Le 7 août 2026, l’Information Commissioner’s Office (ICO) a réprimandé l’ACRO Criminal Records Office pour des manquements à la sécurité des données. Son enquête, rendue publique le 12 août, décrit trois intrusions sur le portail client public de l’organisme et son CMS Kentico entre juillet 2021 et juin 2023. L’attaque la plus grave a laissé un accès persistant pendant environ sept mois.
L’enjeu dépasse une panne de site. ACRO traite des demandes de Police Certificates, d’International Child Protection Certificates et de droit d’accès, avec des informations qui peuvent concerner des victimes de violences domestiques ou d’autres personnes particulièrement exposées. Jusqu’à 10 920 personnes pourraient avoir eu des données préparées pour une exfiltration, sans que l’enquête puisse déterminer avec certitude si ces données ont effectivement quitté les systèmes.
Trois intrusions sur une même surface exposée
L’enquête forensique commandée par ACRO a regroupé les traces en trois ensembles, désignés Group A, Group B et Group C dans le dossier de l’ICO. Les indices d’activité malveillante s’étendent du 9 juillet 2021 au 22 juin 2023. Cette dernière date correspond à la désaffectation de l’infrastructure compromise, et ne prouve pas que l’attaquant était encore présent ce jour-là.
Le Group A est le scénario le mieux documenté. Du 5 août 2022 au 14 mars 2023, un attaquant a conservé un accès au site web et au CMS Kentico d’ACRO. Une autre intrusion, découverte pendant l’analyse d’une injection SQL, a exposé 15 jeux d’identifiants, principalement liés à des membres du personnel. Les sources disponibles ne permettent pas d’attribuer les trois épisodes à un même acteur ni de confirmer l’identité de l’attaquant.
Un correctif sans responsable reste un risque ouvert
ACRO utilisait la version 12.0.0 de Kentico depuis septembre 2019. Des correctifs et hotfixes de sécurité avaient été publiés pendant cette période, mais ils n’ont pas été appliqués. L’ICO a relevé que ni ACRO ni ses prestataires ne disposaient d’une responsabilité suffisamment claire pour identifier, suivre et déployer ces mises à jour critiques.
Le problème n’était donc pas seulement l’ancienneté du logiciel. ACRO n’avait pas de politique documentée couvrant le patching de Kentico et ne pouvait pas montrer comment les vulnérabilités étaient identifiées ou priorisées. Quand une tâche critique est partagée entre une organisation, un fournisseur de services managés et un prestataire web sans propriétaire explicite, le correctif peut rester dans un angle mort pendant des années.
Des alertes antivirus sans processus d’escalade
Les outils Trend Micro ont généré plusieurs alertes pendant la période d’attaque. Quatre détections concernaient des tentatives d’installation de Mimikatz, un outil utilisé pour récupérer des identifiants. Ces signaux ont été mis en quarantaine par l’antivirus mais n’ont pas déclenché d’enquête documentée ni d’escalade identifiable.
ACRO a indiqué à l’ICO qu’elle ne pouvait pas établir quels processus existaient alors pour évaluer ou traiter les alertes, ni quels rôles devaient les relire et les faire remonter. Une alerte n’est donc pas un contrôle complet : elle réduit le délai de réaction uniquement si quelqu’un en est responsable, si le signal est conservé et si une décision est tracée.
Des données sensibles préparées, mais une exfiltration impossible à confirmer
Les enquêteurs ont constaté que des informations avaient été rassemblées les 15 et 16 février 2023 pour une possible exfiltration. Le périmètre pouvait inclure des noms, dates de naissance, adresses, numéros d’assurance nationale, informations de passeport et de permis de conduire, coordonnées bancaires, données biométriques ainsi que des informations relatives à des infractions pénales et à des catégories particulières de données.
