Le Modèle de la Catastrophe : Lorsque l'incompétence technique met le citoyen à nu

Il existe une maxime dans la gestion de projets, tant dans l'ingénierie que dans la politique publique, qui rarement échoue : une mauvaise idée avec une mauvaise exécution est la recette parfaite pour la catastrophe.

Ce que nous vivons au Mexique en ce début de 2026 n'est pas un accident fortuit ni une surprise imprévisible ; c'est la chronique d'une catastrophe annoncée. Il y a quelques mois à peine, sous la bannière de la sécurité nationale et de la lutte contre l'extorsion, une réforme a été approuvée que beaucoup d'entre nous ont averti qu'elle serait toxique. Je fais référence à la nouvelle Loi en matière de télécommunications et de radiodiffusion, publiée le 16 juillet 2025, qui a donné naissance au nouveau registre obligatoire des utilisateurs de téléphonie mobile.

La prémisse gouvernementale était séduisante sur le papier mais draconienne dans la pratique : construire un registre exhaustif qui relierait notre identité biologique et légale à notre ligne téléphonique. Cependant, de nombreuses questions sont restées en suspens dans l'air vicié de la rhétorique politique : Qui va protéger cette base de données qui contient les métadonnées de nos vies ? Comment sera-t-elle vraiment utilisée ? Qui y aura accès ? Et la plus inquiétante de toutes : Comment pourrai-je savoir, en tant que citoyen, qui et comment utilise mes données ?

Aujourd'hui, malheureusement, nous avons les réponses. Et elles sont terrifiantes.

L'entêtement historique et le rejet citoyen

L'idée d'avoir un registre des utilisateurs de téléphonie ne est pas nouvelle au Mexique ; c'est une obsession cyclique de l'État. Nous avons déjà buté contre cette pierre en 2009 avec le RENAUT de l'administration de Felipe Calderón, qui s'est terminé par la base de données vendue sur le marché noir de Tepito pour quelques centimes, et où, ironiquement, le président lui-même était enregistré avec des milliers de lignes. Nous avons buté à nouveau en 2021 avec le PANAUT, une tentative encore plus agressive qui exigeait des biométriques et qui, heureusement, a été freinée et déclarée inconstitutionnelle par la Cour suprême en 2022.

La faible participation de la population à cette nouvelle tentative de 2026 n'est pas de la désinvolture ; c'est un acte de défense personnelle. C'est le reflet du rejet d'une fiscalisation intrusive dans la vie privée de la citoyenneté. Les gens ont l'intuition que livrer leurs données à l'État — ou à des concessionnaires obligés par l'État — ne leur garantit pas la sécurité, mais les met en vitrine pour être surveillés ou, pire encore, commercialisés.

La mise en œuvre de Telcel : "Vibe Coding" et négligence

Mais si l'idée législative était déjà mauvaise par sa nature invasive, la mise en œuvre technique que nous avons vue ce mois de janvier a été, pour dire le moins, criminellement négligente.

Pour "aggraver la chose", la mise en œuvre que Telcel — l'opérateur dominant avec plus de 80 millions de lignes — a déployée pour générer ce registre a été un insulte aux pratiques les plus basiques de cybersécurité. Le 9 janvier 2026, jour zéro de l'enregistrement obligatoire, son infrastructure numérique a colapsé non pas par saturation, mais par incompétence.

Je dois avouer quelque chose : n'étant pas personnellement affecté par cette loi sur ma ligne principale, je n'y ai pas prêté beaucoup d'attention initialement. Cependant, je participe activement à plusieurs forums de cybersécurité et de technologie — certains peuplés de personnes hautement qualifiées, "White Hats" éthiques, et d'autres par des enthousiastes avec beaucoup de temps libre —. Ce que j'ai vu dans ces espaces a été alarmant.

Il n'a pas fallu d'outils de la NSA ni de hackers russes pour vulnérabiliser le système. Avec un peu de bonne volonté et des connaissances de base en développement web, n'importe qui a pu exploiter la vulnérabilité. Ce que les reportages journalistiques et les analyses forensiques indépendantes ont révélé a été une architecture de logiciel faite à la va-vite, ce que dans l'argot des développeurs on appelle "vibe coding" : programmer par intuition, sans tests de stress, sans audits de sécurité et en espérant que "la bonne vibe" maintiendra le serveur sécurisé.

