Résumé

  • LACNIC indique que certaines personnes inscrites à LACNIC 46–LACNOG 2026 ont pu recevoir des courriels proposant des bases contenant des informations sur les participants. Ces messages n'ont été ni envoyés ni autorisés par LACNIC.
  • L'organisation précise qu'elle ne vend ni ne négocie les bases contenant les coordonnées des inscrits à ses événements et recommande de ne pas répondre, payer ou communiquer d'informations personnelles.
  • La page publique des participants affiche le nom, l'organisation, le mode de participation et le pays, mais pas d'adresse électronique. Une collecte publique suivie d'un enrichissement est donc concevable, sans être démontrée.
  • L'instrument manquant est un registre versionné d'origine et de qualification, capable de distinguer signalement, conservation d'un échantillon, schéma observé, compilation publique, enrichissement externe, exposition interne suspectée et compromission confirmée.

Le mot « base » donne trop vite une forme solide à un objet que personne n'a encore décrit publiquement. Une personne qui propose un fichier affirme qu'il existe et qu'elle peut le livrer. Elle ne prouve ni son contenu, ni son actualité, ni sa provenance. Même le fait d'atteindre un véritable inscrit ne résout pas ces trois questions.

L'avis publié par LACNIC le 23 septembre résiste plutôt bien à cette tentation. Il dit que des inscrits ont pu recevoir des courriels proposant des bases avec des informations sur les participants. Il établit que ces messages ne sont pas émis ou autorisés par LACNIC. Il rappelle que LACNIC ne vend ni ne négocie les bases comprenant les coordonnées des personnes inscrites à ses événements. Enfin, il demande aux destinataires de ne pas répondre, de ne pas effectuer de paiement et de ne pas transmettre d'informations personnelles.

Ce sont des faits et des consignes utiles. L'avis ne publie toutefois aucun nombre de signalements authentifiés, aucune identité d'expéditeur, aucun échantillon de fichier, aucune preuve d'achat et aucune conclusion technique. Son conditionnel compte : il ne transforme pas chaque récit reçu en incident déjà vérifié.

Il faut donc conserver deux catégories distinctes. La sollicitation est non autorisée selon LACNIC. Une compromission des systèmes de LACNIC n'est pas confirmée dans les pièces publiques examinées.

La vitrine publique ne raconte pas l'itinéraire des adresses

Le système événementiel de LACNIC maintient une liste publique pour la rencontre prévue en octobre à Mendoza. Le 27 septembre, cette page affichait 572 inscriptions. Ce total est mouvant et ne vaut pas nombre définitif de participants. La structure du tableau est plus probante : nom, organisation, participation et pays.

Aucune ligne individuelle n'a été conservée ni reproduite pour cet article. Le schéma suffit à analyser les voies possibles sans créer une nouvelle copie des données.

Une première voie est évidente. Un tiers peut collecter les quatre champs publics, les regrouper dans un tableur, les présenter comme une « base de participants », puis retrouver des adresses professionnelles sur des sites d'entreprises ou auprès d'un courtier. Il s'agirait toujours d'une exploitation commerciale non autorisée. Cela ne démontrerait pas l'extraction d'adresses depuis la plateforme d'inscription.

Mais le caractère public de quatre champs ne démontre pas davantage que cette voie a été utilisée. Les adresses peuvent provenir d'une ancienne liste de conférence, d'un fournisseur de contacts, d'un site public, d'un format d'adresse deviné ou d'un fichier sans rapport avec l'événement. À l'inverse, un vendeur peut mêler des identifiants publics à des coordonnées privées ou à un attribut réservé au système d'inscription.

L'avis ne dit pas quels champs ont été proposés. Il ne dit pas si les adresses électroniques figuraient dans le produit ou si elles ont seulement servi à le promouvoir. La présence d'une page publique n'innocente donc aucun mécanisme interne ; l'arrivée d'un courriel n'en condamne aucun non plus.

La formule rigoureuse est étroite : aucune fuite n'est confirmée dans le dossier public examiné. Elle ne signifie pas qu'aucune fuite n'a eu lieu.

Cinq objets de preuve, pas une étiquette binaire

Le premier objet est le signalement : quel destinataire a reçu quel message, à quelle date, et cette personne était-elle bien inscrite ? Ces informations doivent rester dans un dossier protégé.

