MobiKwik face à une fuite de données alléguée de 110 M d'utilisateurs : démenti et menace juridique

MobiKwik est l'un des plus grands portefeuilles de paiement mobile en Inde, et détient les documents d'identité que la réglementation indienne exige des clients — données KYC, numéros d'identité Aadhaar, données de carte et de téléphone. Début mars 2021, un chercheur en sécurité a rapporté qu'un ensemble de données présenté comme appartenant à MobiKwik, couvrant environ 110 millions d'utilisateurs, était apparu à la vente sur un forum du dark web.

La réponse de MobiKwik fut un démenti immédiat. Le 4 mars, l'entreprise a déclaré n'avoir constaté aucune faille de sécurité, et son service juridique a annoncé qu'il prendrait des mesures strictes contre le chercheur. Lorsque les utilisateurs ont commencé à vérifier et ont rapporté que certaines des données divulguées semblaient authentiques, l'affaire n'a fait que s'amplifier. L'équipe indienne d'intervention en cas d'urgence informatique, CERT-In, a transmis un échantillon des données à MobiKwik ; l'entreprise a affirmé que cet échantillon ne provenait pas d'elle.

Le démenti n'a pas contenu la crise. L'allégation étant désormais publique et contestée, la Reserve Bank of India a ordonné à MobiKwik de faire réaliser un audit forensique de ses systèmes par un auditeur certifié par CERT-In. Une entreprise de paiement qui traite des données d'identité avait transformé une allégation de sécurité en examen réglementaire.

L'affaire est aujourd'hui citée pour sa gestion de crise plutôt que pour la violation elle-même, que MobiKwik n'a cessé de contester. Lorsqu'une entreprise détenant des données sensibles s'entend dire qu'elle a subi une fuite, démentir et menacer celui qui l'annonce invite les utilisateurs, les chercheurs et le régulateur à vérifier — et c'est l'audit du régulateur, et non le démenti de l'entreprise, qui devient l'événement.

Le démenti et la menace juridique ont invité à la vérification, si bien que la RBI a ordonné un audit forensique, faisant de l'audit, et non du démenti, l'événement.

MobiKwik détenait les documents d'identité exigés par la réglementation indienne — données KYC et Aadhaar — de sorte que toute fuite alléguée constituait d'emblée un événement à forts enjeux et à forte attention.

Sa première réponse fut un démenti et une menace juridique contre le chercheur, avant toute enquête transparente, ce qui a amplifié l'affaire plutôt que de la réduire.

Une fois que les utilisateurs et CERT-In ont testé l'allégation, le démenti est apparu évasif ; l'entreprise a perdu la maîtrise du récit au profit de ceux qui pouvaient vérifier les données.

Transformer une allégation de sécurité en conflit avec celui qui l'annonce a attiré la Reserve Bank of India, qui a ordonné un audit forensique que l'entreprise devra désormais réussir.

Lorsque vous détenez des données sensibles et que l'on vous dit qu'elles ont fuité, le démenti et la menace juridique se retournent contre vous. Les utilisateurs, les chercheurs et le régulateur vérifieront — et c'est l'audit, et non le démenti, qui devient l'événement.

MobiKwik a maintenu que ses systèmes n'avaient pas été compromis et a coopéré à l'audit ordonné par la RBI. L'épisode est devenu en Inde un exemple largement enseigné de ce qu'il ne faut pas faire face à une allégation de sécurité des données : pour une entreprise à qui l'on confie des données d'identité, la réponse à une allégation de fuite est elle-même un test de confiance, et un démenti défensif peut coûter plus cher que l'allégation initiale.