Les données de 15 millions de Kazakhs en vente : le piratage d’eGov n’est pas confirmé

Le 12 août 2026, une annonce est apparue sur un forum du darknet : une base qui, selon la description du vendeur, couvre 15 millions d’habitants du Kazakhstan. Données de passeport, numéros de téléphone, adresses e-mail, mots de passe, lieux de travail et scans de documents. Soit environ trois quarts du pays. Le vendeur affirme que les données proviennent d’eGov, le portail des services publics. Le ministère concerné répond que rien de tel n’est confirmé.

Ce qui est mis en vente

L’annonce a émergé via la chaîne Telegram Mash et a été reprise le 12 août par les médias kazakhs. Un utilisateur au pseudonyme shymzz13 a mis en ligne un fichier de 2,7 Go d’environ 47 millions de lignes concernant quelque 15 millions de personnes, et en demande 0,5 bitcoin. Les champs annoncés sont exactement ceux qui font mal : données complètes de passeport, téléphones, adresses e-mail, mots de passe, informations sur l’emploi et documents scannés.

Personne en dehors du forum n’a vu l’ensemble complet. Ce qui est public, c’est la description du vendeur, un échantillon et le prix. La nuance compte : sur le marché des données volées, une bonne histoire vaut presque autant que de bonnes données.

Ce que dit l’État

Le ministère de l’Intelligence artificielle et du Développement numérique a confirmé être au courant des publications et mener une vérification technique avec d’autres administrations. Son argument central n’est pas un démenti de la fuite en soi, mais une incohérence dans la description.

Pourquoi un piratage peut n’en être pas un

Le Kazakhstan a déjà connu cela. À l’été 2025, un ensemble de 16,3 millions d’enregistrements a circulé : noms, numéros nationaux, dates de naissance, adresses, téléphones, nationalité. Les autorités ont vérifié, et le vice-ministre Doszhan Moussaliev a ensuite décrit ce qu’elles avaient trouvé. La voie la plus probable n’était pas une intrusion mais un accès par des comptes légitimes : identifiants transmis ou volés, puis simple téléchargement des données. L’essentiel de cet ensemble, selon cette vérification, avait été dérobé dès 2022 et seulement partiellement rafraîchi ensuite.

C’est la forme habituelle de ces affaires. Une annonce fraîche est souvent un vieux corpus, ré-emballé, complété et revendu sous un titre plus fort. Cela change la réponse : chercher un trou dans le portail ne sert à rien si la porte a été ouverte avec une vraie clé.

Une seule entrée pour tout

La partie gênante ne concerne pas cette fuite précise. Un portail d’État est commode justement parce qu’il est unique : un identifiant pour les impôts, l’immobilier, la santé, l’école des enfants. La même propriété en fait un point unique de défaillance. Ce qui en sort n’est pas un mot de passe que l’on change, ce sont des faits sur une personne, et on ne les réédite pas.

Ce n’est pas non plus une particularité locale. En 2021, le registre national des cartes d’identité d’Argentine a perdu les données de dizaines de millions de citoyens, et le voleur l’a lui aussi annoncé par une offre de vente. Partout où l’identité est centralisée, la valeur d’une seule copie de la base grandit avec chaque nouveau service qu’on y branche.

Ce qu’une personne peut vraiment faire

1. Changer le mot de passe du portail public et de la boîte mail qui y est liée, et ne réutiliser ce mot de passe nulle part.
2. Activer la double authentification partout où elle existe, de préférence par application plutôt que par SMS : un numéro issu d’une telle base sert d’abord au détournement de carte SIM.
3. Traiter comme suspects les appels et messages qui connaissent déjà vos données. Numéro de passeport et lieu de travail dans la bouche de l’appelant ne coûtent plus rien.
4. Là où un service accepte le scan d’un document comme preuve, demander un autre moyen. Un scan qui traîne chez un commerçant ou un bailleur, c’est la prochaine fuite.

Le VPN n’y change rien

Autant le dire clairement, car fuites et outils de confidentialité sont souvent cités d’un même souffle. Un VPN protège le trafic en chemin : il masque la connexion au réseau et au fournisseur. Sur une base qui contient déjà vos données de passeport, il n’a aucun effet, puisque la copie est de l’autre côté. Il sert contre l’interception et le blocage, pas contre la copie d’un registre d’État.