tout contact inattendu faisant référence à leurs données personnelles ou à leurs véhicules, et à changer les mots de passe de tout service utilisant leur numéro d'identification national comme identifiant. Le gouvernement letton a mis en place un service en ligne permettant à chaque citoyen de vérifier si ses données figurent parmi celles compromises dans l'incident, une mesure saluée par les organisations de défense des droits numériques.

Les enseignements d'un incident qui met la cybersécurité des États sous pression

La cyberattaque contre la CSDD lettone s'inscrit dans une série d'incidents affectant des services gouvernementaux européens depuis 2024, mais elle se distingue par son échelle proportionnelle exceptionnelle. Deux tiers de la population d'un pays ayant vu ses données personnelles exfiltrées en une seule nuit, c'est un scénario que peu de plans de continuité gouvernementaux avaient sérieusement anticipé. Cet incident devrait conduire tous les États membres de l'UE à réévaluer en urgence la surface d'attaque de leurs administrations et la qualité réelle de leur hygiène de sécurité fondamentale, notamment en matière de gestion des correctifs.

La question du retard de notification est particulièrement significative dans le contexte réglementaire actuel. NIS2, la directive européenne révisée sur la sécurité des réseaux et des systèmes d'information, exige que les entités essentielles notifient les incidents significatifs à leur autorité nationale compétente dans un délai de 24 heures suivant la détection. Un écart de dix jours entre l'intrusion et la notification publique, avec une notification tardive à CERT.lv, constitue une violation potentielle de ces obligations. L'affaire lettone va alimenter les débats sur l'effectivité des mécanismes de contrôle NIS2 et la capacité des autorités nationales à en assurer le respect dans le secteur public lui-même.

Le risque d'attribution à un État ennemi soulève des enjeux qui vont bien au-delà de la protection des données personnelles. Si l'attaque venait à être formellement attribuée à un acteur étatique russe ou biélorusse, elle pourrait déclencher des procédures de réponse diplomatique au niveau de l'UE et de l'OTAN, notamment via les cadres de cyber-diplomatie et les mécanismes de sanctions coordonnées. Plusieurs pays baltes ont déjà expérimenté des campagnes de déstabilisation numérique coordonnées avec des tensions géopolitiques, lors de crises migratoires instrumentalisées ou d'exercices militaires à proximité de leurs frontières orientales.

Pour les organisations du secteur privé, cet incident rappelle que la sécurité de la chaîne d'approvisionnement de l'identité est un enjeu critique souvent négligé dans les analyses de risques. Lorsque des données gouvernementales aussi sensibles que les numéros d'identification nationaux sont compromises à grande échelle, c'est l'ensemble de l'écosystème numérique d'un pays qui devient potentiellement vulnérable. Des services bancaires aux plateformes e-commerce en passant par les portails de santé, la plupart utilisent ces identifiants comme élément clé de vérification d'identité. Leur compromission à grande échelle ouvre une fenêtre d'attaque de plusieurs mois pour les cybercriminels opportunistes cherchant à exploiter la confusion et l'inquiétude des citoyens affectés.

Ce qu'il faut retenir

• 1,2 million de Lettons et 200 000 organisations ont eu leurs données exposées suite à une intrusion dans la CSDD via une vulnérabilité sur un système internet-facing ; les données couvrent 18 ans de transactions incluant numéros d'identification et adresses postales.
• Le retard de notification de dix jours constitue une violation potentielle de NIS2 ; les dirigeants ont démissionné et une enquête judiciaire est ouverte sous l'égide du président de la République lettone.
• En cas d'attribution à un État étranger, l'incident pourrait déclencher des mesures diplomatiques au niveau UE/OTAN ; les citoyens concernés doivent surveiller leurs comptes et se méfier des tentatives de phishing ciblé exploitant les données volées.