Equalize, un scandale de fuites de données au cœur de l’Etat italien
La première ministre italienne Giorgia Meloni a officiellement condamné ce scandale et le ministre de la Défense Guido Crosetto a demandé l’ouverture d’une enquête parlementaire. Le scandale Equalize secoue l’Italie. Des fuites de données issues des bases de données censées être les plus protégées d’Italie, comme celles de la police, les impôts ou de la Banque d’Italie, alimentaient la plateforme Beyond d’une officine de renseignement privée, Equalize. Officiellement société d’analyse des risques commerciaux, l’entreprise collectait des données sur des sources ouvertes ou commerciales afin de constituer des dossiers sur les personnalités du secteur des affaires… En réalité, l’entreprise pillait les bases de données étatiques et effectuait des écoutes téléphoniques pour le compte d’entreprises et, possiblement, certains services de renseignement. Personnalités du monde des affaires, politiques, mais aussi sportifs et youtubers, des milliers de personnes étaient ainsi sous surveillance.
Un scandale monstre… qui n’est pas le premier en Italie
Pour Leonida Reitano, instructeur OSINT de la Polizia di Stato, une telle affaire n’est pas totalement nouvelle en Italie. En 2007, le scandale des écoutes illégales baptisé SISMI-Telecom avait concerné 5 000 personnes mises sur écoute par des membres des services secrets militaires (SISMI) et des agents des forces de l’ordre. L’affaire Equalize suit le même schéma, avec une agence privée dont les membres comprennent des membres des services secrets, de la police et plusieurs membres du conseil d’administration d’OSINT Italia.
Les services rendus par Equalize étaient très divers. Son cœur de métier était la diffusion de ces dossiers confidentiels amassés sur les personnalités pour le compte d’entreprises. Les données centralisées sur la plateforme Beyond s’étendaient jusqu’aux personnalités politiques comme le président du Sénat Ignazio La Russa, l’ancien Premier ministre Matteo Renzi et l’eurodéputée Letizia Moratti. Equalize a notamment été sollicitée par Barilla ou la société Erg pour suivre leurs salariés. Leonardo Maria Del Vecchio, le fils du fondateur du fabricant de lunettes Luxottica, aura même demandé de placer son épouse sur écoute…
Des coupables en lien avec les forces de l’ordre et le renseignement
Pour autant, contrairement aux cellules Cyber de certains Etats qui comptent des dizaines de hackers, Equalize n’est qu’une petite structure. L’entreprise a été créée par Carmine Gallo, un ancien policier qui s’était fait un nom pour avoir libéré Alessandra Sgarella, une cheffe d’entreprise prise en otage par la mafia calabraise en 1998. Le hacker de l’entreprise, Nunzio Samuele Calamucci, est un consultant informatique de 44 ans qui, selon les écoutes réalisées par la police italienne, se targuerait de faire partie de la mouvance Anonymous et d’avoir infiltré le Pentagone par le passé… Placé sur écoutes par la police italienne, le suspect aurait expliqué avoir volé les données de plus de 800 000 personnes depuis 2019, données qui auraient été commercialisées et rapporté plus de trois millions d’euros au pirate et ses complices. La police a procédé à l’arrestation de 4 personnes et plusieurs douzaines d’autres personnes sont encore suspectées dans l’affaire.
« Cette affaire soulève clairement la question de la sécurité des données des plus hautes institutions italiennes lorsque certaines de ses membres organisent des fuites massives de données. Il ne semble y avoir aucune contremesure pour empêcher cela. » Leonida Reitano, instructeur OSINT de la Polizia di Stato
De multiples fuites de données non détectées…
Si ce type d’officines existe dans tous les pays, la vraie question que pose l’affaire Equalize est comment une telle structure a pu exfiltrer des teraoctets de bases de données ultra-sensibles censées être protégées. Nunzio Samuele Calamucci a ainsi eu accès au système d’enquête du ministère de l’Intérieur, le SDI. De l’ordre de 15 To de données auraient été patiemment exfiltrés de nuit pour ne pas éveiller les soupçons. De nombreuses autres bases de données étatiques sont citées dans l’enquête, notamment Serpico, le système informatique de collecte et de traitement des données du service des impôts italien, le Siva, le système d’information financière de la Guardia di Finanza où convergent les déclarations de transactions financières suspectes transmises par la Banque d’Italie, etc.
La façon dont Equalize a eu accès à ces données confidentielles n’est pas encore totalement établie, mais pour Leonida Reitano, il ne faut pas aller chercher des techniques de hacking très sophistiquées pour savoir comment Equalize a procédé. C’est bien en s’appuyant sur leurs contacts auprès des services de police et des services secrets que les membres d’Equalize ont pu obtenir ces données confidentielles. Aussi étonnant que cela puisse paraître, aucun SIEM (système de gestion des informations et des événements de sécurité), aucun XDR (Extended Detection & Response) et système DLP (Data Loss Prevention) n’aurait détecté ces fuites de données massives… L’ANC (l’équivalent italien de l’ANSSI en France) n’a pas officiellement réagi à ce scandale d’Etat et Leonida Reitano ne voit rien de très surprenant à cela : « Il ne faut pas s’attendre à une refonte majeure de la cybersécurité des institutions italiennes » explique l’expert. « En fin de compte, il ne s’agit pas tant d’un problème de cybersécurité que d’un problème de sécurité d’État. Des agences telles qu’Equalize effectuent certaines tâches illégales que les entreprises et les services secrets ne peuvent faire eux-mêmes, notamment la protection des fugitifs de la mafia. Lorsqu’un tel scandale éclate, personne ne connaît personne, mais tout le système est à l’écoute. » Le scandale pourrait éclabousser d’autres pays, car la police italienne a accès à des données européennes via Interpol et Europol notamment. » Leonida Reitano ajoute : « Le fonctionnement d’une telle officine occulte ne connaît pas de frontières. Nous savons que les prétendus Israéliens contactés par l’ancien agent de renseignement italien Vincenzo di Marzio [NDLR : qui était en contact avec Nunzio Calamucci] étaient prêts à échanger des données, notamment sur les activités pro-iraniennes menées en Italie par Piero Amara, une personne bien connue impliquée dans la contrebande de pétrole iranien. »
Ce scandale doit rappeler à tous que l’un des risques qui porte sur les données critiques est le risque interne et qu’il existe des moyens bien connus de surveiller les comptes à privilèges et détecter une fuite de données, y compris si celle-ci est initiée par un compte légitime.