Les services numériques du Népal confrontés à des fuites de données, à des perturbations des marchés et à des lacunes en matière de responsabilité

135 comptes de messagerie gouvernementaux révèlent un problème de sécurité plus vaste

Au moins 135 comptes de messagerie relevant du domaine gouvernemental népalais nepal.gov.np ont été identifiés dans des fuites de données externes, après l’adhésion du Centre national de cybersécurité à Have I Been Pwned, un service qui recense les identifiants compromis. Parmi les adresses concernées figuraient des comptes associés au bureau du Premier ministre et aux ministères de l’Intérieur, des Finances et des Affaires étrangères.

Cette découverte s’ajoute aux informations faisant état de documents d’étudiants et d’enseignants exposés, d’attaques contre des portails gouvernementaux, d’interférences avec les marchés publics électroniques et d’un rançongiciel qui a interrompu les échanges boursiers. Des comptes rendus publiés en octobre 2026 décrivent une administration numérique dont les défaillances de sécurité peuvent affecter à la fois la vie privée et l’accès aux services essentiels.

Ces incidents relèvent de problèmes différents. La présence d’une adresse électronique dans une fuite ne prouve pas, à elle seule, qu’une personne a pénétré dans un réseau gouvernemental. La mise hors ligne d’un site ne démontre pas que ses données ont été dérobées. Toutefois, des identifiants exposés, des contrôles d’accès insuffisants et la dépendance à une infrastructure partagée peuvent ouvrir des voies d’accès vers des systèmes plus sensibles.

Le Népal relie les passeports, la vérification d’identité, la fiscalité, les services bancaires et la sécurité sociale à des services numériques, tandis que les citoyens continuent de signaler des files d’attente, des retards dans la délivrance des cartes d’identité et des serveurs indisponibles. L’enjeu central dépasse donc la lutte contre les pirates informatiques : le gouvernement doit protéger les informations qu’il demande aux citoyens de fournir, tout en maintenant les services accessibles lorsqu’un composant tombe en panne.

Ce que révèle la découverte des comptes de messagerie

Le Népal est devenu la 47e entité gouvernementale à rejoindre Have I Been Pwned, selon Raj Kumar Maharjan, directeur du Centre national de cybersécurité. Cette connexion permet au centre de repérer les adresses gouvernementales exposées lors de fuites survenues ailleurs, au lieu de s’appuyer uniquement sur les éléments recueillis dans ses propres réseaux.

Maharjan a indiqué que le centre préviendrait les services concernés et imposerait un changement de mot de passe. Il a expliqué en quoi le service de surveillance modifie la réponse :

Grâce à ce portail, notre centre reçoit désormais des informations précises sur l’adresse électronique divulguée et la source de la fuite. Cela nous permet d’alerter les responsables concernés en temps réel, d’imposer immédiatement la réinitialisation des mots de passe et d’éviter des dommages supplémentaires.

Le chiffre de 135 ne doit pas être interprété comme le nombre d’intrusions confirmées dans 135 boîtes de messagerie gouvernementales. Les informations publiques ne précisent pas combien de comptes restaient vulnérables, si les mots de passe exposés étaient encore valides ni combien bénéficiaient d’une authentification supplémentaire.

L’experte en cybersécurité Mona Nyachhyon a averti que des comptes officiels compromis pouvaient menacer les réseaux internes et les communications confidentielles. Un pirate qui prend le contrôle d’une véritable boîte de messagerie gouvernementale peut aussi donner de la crédibilité à des demandes frauduleuses, notamment lorsque les destinataires reconnaissent l’adresse.

D’autres informations font état d’identifiants associés à l’Agriculture Development Bank, récupérés au moyen d’un logiciel malveillant qui vole des données sur les appareils infectés. Un tel vol peut avoir lieu sur l’ordinateur utilisé pour accéder à un service, sans qu’un pirate ait besoin de pénétrer directement dans son serveur central.

