Des pirates ont volé les données de 750 000 Moldaves dans les services publics en ligne

Quatre-vingt-deux services publics en ligne coupés d'un coup, plus de trente systèmes d'information débranchés : c'est la mesure de précaution qu'a dû prendre l'Agence de gouvernance électronique (AGE) de la Moldavie. Entre le 19 et le 23 octobre 2026, des attaquants ont interrogé ses plateformes et en ont extrait des données liées à environ 750 000 numéros d'identification personnels (IDNP).

Selon l'AGE, l'attaque visait environ un million de personnes, soit près de la moitié de la population du pays. Les attaquants auraient d'abord profité de failles dans des services accessibles sans authentification, puis se seraient servis des données obtenues pour tenter d'en extraire davantage.

Pensions, permis de conduire, IBAN : ce qui a pu fuiter

D'après les premières constatations de l'agence, rapportées par Radio Free Europe/Radio Liberty (RFE/RL) et par le média moldave ZDG, les fichiers touchent à presque toute la vie administrative des personnes concernées : nom, date et lieu de naissance, membres de la famille proche, assurance maladie et médecin traitant, prestations sociales, pensions et handicap, permis de conduire et photos, véhicules et entreprises détenus. Côté finances, les IBAN, les dettes fiscales et l'historique des paiements effectués sur la plateforme publique MPay ont pu être exposés.

L'AGE affirme en revanche que les données de cartes bancaires ne sont pas concernées et qu'aucune modification frauduleuse n'a été constatée dans les registres de l'État. Le 28 octobre, sa directrice, Nicoleta Colomeeț, a annoncé sa démission, en précisant partir de sa propre initiative, selon ZDG.

Une IA pour trouver les failles ?

Mihai Lupașcu, à la tête de l'Agence moldave de cybersécurité, décrit une opération « très sophistiquée », « bien préparée » et menée « en plusieurs vagues ». Il estime que l'intelligence artificielle a été utilisée, notamment pour repérer des vulnérabilités, et prévient que ces outils « continueront de générer des cyberincidents dans les prochaines années ». Il n'a pas détaillé les éléments qui fondent cette conviction.

Reste la question de l'auteur. M. Lupașcu juge « prématuré » de désigner un responsable. Le Premier ministre, Vasile Tofan, évoque des « indices d'une campagne plus large impliquant des acteurs étatiques étrangers », sans nommer de pays. La présidence de Maia Sandu a annoncé une réunion du Conseil suprême de sécurité pour évaluer l'attaque et décider de la riposte.

Le scénario rappelle d'autres attaques récentes où l'IA a servi d'accélérateur, comme celle d'un ancien expert en sécurité sud-coréen accusé d'avoir piraté 90 organisations.

La leçon pour les administrations européennes

Au point de départ, selon la version officielle : des failles dans des services publics accessibles sans authentification. Quelques vérifications simples en découlent :

• recenser les interfaces (API, formulaires de consultation) qui renvoient des données personnelles sans authentification ;
• limiter le nombre de requêtes par source et alerter en cas d'interrogations en série sur des identifiants consécutifs ;
• vérifier qu'une donnée récupérée sur un service ne permet pas d'en interroger un autre.

Côté habitants, le risque immédiat est l'hameçonnage ciblé : avec un IBAN, des données familiales et un historique de paiements, un escroc peut se faire passer de façon crédible pour une administration ou une banque. La suite dépend désormais de l'enquête : l'attribution, et la publication éventuelle des fichiers.