Un ex-employé de DOGE aurait emporté des données de la Social Security vers son nouvel emploi, selon un lanceur d’alerte

• Le bureau de l’inspecteur général de la Social Security enquête sur des soupçons selon lesquels un ancien ingénieur de DOGE a exfiltré des informations en exploitant son accès à des bases de données sensibles
• Selon le signalement, cette personne a accédé à deux bases de données à haut risque et aurait eu l’intention de partager ces informations avec son nouvel employeur privé
• Ces données constituent des informations essentielles du système de sécurité sociale utilisé par plus de 70 millions de personnes aux États-Unis ; en cas de fuite, il pourrait s’agir d’une violation de sécurité sans précédent
• Les enquêteurs examinent la possibilité que les données aient été transférées à l’aide d’une clé USB (thumb drive)
• Cette affaire est suivie de près comme un exemple révélant les faiblesses de la gestion de la sécurité interne et des mécanismes de contrôle d’accès aux données dans les agences fédérales

---

Enquête sur des soupçons de fuite de données à la Social Security

• Le bureau de l’inspecteur général (Inspector General’s Office) de la Social Security enquête sur de présumées violations de sécurité impliquant un ancien ingénieur de DOGE
  • Cette personne aurait disposé d’un droit d’accès à deux bases de données majeures de la Social Security
  • Le lanceur d’alerte affirme qu’il aurait tenté de transmettre ces informations à son nouveau lieu de travail
• Des responsables indiquent que, si les faits sont confirmés, il pourrait s’agir d’une intrusion de sécurité sans précédent dans l’histoire de l’agence

Mode présumé d’exfiltration et périmètre de l’enquête

• D’après le signalement, l’ancien employé aurait transféré les données à l’aide d’une clé USB (thumb drive)
• Le bureau de l’inspecteur général enquête principalement sur les journaux d’accès aux données et l’éventuelle utilisation de supports de stockage externes
• Aucune précision supplémentaire n’a été fournie à ce stade sur l’avancement de l’enquête ni sur des preuves concrètes

Rôle de la Social Security et niveau de risque

• La Social Security gère les informations personnelles et financières de plus de 70 millions d’Américains
• Ces données comprennent des informations sensibles telles que le numéro de sécurité sociale, les revenus et l’historique des prestations sociales
• Cette affaire pourrait donc avoir un impact majeur sur le dispositif de protection des données personnelles à l’échelle nationale

Portée potentielle de l’affaire

• Ces soupçons ravivent les inquiétudes sur les contrôles de sécurité interne et les systèmes de gestion des accès aux données au sein des agences fédérales
• L’efficacité des procédures visant à empêcher l’exfiltration de données lors du départ d’employés pourrait notamment être remise en cause
• Selon les conclusions de l’enquête, l’affaire pourrait déboucher sur des mesures juridiques ou des discussions sur des réformes

Position officielle à ce stade

• L’article ne mentionne aucune déclaration officielle de la Social Security ni de DOGE
• En dehors des enquêteurs, aucun commentaire supplémentaire ni fait confirmé n’a été rendu public
• Aucune information n’a encore été annoncée sur l’issue de l’affaire ou les mesures à venir

[GN⁺]

