Le Modèle du Désastre : Lorsque l'incompétence technique dénude le citoyen

Il existe une maxime dans la gestion de projets, tant dans l'ingénierie que dans la politique publique, qui rarement échoue : une mauvaise idée avec une mauvaise exécution est la recette parfaite pour le désastre.

Ce que nous vivons au Mexique en ce début de 2026 n'est pas un accident fortuit ni une surprise imprévisible ; c'est la chronique d'une catastrophe annoncée. Il y a quelques mois à peine, sous la bannière de la sécurité nationale et de la lutte contre l'extorsion, une réforme a été approuvée que beaucoup d'entre nous ont averti serait toxique. Je fais référence à la nouvelle Loi sur les télécommunications et la radiodiffusion, publiée le 16 juillet 2025, qui a donné naissance au nouveau registre obligatoire des utilisateurs de téléphonie mobile.

La prémisse gouvernementale était séduisante sur le papier mais draconienne dans la pratique : construire un registre exhaustif qui relierait notre identité biologique et légale à notre ligne téléphonique. Cependant, de nombreuses questions sont restées en suspens dans l'air vicié de la rhétorique politique : Qui va protéger cette base de données qui contient les métadonnées de nos vies ? Comment sera-t-elle vraiment utilisée ? Qui y aura accès ? Et la plus inquiétante de toutes : Comment pourrai-je savoir, en tant que citoyen, qui utilise mes données et comment ?

Aujourd'hui, malheureusement, nous avons les réponses. Et elles sont terrifiantes.

L'entêtement historique et le rejet citoyen

L'idée d'avoir un registre d'utilisateurs de téléphonie n'est pas nouvelle au Mexique ; c'est une obsession cyclique de l'État. Nous avons déjà buté contre cette pierre en 2009 avec le RENAUT de l'administration de Felipe Calderón, qui s'est terminé par la vente de la base de données sur le marché noir de Tepito pour quelques centimes, et où, ironiquement, le président lui-même était enregistré avec des milliers de lignes. Nous avons buté à nouveau en 2021 avec le PANAUT, une tentative encore plus agressive qui exigeait des biométriques et qui, heureusement, a été freinée et déclarée inconstitutionnelle par la Cour suprême en 2022.

La faible participation de la population à cette nouvelle tentative de 2026 n'est pas due à la désinvolture ; c'est un acte de défense personnelle. C'est le reflet du rejet d'une fiscalisation intrusive dans la vie privée des citoyens. Les gens intuent que livrer leurs données à l'État — ou à des concessionnaires obligés par l'État — ne leur garantit pas la sécurité, mais les met en vitrine pour être surveillés ou, pire encore, commercialisés.

La mise en œuvre de Telcel : "Vibe Coding" et négligence

Mais si l'idée législative était déjà mauvaise en raison de sa nature invasive, la mise en œuvre technique que nous avons vue ce janvier a été, pour dire le moins, criminellement négligente.

Pour "aggraver le coup", la mise en œuvre que Telcel — l'opérateur dominant avec plus de 80 millions de lignes — a déployée pour générer ce registre a été un insulte aux pratiques les plus basiques de cybersécurité. Le 9 janvier 2026, jour zéro de l'enregistrement obligatoire, son infrastructure numérique a colapsé non pas en raison d'une saturation, mais d'une incompétence.

Je dois confesser quelque chose : n'étant pas personnellement affecté par cette loi sur ma ligne principale, je n'y ai pas prêté beaucoup d'attention initialement. Cependant, je participe activement à plusieurs forums de cybersécurité et de technologie — certains peuplés de personnes hautement qualifiées, "White Hats" éthiques, et d'autres par des enthousiastes avec beaucoup de temps libre —. Ce que j'ai vu dans ces espaces a été alarmant.

Il n'a pas fallu d'outils de la NSA ni de hackers russes pour vulnérabiliser le système. Avec un peu de volonté et des connaissances de base en développement web, n'importe qui pouvait exploiter la vulnérabilité. Ce que les rapports journalistiques et les analyses forensiques indépendantes ont révélé était une architecture de logiciel faite à la hâte, ce que les développeurs appellent "vibe coding" : programmer par intuition, sans tests de stress, sans audits de sécurité et en espérant que "la bonne vibe" maintiendra le serveur sécurisé.

Anatomie d'une fuite : La "Clé Maîtresse" exposée

L'erreur était si élémentaire que cela fait mal de l'expliquer. La vulnérabilité résidait dans l'API d'éligibilité. Lorsqu'un utilisateur (ou un attaquant) saisissait un numéro de téléphone cellulaire dans le formulaire web pour vérifier s'il devait s'enregistrer, le serveur ne répondait pas avec un simple "OUI" ou "NON".