Les documents des citoyens et les portails publics sont exposés à des menaces différentes

Le système en ligne de la Commission des bourses universitaires aurait exposé des documents de citoyenneté, des diplômes, des coordonnées bancaires et des dossiers liés au numéro permanent de contribuable de professeurs et d’étudiants. Selon les informations rapportées, il suffisait de modifier une adresse web pour accéder aux documents, faute de contrôles d’accès.

Le contrôle d’accès consiste à vérifier si une personne est autorisée à consulter un dossier donné. Un document n’est pas protégé simplement parce que son adresse est difficile à deviner. Le serveur doit vérifier les autorisations chaque fois qu’une personne en fait la demande.

Des informations font également état d’un accès non autorisé à l’interface de programmation d’application publique du portail gouvernemental en nuage. Une interface, couramment appelée API, permet à des systèmes logiciels d’échanger des informations ou d’exécuter des opérations. Des groupes identifiés comme PSy404 et AnoNagoSt, associés au réseau ForceAnon, auraient utilisé cet accès pour publier des messages et des images.

D’autres incidents signalés concernent des vulnérabilités révélées par Midnight Ops Nepal dans des systèmes tels que ceux du Département de l’hydrologie et de la météorologie, ainsi que l’accès à des panneaux d’administration ministériels attribué à FunkSec. Des documents budgétaires et municipaux auraient été mis en vente.

Ces allégations doivent être évaluées séparément. La publication de contenu par une interface publique révèle une défaillance des contrôles, mais ne démontre pas que toutes les bases de données hébergées dans le nuage gouvernemental ont été accessibles. Les informations sur des documents mis en vente doivent également être vérifiées quant à leur authenticité, leur portée et leur origine avant de pouvoir mesurer l’ampleur de l’exposition.

Chronologie des attaques signalées et des mesures gouvernementales

Les récits décrivent des incidents survenus sur plusieurs années, et non une seule attaque coordonnée. Cette chronologie montre aussi que la création d’un centre spécialisé en cybersécurité n’a pas mis fin aux interruptions.

• 1er janvier 2024 : une attaque par déni de service distribué aurait perturbé des sites et des applications de services publics, avec des conséquences pendant plusieurs semaines.
• 23 janvier 2024 : le Conseil des ministres a décidé de créer le Centre national de cybersécurité, qui est devenu opérationnel au printemps suivant.
• Décembre 2024 : des attaques ont été signalées contre des portails gouvernementaux dans les provinces de Gandaki, Lumbini et Bagmati.
• Février 2025 : des informations ont fait état d’attaques visant 21 sous-domaines de la province de Koshi.
• Mars 2025 : la base de données de la plateforme de réclamations Hello Sarkar aurait été compromise et mise en vente.
• Avril 2025 : environ 2 millions de dossiers de citoyenneté transmis à la police auraient été dérobés sur un site de la police népalaise et mis en vente.
• 13 mai 2026 : des amendements publiés au Règlement sur la répartition des compétences du gouvernement népalais auraient placé des organismes technologiques clés sous l’autorité du bureau du Premier ministre.
• Septembre 2026 : une attaque présumée par rançongiciel a perturbé les systèmes de 72 sociétés de courtage et interrompu les échanges pendant une journée.
• Début octobre 2026 : Pathao Nepal aurait reconnu une fuite portant sur des noms d’utilisateur, des adresses électroniques et des numéros de téléphone.

Le vol présumé d’environ 2 millions de dossiers de police figure parmi les expositions les plus importantes signalées. Ce chiffre est une estimation rapportée, et non un décompte vérifié de manière indépendante des personnes concernées. Les informations disponibles ne fournissent ni répartition vérifiée des dossiers uniques ni évaluation publique complète des dommages.

Les marchés publics électroniques font entrer la sécurité dans la dépense publique

La compromission signalée du système électronique de passation des marchés publics, appelé e-GP, concerne aussi bien l’intégrité des marchés publics que la confidentialité des informations. Le Bureau de suivi des marchés publics exploite cette plateforme pour les appels d’offres portant sur des travaux gouvernementaux d’une valeur de plusieurs milliards de roupies.