Commentaires sur Hacker News

• partage le lien archive.is
• l’équipe DOGE a installé en février 2025 un terminal satellite Starlink sur le toit de l’Eisenhower Executive Office Building, à côté de la Maison-Blanche
  cela a été fait sans approbation préalable de l’équipe de communications et de sécurité de la Maison-Blanche, et un Wi‑Fi « Starlink Guest » accessible avec un simple mot de passe a été ouvert
  cela aurait permis aux appareils d’échapper à la surveillance et d’effectuer des transferts de données non autorisés vers l’extérieur, et des experts comme l’ancien hacker de la NSA Jake Williams ont mis en garde contre les risques de sécurité
  couverture associée : NYT, Washington Post, Wired
  • pense que la partie sur le fait « d’échapper à la surveillance et de permettre les fuites de données » relevait d’un comportement intentionnel
  • estime que les services de renseignement ont probablement déjà l’autorité d’intercepter le trafic Starlink. En revanche, la question de savoir s’ils l’utilisent réellement est différente. Ou alors Starlink utilise peut-être un chiffrement spécial sur certains segments, déchiffrable uniquement par certaines grandes agences
• récemment, des parties poursuivant le gouvernement, dont l’AHA, ont publié sur YouTube des dépositions vidéo de membres de DOGE. La séquence où Justin Fox est incapable d’expliquer la signification de DEI (diversité, équité et inclusion) a marqué les esprits
  • il a décrit DEI comme « les femmes » et « faire entendre davantage la voix des groupes marginalisés », tout en affirmant que c’était discriminatoire. Ils ne sont pas stupides ; ils ont simplement montré une attitude visant à éviter toute responsabilité
  • plus tard, il a qualifié un documentaire sur des femmes juives réduites en esclavage pendant la Seconde Guerre mondiale d’intrinsèquement discriminatoire parce qu’il « amplifie des voix marginalisées ». On a l’impression qu’il essayait délibérément de paraître idiot sur conseil de ses avocats
  • cette attitude en déposition ressemble davantage à une stratégie d’évitement de responsabilité qu’à une véritable ignorance. Dans la culture actuelle des témoignages, « l’amnésie » ou « l’air confus » sont devenus les boucliers les plus sûrs
• le fait que le Washington Post n’ait pas révélé le nom de l’ancien employé DOGE suscite une controverse. Certains affirment qu’« il faudrait le publier dans l’intérêt public »
  • comme il s’agit d’accusations non vérifiées, le nom n’a pas été publié
  • le public ne sait souvent pas distinguer une accusation d’une culpabilité établie
  • protéger le nom d’une personne accusée est rare, ce qui donne l’impression d’un traitement de faveur
  • si le Post avait publié le mauvais nom, il aurait pu faire l’objet d’un procès en diffamation, donc il cherche aussi à éviter un risque financier
  • certaines informations sur la personne concernée peuvent aussi être vérifiées dans l’article Wikipédia
• un ancien employé affirme que les données ont été copiées sur une clé USB. La Social Security Administration (SSA) a rétorqué que « les données se trouvent dans un environnement sécurisé isolé d’Internet ». Mais la contradiction d’une « copie USB depuis un environnement isolé d’Internet » a été soulignée
  • en pratique, accéder à ce type de données nécessite un accès physique, à un niveau qui supposerait de licencier ceux qui chercheraient à l’empêcher
  • cela paraît difficile à croire, mais quand on voit l’affaire des licenciements dans l’agence chargée de la gestion des armes nucléaires, cela semble tout à fait possible (article de The Bulletin)
  • « environnement sécurisé » et « copie sur USB » sont incompatibles
  • toutefois, en vérifiant la déclaration réelle de la SSA, il est possible que les médias aient exagéré (article de Daily Caller)
• aux États-Unis, les lois pour traiter ce genre d’affaire existent déjà, mais le problème est le pouvoir de grâce présidentielle. Il devrait être aboli
  • il y a aussi eu une réaction cynique demandant « qui est encore qualifié pour invoquer la loi ? »
  • le gouvernement fédéral aime attendre. Le prochain président sera peut-être moins généreux avec les grâces. On pourrait même voir apparaître un marché de paris sur les grâces
  • en principe, le Congrès peut contrôler les abus du pardon par la destitution, mais dans les faits cela ne sert à rien face à un président en fin de mandat. Le problème est aussi que la loyauté partisane passe avant les garde-fous constitutionnels
  • au final, le renforcement de l’application de la loi est le point de départ de la lutte contre la corruption. Si l’on laisse la corruption prospérer, les incitations à ne pas être corrompu disparaissent
• à ceux qui défendent cette affaire, on voudrait demander « en quoi est-ce une bonne chose ? »
  • ils ne font que répéter des excuses sans base logique. Ils changent de discours selon la situation et n’ont aucun principe cohérent
  • en citant Jean-Paul Sartre, il est expliqué que les débatteurs de mauvaise foi se moquent de la conversation sérieuse elle-même et neutralisent ainsi leur interlocuteur
  • l’exemple est donné d’un ami qui dit « Musk va réparer un gouvernement corrompu et économiser 2 000 milliards de dollars », montrant qu’il existe encore une confiance aveugle
  • certains estiment qu’il est inapproprié de prendre l’action non autorisée d’un individu comme base pour critiquer l’ensemble de l’administration. Il ne faut pas perdre les principes de la critique
• liens complémentaires liés : ancien fil HN, copie archive.is
• partage le lien ghostarchive
• laisse le commentaire cynique « Fraud as governance (la fraude comme mode de gouvernance) »