Le gouvernement belge fera désormais appel à Have I Been Pwned

Le Center for Cyber Security Belgium (CCB) utilisera dorénavant la base de données de mots de passe d’Have I Been Pwned.

Via Have I Been Pwned (HIBP), des autorités peuvent au moyen d’une API vérifier si des adresses mail de domaines publics sont impliquées dans des fuites de données. La Belgique va désormais y recourir aussi, comme l’annonce Troy Hunt, à l’initiative de HIBP. Elle est ainsi le 19^ème pays à ce faire après notamment les Etats-Unis, le Canada, la Suède, le Portugal, le Luxembourg et la Roumanie.

Par souci de clarté, il ne s’agira pas d’un accès illimité à la base de données, où sont aujourd’hui collectés plus de onze milliards de comptes (dont des adresses mail, numéros de téléphone et mots de passe). Le gouvernement autorisera le contrôle automatique des adresses de ses domaines, comme par exemple celles des Services Publics Fédéraux. Ils pourront ainsi avertir les clients au cas où leur adresse mail serait impliquée dans une fuite de données.

Update 4/6/2021 10H39′:

Le CCB confirme la collaboration avec Have I Been Pwned, tout en insistant sur le fait que le projet se trouve encore dans une phase précoce. Tout cela s’inscrit dans une approche de ‘spear warning’, par laquelle il collecte depuis quelque temps déjà des infos sur les fuites de données ou les attaques imminentes et en avertit dans les plus brefs délais les personnes ou secteurs concernés. Le gouvernement en est un.

En même temps, le CCB entend aussi grâce à cette collaboration automatiser autant que possible ce genre d’avertissements, afin que les propriétaires d’une adresse mail soient informés le plus rapidement possible et sans intermédiaire, si leurs données se retrouvent à la rue.

Dans une première phase, il s’agira de domaines du gouvernement fédéral, mais le CCB n’exclut à coup sûr pas qu’après une évaluation, les gouvernements régionaux fassent eux aussi contrôler leurs adresses mail pour savoir si elles n’ont pas été impliquées dans des fuites.