Les enquêteurs auraient découvert que des utilisateurs non autorisés pouvaient consulter les montants confidentiels des offres concurrentes et modifier des chiffres après la date limite de dépôt. Selon les récits, des pirates, des intermédiaires et des entrepreneurs auraient coopéré, avec notamment des paiements en cryptomonnaie et la création d’un faux site de passation de marchés.

Le Bureau central d’enquête de la police népalaise aurait arrêté plus de 20 personnes, dont un ancien ministre, des représentants du secteur de la construction et des employés techniques, et porté l’affaire devant les tribunaux. Une arrestation ou une mise en accusation ne constitue pas une condamnation. Les articles ne font état d’aucun jugement définitif établissant la responsabilité de chaque personne mise en cause.

Les préoccupations de sécurité auraient entraîné la suspension des appels d’offres électroniques et le retour aux offres papier sous pli pour les marchés essentiels. Aucun calendrier de rétablissement confirmé n’a été communiqué.

La distinction avec une fuite de documents est essentielle. La confidentialité est compromise lorsqu’une personne consulte une offre à laquelle elle ne devrait pas avoir accès. L’intégrité est compromise lorsque l’offre elle-même est modifiée. Si l’une ou l’autre de ces protections fait défaut, un système numérique censé rendre les marchés publics plus transparents peut au contraire procurer un avantage dissimulé à certains soumissionnaires.

Un seul prestataire peut paralyser tout un marché

En septembre 2026, une attaque présumée par rançongiciel aurait visé un centre de données privé qui hébergeait les systèmes de gestion des transactions de 72 sociétés de courtage. Les échanges à la Bourse du Népal auraient été indisponibles pendant une journée entière. Le récit initial indique également que des informations gouvernementales étaient hébergées dans le centre concerné.

Les rançongiciels bloquent généralement l’accès à des systèmes ou à des données, souvent en chiffrant des fichiers, et réclament une rançon. Les informations publiées ne permettent pas d’établir le mécanisme technique de l’attaque, si des données ont également été dérobées ni si une rançon a été versée.

La conséquence la mieux établie est d’ordre opérationnel : une perturbation chez un seul hébergeur s’est propagée à des dizaines de courtiers et a empêché les investisseurs de négocier. Il s’agit d’un risque de concentration, lorsque de nombreuses organisations dépendent du même fournisseur ou de la même infrastructure.

La divulgation concernant Pathao Nepal révèle une exposition d’un autre type dans le secteur privé. Des noms, des adresses électroniques et des numéros de téléphone auraient fuité début octobre 2026. Les informations font état de milliers d’utilisateurs concernés, sans fournir de total exact vérifié.

Des récits antérieurs mentionnent également des fuites de données clients impliquant Vianet et Foodmandu, des attaques visant des systèmes de distributeurs automatiques de billets ainsi qu’une tentative d’attaque contre le système SWIFT de NIC Asia Bank. Ces incidents diffèrent par leur ampleur et leurs conséquences, mais montrent que l’enjeu de sécurité dépasse les sites gouvernementaux et concerne aussi les services utilisés pour communiquer, faire des achats, se déplacer et gérer ses finances.

Les problèmes de capacité du système national d’identité se répercutent sur les services

Le système national d’identité montre qu’un service peut tomber en panne sans qu’une cyberattaque soit confirmée. Selon les informations publiées, des difficultés techniques ont interrompu l’authentification pendant plusieurs semaines, alors que le système biométrique approchait d’une capacité d’environ 20 millions de dossiers.

Plus de 16 organismes auraient été touchés, notamment les services des passeports, des impôts, des transports et des banques. Ce chiffre décrit la pression exercée sur la capacité du système, et non un nombre vérifié de personnes dont les informations biométriques auraient été exposées.