À la place, le serveur ("Backend") renvoyait un objet JSON (un format de texte brut utilisé pour l'échange de données) qui contenait la fiche complète du client.

N'importe qui qui savait ouvrir la console de développement de son navigateur pouvait voir, en texte clair :

• Nom complet : Nom, prénom et nom de famille.
• Identifiants Légaux : La CURP et le RFC.
• Coordonnées : Adresse e-mail personnelle et date de naissance.
• Données Techniques : L'ID de client et le statut du compte.

Ceci n'est pas une simple fuite d'un numéro de téléphone. En exposant le RFC et la CURP avec le nom et le téléphone, Telcel a livré la "clé maîtresse" pour la supplantation d'identité. Avec ces données, un criminel peut effectuer des démarches bancaires, demander des crédits au nom de la victime, accéder à des portails gouvernementaux (comme le SAT) ou exécuter des attaques de SIM Swapping (séquestre de ligne) avec une facilité déconcertante.

Le plus ironique et tragique est que cette loi a été vendue comme un outil pour éviter l'extorsion. Le résultat est diamétralement opposé : maintenant, les extorsionnaires ont un répertoire validé, mis à jour et gratuit pour effectuer des appels avec "précision chirurgicale", en citant le nom complet et les données fiscales de la victime pour semer la terreur.

Même après que le scandale ait éclaté sur les réseaux sociaux et les médias indépendants, la réponse technique a été un patch cosmétique sur l'interface visuelle (Frontend), laissant les points d'accès du serveur exposés pendant des heures. C'était une négligence persistante.

La pointe de l'iceberg : Qui surveille le gardien ?

Cet incident avec Telcel doit allumer toutes les alarmes rouges sur le tableau national. Nous ne pouvons pas le considérer comme un fait isolé d'une entreprise privée ; c'est la pointe de l'iceberg d'un problème systémique dans l'infrastructure numérique de l'État mexicain et de ses concessionnaires.

Si l'opérateur de télécommunications le plus grand et le plus riche d'Amérique latine, avec des ressources théoriquement illimitées, n'a pas pu protéger une API de base le jour un d'un mandat légal, que pouvons-nous attendre des projets gérés directement par le gouvernement ?

Je fais référence à des initiatives beaucoup plus sensibles qui sont déjà en cours ou en planification :

• La CURP Biométrique : Un projet qui prétend centraliser non seulement nos données alphanumériques, mais également nos traits physiques immuables (iris, empreintes, visage). Si cette base de données est compromise, vous ne pouvez pas "changer" vos empreintes digitales comme vous changez un mot de passe.
• Le Registre Électoral : Surtout après les modifications de la nouvelle loi électorale, où la garde et l'utilisation des données de l'INE ont été un sujet de dispute politique.
• Les Bases de Données de l'IMSS et de la Banque du Bien-être : Des répertoires gigantesques d'informations de santé et financières des secteurs les plus vulnérables de la population.

La leçon brutale de l'enregistrement téléphonique de 2026 est que la capacité réglementaire de l'État à exiger des données est inversement proportionnelle à sa capacité technique à les protéger. Nous construisons des répertoires d'informations ("honeypots") qui sont irrésistibles pour le cybercrime, sans avoir les verrous nécessaires.

Qui surveille celui qui nous surveille ?

La question fondamentale dans une démocratie numérique est : Qui surveille celui qui nous surveille et contrôle ?

Aujourd'hui, la réponse semble être "personne". Ou pire encore, "nous-mêmes, lorsqu'il est déjà trop tard". Les organismes autonomes qui devraient servir de contrepoids, comme l'INAI (maintenant absorbé dans les fonctions de la Secrétariat Anticorruption), font face à des défis politiques qui diluent leur capacité de sanction immédiate face à des monstres corporatifs ou gouvernementaux.

La fuite de Telcel a démontré que la "mort civile numérique" — la menace de déconnecter qui ne s'enregistre pas — est une coercition qui met le citoyen entre l'épée et la muraille : ou vous livrez votre vie privée à un système peu sécurisé, ou vous restez incomunicado.

En tant que technologistes, analystes et citoyens, nous ne pouvons pas normaliser l'incompétence. Une mauvaise idée (l'enregistrement massif indiscriminé) exécutée avec les pattes (vulnérabilités de base d'API) n'est pas "transformation numérique", c'est de la négligence systémique.

Si nous n'exigeons pas d'audits externes, réels et publics ; si il n'y a pas de conséquences légales dévastatrices pour les entreprises et les fonctionnaires qui exposent nos données ; alors nous ne vivons pas dans une société de l'information, mais dans une société de l'exposition.

L'enregistrement de 2026 a déjà échoué dans sa promesse de sécurité. La seule chose qu'il a réussi à faire avec succès est de démontrer à quel point nous sommes fragiles lorsque l'État décide de nous surveiller sans savoir comment nous protéger.