Spain arrests doxer leaking sensitive data of govt employees

Arrestation en Espagne d’un auteur de « doxing » visant des fonctionnaires

La police nationale espagnole a interpellé un individu soupçonné d’avoir divulgué des données personnelles sensibles concernant des membres d’institutions critiques, notamment l’Institut national de cybersécurité (INCIBE), le Bureau du procureur général, la police nationale, la Garde civile et le Conseil de sécurité nationale.

Points clés :

• Nature de l’attaque : Il s’agit d’une opération de doxing (collecte et publication malveillante d’informations privées) et non d’une intrusion directe dans les systèmes informatiques des organisations visées.
• Méthodologie : Les données ont été agrégées à partir de sources diverses, telles que d’anciennes violations de données, des fuites d’identifiants et des techniques d’OSINT (renseignement en sources ouvertes).
• Impact : La fuite a exposé des informations nominatives, des numéros d’identification (DNI), des numéros de téléphone et des adresses électroniques professionnelles, mettant en péril la sécurité des personnes concernées.
• Groupe impliqué : Les fuites ont été liées au collectif « Police-ESP-Doxed », notamment via des plateformes comme BreachForums et Doxbin.

Vulnérabilités :

• Aucune vulnérabilité spécifique (CVE) n’est associée à cet incident, car la menace ne reposait pas sur l’exploitation d’une faille logicielle, mais sur l’agrégation de données déjà disponibles ou issues d’incidents passés.

Recommandations :

• Veille OSINT : Surveiller les fuites de données personnelles pour identifier les informations exposées sur le personnel sensible.
• Gestion de l’identité : Sensibiliser les employés des secteurs critiques aux risques de doxing et les inciter à limiter la visibilité de leurs informations personnelles en ligne.
• Analyse des risques : Mettre en œuvre des protocoles de protection renforcés pour les agents occupant des fonctions régaliennes afin de prévenir les menaces physiques ou d’ingénierie sociale découlant de la divulgation de leurs données privées.

Source