Anatomie d'une fuite : La "Clé Maîtresse" exposée

L'erreur a été si élémentaire qu'il est douloureux de l'expliquer. La vulnérabilité résidait dans l'API d'éligibilité. Lorsqu'un utilisateur (ou un attaquant) saisissait un numéro de téléphone cellulaire dans le formulaire web pour consulter s'il devait s'inscrire, le serveur ne répondait pas avec un simple "OUI" ou "NON".

À la place, le serveur ("Backend") renvoyait un objet JSON (un format de texte brut utilisé pour l'échange de données) qui contenait la fiche complète du client.

N'importe qui qui savait ouvrir la console de développeur de son navigateur pouvait voir, en texte clair :

Ce n'est pas une simple fuite d'un numéro de téléphone. En exposant le RFC et la CURP avec le nom et le téléphone, Telcel a livré la "clé maîtresse" pour la supplantation d'identité. Avec ces données, un criminel peut effectuer des démarches bancaires, demander des crédits au nom de la victime, accéder à des portails gouvernementaux (comme le SAT) ou exécuter des attaques de SIM Swapping (séquestre de ligne) avec une facilité pasmosa.

Le plus ironique et tragique est que cette loi a été vendue comme un outil pour éviter l'extorsion. Le résultat est diamétralement opposé : maintenant les extorsionistes ont un répertoire validé, mis à jour et gratuit pour effectuer des appels avec "précision chirurgicale", en citant le nom complet et les données fiscales de la victime pour semer la terreur.

Même après que le scandale a éclaté sur les réseaux sociaux et les médias indépendants, la réponse technique a été un patch cosmétique sur l'interface visuelle (Frontend), laissant les points d'accès du serveur exposés pendant des heures. C'était une négligence soutenue.

La pointe de l'iceberg : Qui surveille le gardien ?

Cet incident avec Telcel doit allumer toutes les alarmes rouges sur le tableau national. Nous ne pouvons pas le voir comme un fait isolé d'une entreprise privée ; c'est la pointe de l'iceberg d'un problème systématique dans l'infrastructure numérique de l'État mexicain et de ses concessionnaires.

Si l'opérateur de télécommunications le plus grand et le plus riche d'Amérique latine, avec des ressources théoriquement illimitées, n'a pas pu protéger une API de base au jour un d'un mandat légal, que pouvons-nous attendre des projets que gère directement le gouvernement ?

Je fais référence à des initiatives beaucoup plus sensibles qui sont déjà en cours ou en planification :

La leçon brutale de l'enregistrement téléphonique de 2026 est que la capacité réglementaire de l'État à exiger des données est inversement proportionnelle à sa capacité technique à les protéger. Nous construisons des dépôts d'information ("honeypots") qui sont irrésistibles pour le cybercrime, sans avoir les verrous nécessaires.

Qui surveille celui qui nous surveille ?

La question fondamentale dans une démocratie numérique est : Qui surveille celui qui nous surveille et nous fiscalise ?

Aujourd'hui, la réponse semble être "personne". Ou pire encore, "nous-mêmes, lorsque c'est déjà trop tard". Les organismes autonomes qui devaient servir de contrepoids, comme l'INAI (maintenant absorbé dans les fonctions de la Secrétariat Anticorruption), font face à des défis politiques qui diluent leur capacité de sanction immédiate face à des monstres corporatifs ou gouvernementaux.

La fuite de Telcel a démontré que la "mort civile numérique" — la menace de déconnecter celui qui ne s'inscrit pas — est une coercition qui met le citoyen entre l'épée et la muraille : ou vous livrez votre vie privée à un système peu sûr, ou vous restez incomunicado.

En tant que technologistes, analystes et citoyens, nous ne pouvons pas normaliser l'incompétence. Une mauvaise idée (l'enregistrement massif indiscriminé) exécutée avec les pattes (vulnérabilités de base d'API) n'est pas "transformation numérique", c'est de la négligence systématique.

Si nous n'exigeons pas d'audits externes, réels et publics ; si il n'y a pas de conséquences juridiques dévastatrices pour les entreprises et les fonctionnaires qui exposent nos données ; alors nous ne vivons pas dans une société de l'information, mais dans une société de l'exposition.

L'enregistrement de 2026 a déjà échoué dans sa promesse de sécurité. La seule chose qu'il a réussi avec succès est de démontrer à quel point nous sommes fragiles lorsque l'État décide de nous surveiller sans savoir comment nous protéger.