Fuite Massive de Données Jurés aux USA
Imaginez recevoir une convocation pour servir de juré… et découvrir quelques jours plus tard que votre adresse exacte, votre numéro de portable et même la maladie dont vous souffrez circulent librement sur Internet. Ce cauchemar est devenu réalité pour des milliers d’Américains à cause d’une faille aussi simple qu’effrayante.
Fin novembre 2025, TechCrunch a révélé qu’une vulnérabilité critique touchait les portails de gestion des jurés utilisés dans au moins huit États américains. Derrière cette brèche ? Tyler Technologies, un géant des logiciels gouvernementaux que l’on retrouve partout, des tribunaux aux prisons en passant par les services fiscaux.
Une faille d’une simplicité enfantine
Le principe était d’une banalité désarmante. Chaque juré reçoit un identifiant numérique séquentiel (1001, 1002, 1003…). Rien n’empêchait quiconque de tester automatiquement des milliers de numéros. Pas de captcha, pas de limitation de tentatives, pas même un message d’alerte après dix échecs.
En clair : avec un simple script lancé depuis un ordinateur personnel, n’importe qui pouvait récupérer en quelques heures les données complètes de dizaines de milliers de citoyens.
« Nous avons confirmé l’existence d’une vulnérabilité permettant un accès non autorisé via attaque par force brute »
– Karen Shields, porte-parole de Tyler Technologies, 25 novembre 2025
Quelles données étaient exposées ?
La liste fait froid dans le dos :
- Noms et prénoms complets
- Adresses postales précises (rue, ville, code postal)
- Numéros de téléphone portable
- Dates de naissance
- Situation maritale et nombre d’enfants
- Niveau d’éducation et profession
- Données de santé (quand une exemption médicale était demandée)
- Casier judiciaire (condamnations, mises en accusation)
Dans certains cas, des jurés avaient même joint des certificats médicaux ou des lettres expliquant pourquoi leur état de santé les empêchait de siéger. Tout cela était accessible en un clic.
Des États entiers concernés
La vulnérabilité touchait des portails dans au minimum la Californie, l’Illinois, le Michigan, le Nevada, l’Ohio, la Pennsylvanie, le Texas et la Virginie. D’autres États et même des juridictions canadiennes utilisaient la même plateforme. Autant dire que le risque était national.
Dans un comté texan testé par le chercheur en sécurité ayant alerté TechCrunch, il suffisait de quelques minutes pour télécharger les profils de centaines de jurés. Le chercheur, qui a préféré rester anonyme, parle d’une « faille que même un lycéen aurait pu exploiter ».
Tyler Technologies : déjà épinglé par le passé
Ce n’est malheureusement pas la première fois que l’entreprise fait parler d’elle pour les mauvaises raisons. En 2023, une autre faille dans son système de gestion des dossiers judiciaires avait exposé des documents scellés : témoignages de victimes, évaluations psychiatriques, noms de témoins protégés…
À l’époque, l’État de Géorgie entier avait été touché. Tyler avait corrigé le problème, mais visiblement sans tirer toutes les leçons : deux ans plus tard, la même absence de mesures de base (rate-limiting, identifiants non séquentiels) réapparaît sur d’autres produits.
Pourquoi c’est grave (vraiment très grave)
Au-delà de la violation de la vie privée, les conséquences potentielles sont terrifiantes :
- Harcèlement ou menaces contre des jurés ayant participé à des procès sensibles (affaires de crime organisé, corruption…)
- Usurpation d’identité facilitée par la combinaison nom + adresse + date de naissance + téléphone
- Chantage en cas de données médicales ou judiciaires sensibles
- Perte de confiance du public dans le système judiciaire
Un juré qui sait que ses informations circulent risque tout simplement de ne pas se présenter, ou de mentir dans son questionnaire. Et c’est tout l’équilibre d’un procès qui peut être remis en cause.
Que fait Tyler depuis la découverte ?
Alertée le 5 novembre 2025, l’entreprise a reconnu la faille seulement vingt jours plus tard. Un correctif a été déployé, mais plusieurs questions restent sans réponse :
- L’entreprise a-t-elle les logs nécessaires pour savoir si des accès malveillants ont déjà eu lieu ?
- Les personnes concernées seront-elles prévenues individuellement ?
- Des poursuites ou sanctions sont-elles envisagées contre Tyler Technologies ?
Pour l’instant, silence radio.
Leçon pour tous les acteurs publics
Cette affaire met cruellement en lumière un problème systémique : trop d’administrations confient leurs données les plus sensibles à des prestataires privés sans exiger les standards de sécurité minimales que l’on trouve chez n’importe quelle banque en ligne depuis quinze ans.
Des mesures toutes simples auraient suffi :
- Identifiants aléatoires (pas 1001, 1002…)
- Limitation du nombre de tentatives de connexion
- Double authentification
- Chiffrement des données au repos
Des fonctionnalités que même un site de e-commerce basique propose gratuitement.
Alors que les budgets des collectivités sont serrés, on continue de signer des contrats de plusieurs dizaines de millions de dollars avec des entreprises qui, manifestement, ne respectent pas les bases de la cybersécurité.
Et demain ?
Cette fuite n’est probablement que la partie visible de l’iceberg. Combien d’autres systèmes critiques – prisons, services sociaux, élections – reposent sur des plateformes tout aussi fragiles ?
Le vrai scandale n’est pas seulement technique. Il est politique : jusqu’à quand accepterons-nous que nos données les plus intimes soient protégées avec moins de sérieux qu’un compte Netflix ?
En attendant des réponses claires de Tyler Technologies et des autorités, une chose est sûre : la prochaine fois que vous recevrez une convocation pour être juré, vous y penserez deux fois avant de remplir le formulaire en ligne.