Les récits ne s’accordent pas sur l’identité de la société française prestataire. Le récit initial fait état d’un passage d’Idemia à IN Groupe, tandis qu’un autre continue de désigner IDEMIA comme le nom actuel. Les modalités précises du contrat et de l’assistance ne sont pas établies ici. Le problème opérationnel reste le même : plusieurs services dépendaient d’une seule plateforme d’authentification et ont été affectés lorsque celle-ci est devenue indisponible.

Un service d’identité partagé peut éviter la répétition des contrôles et des formalités. Mais il devient aussi un point de défaillance unique si les administrations ne peuvent pas recourir à une solution de remplacement sûre lorsque le service ne répond plus. La planification des capacités, les dispositifs de rétablissement et la clarté des responsabilités des prestataires comptent donc autant que la protection contre les intrusions.

Les conséquences pour la vie privée exigent la même prudence. Les empreintes digitales sont des identifiants biométriques ; les numéros de citoyenneté et les dates de naissance sont des données d’identité, et non des données biométriques. Contrairement à un mot de passe, une empreinte digitale ne peut pas être remplacée. La divulgation de ces informations peut ouvrir durablement la voie à l’usurpation d’identité et aux fraudes ciblées.

Les défenses gouvernementales se renforcent, mais restent limitées

Au cours des quatre mois précédant le signalement de la fuite des comptes de messagerie, le Centre national de cybersécurité aurait audité près de 40 systèmes gouvernementaux. Il utilise également CTM360, un outil de surveillance fourni par l’Union internationale des télécommunications, pour suivre les échanges illicites impliquant des informations gouvernementales.

Un système de gestion des informations et des événements de sécurité récemment acquis recueille et analyse les journaux d’activité des réseaux gouvernementaux. Ces outils aident le personnel à repérer des comportements suspects, mais leur utilité dépend des éléments surveillés et de la rapidité avec laquelle les équipes examinent les alertes.

Prakash Duwadi, présenté dans le récit en népalais comme chargé de l’information au Bureau des technologies de l’information et de la gouvernance électronique, a déclaré que les portails gouvernementaux hébergés pouvaient subir simultanément 7 000 à 8 000 tentatives d’attaque. Selon son estimation, 10 à 20 % de ces tentatives relèveraient de tests élémentaires menés par des étudiants ou des enfants. Les informations publiées ne précisent ni la période mesurée ni la méthode de comptage.

Duwadi a également déclaré que le personnel déconnectait parfois des systèmes lorsqu’il ne pouvait pas les défendre de manière sûre. Une panne de serveur peut donc être une mesure de protection, et non le signe que des attaquants en ont pris le contrôle. Dans les deux cas, les citoyens perdent l’accès au service, d’où la nécessité d’avis précis et de procédures de rétablissement.

Maharjan attribue plus de 90 % des incidents de cybersécurité au comportement humain et à l’ingénierie sociale. Il s’agit de son évaluation, et non d’un constat statistique national documenté. Il a également averti que le développement rapide d’applications à l’aide de l’intelligence artificielle pouvait laisser les développeurs inconscients de failles de chiffrement et de sécurité.

Des messages d’hameçonnage signalés ont usurpé l’identité de l’inspecteur général adjoint Manoj Kumar KC, du bureau du Premier ministre et d’autres responsables de la police. Ils menaçaient leurs destinataires de poursuites pour les inciter à répondre ou à divulguer des informations. Ces exemples montrent comment la peur et l’autorité officielle peuvent servir d’instruments de fraude.

Les droits à la vie privée doivent être effectivement défendus

L’article 28 de la Constitution népalaise protège la vie privée. La loi sur la vie privée, 2075 (2018), définit également les obligations relatives aux informations personnelles détenues par les organismes publics. Le récit initial et l’analyse qui l’accompagne associent l’article 29 à des peines pouvant aller jusqu’à trois ans d’emprisonnement, l’article 31 à des indemnisations et l’article 32 à des mesures disciplinaires.

Ces dispositions ne démontrent pas que chaque défaillance technique signalée remplit les conditions requises pour constituer une infraction pénale ou ouvrir droit à une indemnisation. La responsabilité doit être déterminée au regard des actes commis, des dispositions juridiques applicables et des éléments de preuve. Les informations publiques donnent peu de détails sur les sanctions ou les indemnisations liées aux incidents évoqués.

