Le gouvernement indonésien sous le feu des critiques après une série de brèches informatiques

À retenir

En juin, plusieurs administrations indonésiennes ont été victimes d’une série de cyberattaques, dont une attaque par logiciel de rançon contre l’installation temporaire du Centre national de données du pays. Ces attaques ont mis en évidence les faiblesses des systèmes de sécurité des données en Indonésie et ont suscité des appels à la démission du ministre des Communications et de l’Information.

Ces brèches soulèvent de nouvelles questions sur l’état de préparation de l’Indonésie en matière de cybersécurité, ce qui pourrait la rendre moins attrayante pour les investisseurs étrangers, surtout si Jakarta ne démontre pas qu’elle prend des mesures pour renforcer ses cyberdéfenses.

Le gouvernement indonésien a l’intention d’examiner les pratiques de cybersécurité des centres de données de certains pays, dont le Canada, afin de mieux se défendre contre de futures cyberattaques.

En bref

• Le 20 juin, le Centre national temporaire de données de l’Indonésie a été compromis par le groupe de pirates informatiques Brain Cipher. La perte de données qui en a résulté a perturbé les services de près de 300 agences centrales et locales de l’État, y compris les services d’immigration et les principaux aéroports. Les pirates informatiques ont demandé une rançon de 11 millions de dollars canadiens pour débloquer les données, que le gouvernement a refusé de payer. (Par un mystérieux retournement de situation, Brain Cipher s’est excusé et a publié la clé de décryptage gratuitement le 3 juillet).
   
• Le 22 juin, le système d’identification automatique des empreintes digitales de l’Indonésie (INAFIS) a été piraté, suivi le 24 juin d’un autre piratage de l’Agence de renseignement stratégique des Forces armées nationales indonésiennes. Alors que les données compromises de la dernière attaque n’étaient pas à jour, celles de l’INAFIS, géré par la police nationale indonésienne, ont permis de voler des images d’empreintes digitales et des adresses courriel.
   
• Cette succession de piratages et l’absence de protocole de sauvegarde des données ont mis le gouvernement indonésien dans l’embarras, surtout si l’on considère les autres cyberattaques majeures qu’il a subies ces dernières années. En 2023, 1,5 téraoctet de données a été volé à la banque publique Bank Syariah Indonesia, notamment des coordonnées de clients et d’employés, des documents financiers, des renseignements sur des cartes et des mots de passe. En 2022, la banque centrale du pays a été victime d’une attaque par logiciel de rançon, qui n’a toutefois pas semblé avoir d’incidence sur les services publics. Toutefois, en 2021, un piratage du ministère indonésien de la Santé a compromis les données personnelles et les renseignements sur l’état de santé de 1,3 million de personnes.
   
• Selon l’Indice mondial de cybersécurité (GCI) 2020, qui mesure l’engagement des pays à relever les défis cybernétiques, l’Indonésie se classe au 24^e rang sur 194 pays, devant le Vietnam (25^e), la Thaïlande (44^e) et les Philippines (61^e). 

Implications

Les retombées politiques sont probables. Depuis les cyberattaques de juin, la nomination du ministre des Communications et de l’Informatique, Budi Arie Setiadi, fait l’objet d’un examen public. Certains ont suggéré qu’il s’agissait d’un ministre « placé », c’est-à-dire qu’il a été nommé à ce poste malgré son manque de connaissances techniques en raison de ses liens politiques avec le président, Joko Widodo (connu sous le nom de « Jokowi »). M. Setiadi était à la tête d’un groupe qui a soutenu la candidature de M. Widodo à la présidence en 2014 et en 2019. Des appels à la démission du ministre ont été lancés et une pétition demandant son départ a recueilli plus de 20 000 signatures.

La volatilité du paysage indonésien de la cybersécurité a jeté le doute sur l’engagement et la transparence du gouvernement dans la gestion de ces cyberattaques. Cela pourrait également nuire à la réputation du gouvernement et à sa capacité d’attirer et de retenir les investissements étrangers dans le secteur des technologies. À la fin avril, Microsoft a annoncé qu’elle investirait 2,3 milliards de dollars canadiens en Indonésie pour développer des infrastructures infonuagiques et d’intelligence artificielle afin de renforcer l’économie numérique du pays. Toutefois, cet investissement pourrait se heurter à des obstacles si la cybersécurité du pays reste faible, avec des problèmes constants de violations de données et d’interruptions d’activité. Cela pourrait conduire à une perte de confiance des investisseurs dans les capacités du pays en matière de protection de l’information, ce qui découragerait les nouveaux investissements.

Prochaines étapes

1. Un soutien et une coopération accrus de la part du Canada

En réponse à la récente violation de données et aux réactions du public, le ministère de l’Utilisation de l’appareil d’État et de la Réforme bureaucratique a annoncé que les pratiques de protection des données du Canada, de l’Inde et d’autres États seraient comparées et examinées en vue d’une éventuelle application dans les centres de données nationaux de l’Indonésie. (Le Canada est classé huitième dans le rapport du GCI 2020.)

Dans le cadre de sa stratégie pour l’Indo-Pacifique, le Canada a alloué 47,4 millions de dollars canadiens sur cinq ans pour renforcer les capacités cybernétiques et la coopération régionale dans ce domaine au sein de l’Association des nations de l’Asie du Sud-Est (ANASE), dont l’Indonésie est le plus grand membre. Pour ce faire, Ottawa prévoit de poster des « cyberattachés spécialisés » dans les pays partenaires, qui pourraient comprendre l’Indonésie. Le rôle exact de ces attachés n’a pas encore été dévoilé.

2. Nouveau président, nouvelle politique de cybersécurité ?

En octobre, Prabowo Subianto sera investi comme prochain président de l’Indonésie, ce qui pourrait être l’occasion de faire de la cybersécurité une priorité majeure. En tant que ministre de la Défense de 2019 à 2024, M. Prabowo a fait pression pour que l’enseignement de la cybersécurité devienne un domaine d’étude à l’Université de Défense indonésienne affiliée au ministère. Lors de sa campagne présidentielle, il a également proposé d’intégrer l’éducation à la cybersécurité dans le programme des écoles et des universités à l’échelle nationale.

• Édition par Erin Williams, gestionnaire principale de programme, Compétences Asie ; Ted Fraser, éditeur principal