Statistiques d'opération
Le 1er mars 2026, lors des hostilités actives entre le Pakistan et l'Afghanistan (opération Ghazab Lil Haq), ODINT a mené une reconnaissance passive de trois heures du gouvernement pakistanais et des infrastructures numériques universitaires. Toutes les données ont été extraites via Tor en utilisant des méthodes entièrement open source : aucun exploit, aucun contournement d'authentification.
Le contexte de guerre
L'infrastructure numérique du Pakistan s'est brisée en deux le 1er mars 2026. Le gouvernement central – le bureau du président, le Parlement, la Commission nucléaire (PAEC), la Banque d'État, le Conseil fédéral du revenu, les chemins de fer nationaux, les services publics de la NADRA – est resté complètement silencieux. Qu'il s'agisse d'un arrêt défensif délibéré ou d'un véritable effondrement des infrastructures sous le poids de l'opération Ghazab Lil Haq, plus de 35 domaines majeurs .gov.pk n'ont renvoyé aucune réponse.
Ce qui est resté debout raconte sa propre histoire. Les institutions que le Pakistan a créées pas Protect (ses universités, un gouvernement provincial, un portail de données ouvertes, deux panneaux d'administration fédéraux) ont été entièrement exposés, sans déploiement WAF supplémentaire, sans restriction IP et, dans certains cas, exécutant des serveurs Web obsolètes depuis sept ans.
Le Pakistan a donné la priorité à la protection de ses infrastructures nucléaires et financières. Il a complètement oublié ses universités, sa province la plus pauvre et sa plateforme de données ouvertes.
Effondrement des infrastructures : ce qui s'est passé
Sur plus de 57 domaines pakistanais analysés pendant les hostilités actives, 65% étaient totalement inaccessibles, 17 % étaient derrière les WAF bloquant Tor, et seulement 21 % restaient accessibles et fonctionnels.
Complètement inaccessible (> 35 domaines)
| Domaine | Organisation | Statut |
|---|---|---|
| pakistan.gov.pk | Portail du gouvernement fédéral | VERS LE BAS |
| pmo.gov.pk | Cabinet du Premier ministre | VERS LE BAS |
| senate.gov.pk / na.gov.pk | Parlement (les deux chambres) | VERS LE BAS |
| paec.gov.pk | Commission de l'énergie atomique du Pakistan | VERS LE BAS |
| nescom.gov.pk | Développement nucléaire et de missiles | VERS LE BAS |
| sbp.org.pk | Banque d'État du Pakistan | VERS LE BAS |
| fbr.gov.pk / iris.fbr.gov.pk | Office fédéral du revenu / IRIS 2.0 | VERS LE BAS |
| mail.ntc.net.pk | Courriel du gouvernement fédéral (Zimbra) | VERS LE BAS |
| punjab.gov.pk / sindh.gov.pk | Provinces du Pendjab et du Sind | VERS LE BAS |
| nadra.gov.pk (services électroniques) | Base de données sur l'identité nationale (publique) | VERS LE BAS |
Derrière WAF — Tor bloqué (10 domaines)
| Domaine | WAF | Statut |
|---|---|---|
| ispr.gov.pk | Flare nuageuse | 403 BLOQUÉ |
| paknavy.gov.pk | Flare nuageuse | 403 BLOQUÉ |
| nust.edu.pk | Flare nuageuse | 403 BLOQUÉ |
| comsats.edu.pk | Flare nuageuse | 403 BLOQUÉ |
| gcu.edu.pk | Sucuri/Cloudproxy | 403 BLOQUÉ |
État complet de l'infrastructure en temps de guerre avec les plus de 57 domaines : État des infrastructures en temps de guerre
Cibles en direct : ce qui est resté ouvert
Douze domaines sont restés accessibles et ont fait l’objet d’un dénombrement approfondi. Les institutions laissées exposées révèlent un schéma de négligence qu’aucune posture défensive en temps de guerre n’a corrigé.
