La plateforme brésilienne Gov.br a subi le plus grand volume d'attaques par déni de service distribué (DDoS) de l'histoire de Serpro, l'entreprise publique qui exploite son infrastructure, mais le service est resté en ligne et aucune donnée n'a été compromise, selon l'entreprise. L'information a été divulguée le jeudi 5 novembre 2026 et a fait écho tout au long de la semaine.
À lire aussi : Japão anuncia pacote emergencial de cibersegurança de ¥10 bilhões após onda de vazamentos de dados
Ce qu'a dit le directeur de Serpro
La révélation vient d'André Picoli Agatte, directeur des Nouveaux Marchés et de l'Intelligence informatique de Serpro, à l'ouverture de la IIe Semaine de l'intelligence artificielle de Serpro, tenue du 4 au 6 novembre à Brasilia et diffusée en direct sur YouTube, en présence du président de l'entreprise, Wilton Mota. Agatte parlait de souveraineté numérique et d'investissement dans l'infrastructure quand il a évoqué l'épisode.
« Cette semaine, nous avons subi une attaque sans précédent contre GovBR, contre nos structures, et nous avons réussi à y répondre. Nous avons fait preuve de résilience et de capacité à résister », a déclaré le directeur.
Classification éditoriale : l'expression « attaque sans précédent » est une déclaration d'Agatte. Il n'a pas précisé le type d'attaque, les systèmes visés, sa durée ni s'il y a eu des dégâts. Agatte dirige le secteur commercial ; c'est la direction des Opérations qui répond de la disponibilité des systèmes et de la réponse aux incidents, et elle ne s'est exprimée qu'ensuite, dans la note officielle.
Ce que dit la note officielle de Serpro
Le même jour, le 5, Serpro a publié une clarification. Selon le texte, « au cours du dernier semestre », l'infrastructure de l'entreprise « a enregistré les plus grands volumes d'attaques par déni de service distribué (DDoS) de son histoire ». L'entreprise affirme que son équipe de sécurité et de réponse aux incidents a agi « en temps utile, en appliquant des protocoles rigoureux d'atténuation et de défense » et qu'« il n'y a eu aucun type d'impact, d'interruption ou de compromission » dans les environnements de Gov.br, surveillés 24 heures sur 24.
Le directeur des Opérations, Wallyson Oliveira, a affirmé dans la note que les équipes ont agi « de manière coordonnée, en utilisant des mécanismes avancés de surveillance, de détection et d'atténuation » et que tout s'est déroulé « sans impact sur la disponibilité ou l'intégrité » des systèmes. Le président Wilton Mota a ajouté : « Nous continuerons à investir dans la sécurité, l'intelligence et la souveraineté numérique pour garantir la continuité et la fiabilité des services publics numériques ».
Un DDoS n'est pas une intrusion
Une attaque DDoS est un déluge de fausses requêtes, généralement lancées par des milliers d'ordinateurs et d'appareils infectés, pour ralentir un service ou le mettre hors ligne. À elle seule, elle n'ouvre aucune base de données et ne vole aucun mot de passe : la cible est le serveur, pas le téléphone de la personne qui utilise l'application. La note elle-même définit l'attaque comme ayant pour « objectif exclusif » de « rendre des environnements numériques indisponibles par surcharge d'accès ».
La taille de la cible
Selon le ministère de la Gestion et de l'Innovation dans les services publics (MGI), qui coordonne la plateforme, Gov.br comptait jusqu'en octobre 2026 179,5 millions de comptes actifs, 5 390 services numériques fédéraux et 4 000 systèmes intégrés à l'identifiant unique. Avec le même accès, le citoyen atteint aussi plus de 8 700 services étatiques et municipaux, comme Meu INSS, Meu SUS Digital, la Carte de travail numérique, la Carte de transit numérique, Enem et Fies. La signature électronique de documents a déjà été utilisée 592 millions de fois. Un DDoS réussi contre l'authentification bloquerait en même temps les demandes de prestations, les rendez-vous de vaccination et les inscriptions aux examens d'entrée. Selon Serpro, cela ne s'est pas produit.
Ce qui n'a pas encore été expliqué
La note n'individualise pas l'épisode cité par Agatte et ne donne ni volume de trafic, ni durée, ni origine, ni auteur. Aucun groupe n'a revendiqué l'attaque. Il y a aussi un écart de cadrage : le directeur a parlé d'une attaque « cette semaine », tandis que la note parle de volumes records « au cours du dernier semestre ». Serpro n'a pas dit s'il publierait des données techniques sur les attaques, comme les pics de trafic et la durée. En attendant cette réponse, le « sans précédent » reste sans chiffre.
Le précédent de 2024
Le gouvernement a déjà vu ce qui se passe quand la défense échoue. Le 11 septembre 2024, une attaque DDoS revendiquée par un pirate se présentant comme @azaelx64 a rendu Gov.br instable et a brièvement mis hors ligne les pages du palais du Planalto et de ministères comme la Justice, les Affaires étrangères et l'Agriculture, ainsi que l'Anatel. La plupart des sites étaient de retour vers 16 h 15, et Serpro a reconnu le problème et ouvert une enquête.
Ce que l'utilisateur doit faire
Serpro affirmant qu'aucun compte n'a été compromis, il n'y a aucune réinscription à faire. Les nouvelles d'une « attaque contre Gov.br » deviennent souvent des appâts de phishing dans les jours qui suivent ; il vaut donc mieux : activer la vérification en deux étapes dans les paramètres de sécurité du compte Gov.br ; n'y accéder qu'en tapant gov.br dans le navigateur ou via les applications officielles, jamais via un lien reçu ; et ignorer les SMS, e-mails ou messages WhatsApp demandant une « mise à jour de sécurité », un mot de passe ou un code au nom de Gov.br.
Image : façade du siège de Serpro, à Brasilia. Crédit : Divulgation/Serpro.
Sources
- TekiMobile — Ataque hacker ao Gov.br: Serpro nega vazamento de dados e queda
- Convergência Digital — Serpro: maior volume de ataques DDoS da história, sem impacto no Gov.br
- SindPD — Gov.br sofre ataque cibernético ‘sem precedentes’, afirma Serpro
- Capital Digital — Serpro revela “ataque sem precedentes” ao Gov.br
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, à partir du recoupement de publications publiques et de sources internet, et révisé sur la base des sources originales citées ci-dessous. Nous recommandons de consulter les sources originales pour plus de détails.
Muse