Le deuxième est le message lui-même : en-têtes complets, itinéraire, liens, pièces jointes, demande de paiement et formulation exacte du vendeur. Ce matériel peut orienter l'enquête, mais sa publication risquerait d'exposer les victimes ou d'aider l'expéditeur.

Le troisième est le schéma annoncé. Le vendeur a-t-il montré un échantillon vérifiable ? Promet-il seulement des noms et des organisations déjà visibles, ou également des courriels, téléphones, fonctions, états de paiement, dates d'inscription ou identifiants internes ? Le terme générique « base » dissimule cette différence décisive.

Le quatrième objet est la comparaison d'origine. Dans un environnement restreint, un échantillon peut être confronté à la page publique, à la plateforme d'inscription, aux accès des prestataires autorisés et aux listes externes connues. Une adresse professionnelle courante présente peu de valeur attributive. Un identifiant non public, une graphie propre au système ou des enregistrements créés après une date précise changeraient le poids de l'indice.

Le cinquième objet est la qualification : « signalé », « échantillon préservé », « compatible avec une compilation publique », « compatible avec un enrichissement externe », « exposition interne suspectée », « compromission confirmée » ou « clos sans confirmation ». Chaque transition appelle une date, un responsable et un motif. Une correction ultérieure doit succéder à l'état précédent, non l'effacer.

Une promesse de confidentialité n'est pas un résultat d'enquête

La politique de confidentialité de LACNIC s'applique aux inscriptions aux événements et formations. Elle prévoit un traitement confidentiel et sécurisé, une conservation liée à la finalité et un partage limité à des circonstances énumérées, notamment la publication inhérente à une activité publique ou communautaire, le consentement explicite, les prestataires nécessaires et les demandes légales.

Cette politique définit l'obligation de l'organisation. Elle ne démontre pas ce qui s'est produit ici. Une promesse de sécurité ne prouve pas qu'un contrôle a fonctionné ; une sollicitation indésirable ne prouve pas qu'il a échoué. Le raccord absent est l'évaluation de la source à partir des messages conservés.

LACNIC dispose aussi d'un CSIRT qui présente des services de réception d'incidents, de coordination de conseils et d'alertes de sécurité. Cela montre qu'un canal confidentiel existe. Les pages consultées ne disent pas que le CSIRT a attribué une qualification à cet épisode. Lui prêter une conclusion serait ajouter un fait au dossier.

Le besoin public est plus réduit que le dossier forensique. Les inscrits doivent connaître l'état de preuve, l'action prudente, les classes de champs examinées, la date de mise à jour et le canal de transmission d'un message reçu. Si la qualification évolue, ils doivent savoir ce qui a changé.

Publier l'état, protéger la matière

Un registre compact pourrait accompagner l'avis initial. Il identifierait l'événement et la version du message ; donnerait un volume de signalements authentifiés sous forme de fourchette ou au-delà d'un seuil de confidentialité ; décrirait les catégories de champs observés ; séparerait les champs publics des coordonnées non publiques ; afficherait la qualification actuelle, le canal responsable, l'heure de mise à jour et l'historique des corrections.

Le dossier protégé garderait les identités des destinataires, les en-têtes, les empreintes des échantillons, l'infrastructure d'envoi, les instructions de paiement, les fichiers proposés, la méthode de comparaison, la revue des accès autorisés et les notes d'enquête. La transparence ne commande pas de republier ce qui peut créer une nouvelle exposition.

Ce mécanisme ne demande pas à LACNIC d'annoncer une violation sans preuve. Il permet précisément de maintenir « origine non résolue » comme une conclusion valable. Il protège l'organisation contre une escalade infondée tout en empêchant qu'un signal précoce soit classé trop vite parmi les pourriels ordinaires.

La question posée auparavant par la liste publique de LACNIC 46 portait sur le consentement, le périmètre des champs, la durée de visibilité et le retrait. L'avis du 23 septembre crée un autre objet : une prétention commerciale non autorisée adressée à des personnes liées à l'événement. Il ne faut ni réécrire l'analyse précédente, ni réduire le nouvel épisode à celle-ci.

La réponse la plus crédible n'est ni l'assurance absolue ni l'alarme. C'est une incertitude précisément administrée.

Sources

  1. LACNIC — Informations sur LACNIC 46–LACNOG 2026
  2. Événements LACNIC — page publique des participants à LACNIC 46
  3. LACNIC — Politique de confidentialité
  4. LACNIC CSIRT — Services
  5. LACNIC CSIRT — Questions fréquentes