Plus d’un demi-million de documents découverts comprennent des détails sur les enquêtes d’assurance, les certificats d’immatriculation des véhicules, les avis de saisie de véhicules et les détails des cartes de paiement.

Le piratage a été provoqué par une erreur logicielle dans une société de services informatiques basée à Limerick, gérée par des sociétés de remorquage travaillant pour An Garda Síochána.

Gardaí insiste sur le fait que la force n’est pas responsable de la violation, et le commissaire à la protection des données (DPC) tente actuellement de déterminer qui est le responsable ultime, en tant que responsable du traitement des données.

On ne sait pas combien de temps a duré la faille de sécurité ni combien de personnes ont pu avoir accès aux données des citoyens, qui comprennent 512 000 documents remontant à 2017.

La violation a été signalée à la police en août par le chercheur international en cybersécurité Jeremiah Fowler.

Fowler a déclaré avoir découvert une base de données en ligne non protégée contenant des feuilles de calcul, des informations sur l’immatriculation des véhicules, des permis de conduire et d’autres données sensibles.

La base de données en ligne faisait partie d’un système de stockage pour 11 entreprises de remorquage qui stockaient les enregistrements des véhicules remorqués pour An Garda Síochána et d’autres entités.

Lorsque An Garda Síochána a été informée, elle a contacté la société de services informatiques de Limerick et a également mené sa propre enquête sur les données, qui a conclu que le risque pour les citoyens était « limité ».

Cependant, M. Fowler a déclaré qu’il était en mesure d’accéder aux reçus contenant tous les détails de la carte de débit, ainsi qu’aux permis de conduire et aux rapports récapitulatifs d’accidents.

« Ces informations pourraient potentiellement conduire à des accusations frauduleuses non autorisées », a-t-il déclaré.

Il a ajouté que d’autres données accessibles révélaient des documents classés comme « confidentiels », notamment des rapports sommaires d’accident « contenant les noms et les coordonnées des conducteurs, des témoins et de plusieurs policiers ».

Il a ajouté que de nombreux autres rapports contenaient des détails tels que les frais, les numéros d’enregistrement et les noms des personnes.

M. Fowler a ajouté : « Plusieurs autres documents classés comme classifiés ont été rendus publics. »

Les images révélées étaient des numérisations haute résolution de documents personnels sensibles qui pourraient être utilisés à des fins d’usurpation d’identité ou de fraude, notamment des e-mails et des SMS.

Un porte-parole de la police a déclaré qu’une enquête sur ces déclarations avait été ouverte « immédiatement » après que M. Fowler ait porté l’affaire à son attention.

« En vertu du contrat d’An Garda Síochána avec les entreprises de remorquage individuelles, les entreprises de remorquage individuelles ont des obligations claires de protéger toute information qui leur est fournie par An Garda Síochána, y compris les données personnelles », a déclaré le porte-parole.

« Cette obligation s’étend également aux situations dans lesquelles des entreprises de remorquage individuelles fournissent ces informations à un tiers à des fins de stockage. »

Le porte-parole a déclaré que 11 entreprises de remorquage, utilisées par An Garda Síochána et d’autres organismes gouvernementaux, sont sous contrat avec la société de services informatiques basée à Limerick pour stocker leurs données sur « le cloud ».

En contactant le propriétaire de la société de services informatiques, il a déclaré que le problème était survenu lorsqu’une nouvelle version du logiciel était appliquée pour servir les données fournies aux entreprises.

Il a décrit le problème comme une « erreur » et a déclaré que son entreprise fournissait un service d’externalisation aux entreprises de remorquage et aux autres sociétés impliquées et qu’elle n’avait pas été engagée directement par An Garda Síochána. Il a également déclaré que la plupart des données exposées ne concernaient pas An Garda Síochána.

Il a déclaré que la société avait sécurisé la base de données dans les 70 minutes suivant la notification de la vulnérabilité, puis avait procédé à un audit médico-légal. Il a déclaré que la société avait agi conformément à la confidentialité des données et aux protocoles juridiques en contactant les autorités compétentes, y compris le commissaire à la protection des données.

Un porte-parole de la DPC a déclaré que même si elle avait reçu une notification de violation de la part de la société de services informatiques, celle-ci n’était pas un responsable du traitement des données, ce qui signifie que la société de services informatiques n’était pas en fin de compte responsable de la protection des informations.

Il est entendu que la DPC cherche désormais à déterminer qui est finalement responsable en tant que responsable du traitement des données exposées.

M. Fowler a déclaré qu’il n’était pas difficile pour un pirate informatique ou un expert informatique d’accéder aux données exposées. « La seule chose nécessaire pour le visualiser, une fois que vous avez le nom de la base de données, est l’outil de navigation natif », a-t-il déclaré. « Aucun logiciel spécialisé ne sera nécessaire. »