Ces informations étaient liées à des demandes de certificats de police, de certificats internationaux de protection de l’enfance et d’accès aux données personnelles. Les journaux conservés n’étaient pas assez complets pour établir si les fichiers préparés avaient été effectivement copiés hors de l’environnement. ACRO avait notifié plus de 84 000 personnes par précaution, alors que l’analyse a ensuite ramené à 10 920 le nombre maximal de personnes dont les données avaient pu être préparées.
Cette incertitude est déjà une conséquence concrète. Les 35 plaintes formelles rapportées dans le dossier faisaient état de détresse personnelle et de craintes d’usurpation d’identité ou de perte financière. Des victimes de violences domestiques figuraient parmi les personnes ayant exprimé ces inquiétudes. Ne pas pouvoir reconstituer le trajet d’une donnée empêche de répondre précisément à ceux qui veulent savoir ce qui les concerne.
Ce que les personnes concernées peuvent faire
Si vous avez utilisé le portail ACRO pendant la période à risque, méfiez-vous des messages qui reprennent le vocabulaire d’un certificat de police, d’une demande d’accès ou d’une procédure internationale. Ouvrez le site officiel en saisissant vous-même son adresse et vérifiez toute demande auprès d’un contact déjà connu. Ne communiquez jamais un code, un mot de passe ou une pièce d’identité en réponse à un message inattendu.
Le risque lié aux mots de passe dépend surtout de leur réutilisation. Un secret identique sur une messagerie, un compte professionnel ou un service financier doit être changé sur chacun de ces services, en commençant par les comptes qui permettent de récupérer les autres. Activez la double authentification quand elle est proposée et conservez une trace des comptes traités, sans copier ces secrets dans un tableur ou un e-mail.
Ce que les organisations doivent vérifier
La leçon ACRO concerne la chaîne de responsabilité autant que la technologie. Pour chaque CMS exposé et chaque prestataire, une organisation doit pouvoir répondre à quatre questions : qui reçoit les avis de sécurité, qui décide de la priorité, qui déploie le correctif et quelle preuve confirme que l’opération est terminée ? La réponse doit rester valable quand un fournisseur change d’équipe ou de contrat.
Les alertes doivent suivre le même chemin. Un propriétaire, un délai de revue, une procédure d’escalade et des journaux conservés rendent possible la distinction entre un faux positif et un début d’intrusion. La segmentation réseau qui a empêché l’attaquant d’atteindre les systèmes centraux a limité les dégâts chez ACRO, mais elle ne remplace ni le patching ni la surveillance.
Après l’incident, ACRO a désaffecté l’infrastructure compromise, migré ses services, renforcé la segmentation et mis en place une surveillance de sécurité avec une meilleure visibilité des menaces. Ces mesures corrigent une partie du risque ; elles ne permettent pas de reconstituer a posteriori des événements que des journaux insuffisants n’ont pas enregistrés.
Le lien avec Soclyde
Soclyde ne protège pas le portail ACRO, ne remplace pas un CMS corrigé et ne peut pas confirmer ce qui s’est passé dans les journaux d’un tiers. Son utilité se situe dans la gestion des accès autour de ce type de service : générer un secret unique pour chaque compte, le conserver dans un coffre chiffré et savoir rapidement quels accès doivent être renouvelés lorsqu’une organisation ou un prestataire est touché.
Cette séparation réduit le risque d’escalade par réutilisation et évite de disperser les secrets dans des fichiers partagés. Elle complète les correctifs, la surveillance, la segmentation et la conservation des journaux ; elle ne les remplace pas.
À retenir
Le dossier ACRO montre comment trois intrusions peuvent durer près de deux ans quand les correctifs n’ont pas de propriétaire, que les alertes restent sans suivi et que les journaux ne permettent plus de trancher sur une exfiltration. Les données en jeu étaient particulièrement sensibles, et l’incertitude elle-même a pesé sur des personnes vulnérables.
Pour réduire le risque côté utilisateur, supprimez toute réutilisation de mot de passe, vérifiez les messages depuis le canal officiel et traitez les comptes de récupération en priorité. Pour structurer cette démarche, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
