En bref

  • 750 000 codes d'identification nationaux (IDNP) moldaves exfiltrés entre le 19 et le 23 octobre 2026 — environ un quart de la population du pays
  • 82 services gouvernementaux mis hors ligne par précaution ; 21 toujours inaccessibles fin octobre ; IBANs, dettes fiscales et historiques de paiement potentiellement exposés
  • Le procureur général a ouvert une enquête pénale ; la directrice de l'Agence des e-Services du Gouvernement (AGE) a démissionné

Les faits

C'est l'une des brèches les plus importantes jamais documentées à l'échelle d'un pays en proportion de sa population : entre le 19 et le 23 octobre 2026, des attaquants ont infiltré les systèmes informatiques de l'Agence des e-Services du Gouvernement moldave (AGE) et extrait les données personnelles d'environ 750 000 citoyens. La Moldavie compte un peu moins de 2,6 millions d'habitants — c'est donc près d'un quart de la population qui est concernée par cette fuite.

L'AGE a confirmé que les données volées comprennent principalement des codes IDNP (Identificatorul de persoană), l'équivalent moldave du numéro national d'identification. Des informations financières auraient également pu être exposées : selon plusieurs sources citant des responsables gouvernementaux, les données accessibles dans les systèmes compromis incluaient des numéros IBAN, des dettes fiscales et des historiques de transactions via MPay — la plateforme nationale de paiement des services publics. Les autorités ont précisé que les numéros de carte bancaire n'ont pas été compromis.

Dès la détection de l'intrusion, les équipes de sécurité ont procédé à une mise hors ligne préventive massive : 82 services gouvernementaux et plus de 30 systèmes d'information ont été déconnectés. Fin octobre 2026, 61 services avaient été restaurés, mais 21 restaient encore inaccessibles. La rapidité de la réaction a limité l'exposition, mais le coût opérationnel a été lourd pour les administrés.

Les conséquences politiques sont immédiates. Le procureur général de Moldavie a ouvert une enquête pénale pour déterminer les responsabilités, les vecteurs d'attaque et l'identité des auteurs. La directrice de l'AGE a présenté sa démission, selon plusieurs sources, de sa propre initiative. Ces développements illustrent la pression exercée sur les autorités moldaves après une brèche d'une telle ampleur.

À ce stade de l'enquête, aucun groupe n'a revendiqué l'attaque et aucun acteur étatique n'a été officiellement désigné. Plusieurs médias évoquent la possibilité d'une campagne plus large ciblant les infrastructures numériques moldaves, dans un contexte géopolitique sensible — la Moldavie est candidate à l'adhésion à l'Union européenne et a fait l'objet de multiples tentatives de déstabilisation ces dernières années. Mais cette hypothèse reste non confirmée.

La brèche expose une fragilité structurelle commune à de nombreux pays en phase de transformation numérique accélérée : la centralisation des données dans des systèmes e-gouvernement augmente considérablement la surface d'attaque et la valeur de la cible. Un seul point de compromission a suffi à exposer un quart de la population nationale.

D'autres incidents ont été signalés dans la même période en Moldavie, notamment des tentatives d'accès non autorisés à d'autres portails gouvernementaux, selon un avertissement émis par les autorités moldaves après la brèche initiale. Cela suggère soit une persistance des attaquants dans le réseau, soit plusieurs acteurs distincts profitant de l'exposition médiatique pour tenter leurs propres intrusions.

Impact et exposition

Les 750 000 citoyens concernés sont directement exposés à des risques de phishing ciblé, de fraude à l'identité et d'escroqueries bancaires utilisant les données financières potentiellement volées. La combinaison IDNP + IBAN + historique de paiement constitue un ensemble suffisant pour des attaques d'ingénierie sociale très crédibles. Les entreprises ayant des relations commerciales avec des citoyens moldaves ou utilisant MPay pour des transactions transfrontalières devraient également être vigilantes.

Recommandations

  • Citoyens moldaves : surveiller les relevés bancaires et signaler toute tentative de contact inhabituelle se réclamant de services gouvernementaux
  • Organisations travaillant avec la Moldavie : renforcer la vérification d'identité pour les transactions impliquant des contreparties moldaves dans les semaines à venir
  • DSI e-gouvernement : auditer la segmentation des accès aux bases de données citoyennes ; appliquer le principe du moindre privilège sur les APIs exposant des données personnelles agrégées
  • RSSI secteur public : évaluer votre exposition en cas de compromission d'un point d'accès unique à des données massives consolidées

Comment des données de 750 000 personnes peuvent-elles être volées en seulement 4 jours ?

Une exfiltration de cette ampleur en quatre jours (19-23 octobre) suppose un accès direct à une base de données ou une API sans limitation de débit suffisante. Les plateformes e-gouvernement centralisent souvent des millions d'enregistrements dans des systèmes interconnectés où, une fois authentifié, un attaquant peut itérer sur des identifiants séquentiels ou appeler des endpoints batch. Sans détection comportementale sur les volumes d'accès et sans segmentation des données sensibles, l'exfiltration peut rester invisible jusqu'à ce qu'une alerte externe ou un contrôle de routine la révèle.

Votre plateforme expose-t-elle des données sensibles en masse ?

Ayi NEDJIMI audite la sécurité de vos APIs et bases de données pour détecter les risques d'exfiltration avant qu'un attaquant ne le fasse.

Demander un audit