Les responsabilités administratives évoluent également. Des amendements publiés le 13 mai 2026 auraient transféré le Centre de cybersécurité, le Centre de gestion des données et le Département des technologies de l’information au bureau du Premier ministre. Un point inscrit à l’ordre du jour du Conseil des ministres et approuvé le 27 mars 2026 prévoyait la création, dans un délai de trois mois, d’un Bureau des technologies de l’information et de la gouvernance électronique. Toutefois, les études organisationnelles auraient été inachevées à la publication du récit.

La structure qui en résulte et la hiérarchie des responsabilités restaient incertaines. Le transfert d’institutions ne permet pas, à lui seul, de déterminer qui doit prévenir les citoyens concernés, autoriser le rétablissement d’un service compromis ou vérifier qu’un prestataire a corrigé une faille de sécurité.

Les prochaines décisions portent sur les tests, les marchés et le signalement des failles

L’analyse initiale propose d’intégrer dès le départ des obligations de sécurité dans les marchés de logiciels. Celles-ci comprennent le chiffrement, les mises à jour régulières, la maintenance ainsi qu’une sélection fondée sur la qualité et le coût, au lieu de considérer le logiciel comme un achat achevé à sa livraison. Il s’agit de propositions, et non de nouvelles exigences gouvernementales confirmées.

Elle préconise également des évaluations de vulnérabilité et des tests d’intrusion obligatoires avant l’ouverture des services aux citoyens. Ces tests servent à détecter des failles et à simuler des intrusions de manière contrôlée. Réaliser un test ne suffit pas : il faut aussi corriger les problèmes relevés. Une décision crédible de mise en service exige de prouver que les failles graves ont été corrigées puis vérifiées à nouveau.

Le spécialiste de la cybersécurité Naresh Lamgade affirme que la sécurité est souvent négligée lors du développement et que les chercheurs indépendants sont dissuadés de signaler les vulnérabilités. Une procédure de signalement claire, assortie de règles de traitement définies, permettrait de transformer les découvertes en réparations, plutôt que de laisser les chercheurs dans l’incertitude sur la manière de contacter une administration.

Parmi les autres mesures proposées figurent une authentification renforcée pour les comptes de messagerie gouvernementaux et les comptes d’administration, des audits réguliers des centres de données, l’information des citoyens concernés après une fuite et la création d’une autorité indépendante de protection des données. Les informations publiées ne donnent aucun calendrier confirmé pour l’adoption de ces mesures.

Les questions urgentes qui restent sans réponse sont précises : combien de comptes exposés ont été sécurisés, si les jeux de données prétendument dérobés ont été authentifiés, quand les appels d’offres électroniques reprendront et comment les services d’identité éviteront une nouvelle interruption liée à leur capacité. Des réponses publiques permettraient d’évaluer le rétablissement à partir des résultats obtenus, plutôt qu’au nombre de services mis en ligne.

À retenir

• Au moins 135 comptes de messagerie gouvernementaux ont été repérés dans des fuites externes après l’adhésion du Népal à Have I Been Pwned.
• Les expositions signalées comprennent des documents universitaires et environ 2 millions de dossiers de citoyenneté transmis à la police, un total qui reste à vérifier.
• Plus de 20 personnes auraient été arrêtées dans l’affaire des marchés publics électroniques ; aucun jugement définitif n’est mentionné.
• Une attaque présumée par rançongiciel en septembre 2026 a perturbé les systèmes de 72 sociétés de courtage et interrompu les échanges boursiers pendant une journée.
• Des problèmes de capacité du système national d’identité auraient interrompu l’authentification pendant plusieurs semaines pour plus de 16 organismes.
• La surveillance et les tests de sécurité se sont renforcés, mais la notification des fuites, la répartition des responsabilités et plusieurs dates de rétablissement restent en suspens.