WordPress REST API : trois installations gouvernementales entièrement exposées
Trois organisations pakistanaises exposent leurs WordPress REST API complètes sans authentification : l'Université Quaid-i-Azam, le gouvernement du Baloutchistan et le département scientifique et informatique du Baloutchistan. Extraction combinée : 13,4 Mo de données structurées gouvernementales et académiques.
admin_bal) gère les deux balochistan.gov.pk et sit.balochistan.gov.pk - confirmé par un hachage gravatar identique sur les deux installations. La compromission d'un compte de messagerie tombe sur les deux sites. wp-login.php est directement accessible sur le domaine SIT.
Renseignements personnels : plus de 340 individus nommés
Parmi toutes les cibles, plus de 340 personnes ont été identifiées avec divers degrés de coordonnées personnelles. Toutes les données ont été extraites de sources accessibles au public sans authentification.
Commissaires divisionnaires du Baloutchistan
Huit administrateurs provinciaux supérieurs ont été identifiés par leur nom et leur division à partir du contenu de la page WordPress – y compris le commissaire de la division Makran (Dawood Khan Khilji), qui borde l'Iran et héberge le port de Gwadar, la pièce maîtresse du CPEC.
Répertoires du personnel de QAU – Exemple
Ce qui suit est un échantillon partiel de données extraites des pages du personnel de QAU accessibles au public. Des extensions téléphoniques directes, des adresses e-mail institutionnelles et personnelles et des postes organisationnels ont été récupérés pour plus de 65 personnes.
Portail de données ouvertes : 1 471 ensembles de données gouvernementales
Portail de données ouvertes du Pakistan (opendata.com.pk) exécute CKAN 2.8.3 sur un serveur datant d'octobre 2017. Malgré la déclaration /api/ interdit dans robots.txt, l'intégralité du API est librement accessible sans authentification.
Panneaux d'administration fédéraux exposés
Deux sites Web du gouvernement fédéral exposent des panneaux de connexion administratifs directement à Internet, sans WAF, sans restriction IP et sans CAPTCHA – pendant un conflit militaire actif.
/trace.axd renvoie un 403 (et non un 404), confirmant que le suivi des requêtes ASP.NET est activé sur le serveur. Gestion des opérations au niveau du siège accessible sans restriction.
Divulgation de la configuration du serveur : LUMS phpinfo.php
L'Université des sciences de gestion de Lahore expose un phpinfo.php page (96 Ko) révélant la pile complète du serveur : nom d'hôte, noyau, version du système d'exploitation, extensions PHP, configuration de la base de données et chemins du système de fichiers - une empreinte complète pour une exploitation ciblée.
lumswebsite-websrv1, noyau 5.4.17-2136.350.3.2.el8uek.x86_64 (Oracle UEK), RHEL 8.10, Apache 2.4.66, PHP 8.1.34. Les extensions PHP SSH2 et LDAP confirment que le serveur se connecte à d'autres infrastructures LUMS – chemins pivots potentiels.
Baloutchistan : la province dans la ligne de mire
Le Baloutchistan est la plus grande province du Pakistan en termes de superficie (44 % du territoire pakistanais), son corridor stratégique pour le CPEC et l'hôte du port de Gwadar – le point d'accès de la Chine à l'océan Indien. Pendant la guerre Pakistan-Afghanistan, elle est devenue une zone de première ligne critique. C'était également le seul gouvernement provincial encore en vie.
Le WordPress API provincial a exposé les nominations des commissaires divisionnaires dans les 8 divisions du Baloutchistan, les documents budgétaires complets de 2020 à 2026, la législation de plus de 14 départements et la liste des effectifs pour l'infrastructure de surveillance de Gwadar. La situation des doubles TLD (.gov.pk et .gob.pk) crée un risque supplémentaire d’usurpation d’identité.
Infrastructure numérique gouvernementale
L'infrastructure numérique du gouvernement pakistanais est centralisée autour d'un petit nombre de systèmes critiques. En temps de guerre, tous étaient soit hors ligne, soit verrouillés. Ce qui suit représente le paysage du ciblage d’après-guerre.
NADRA — L'identité nationale sous verrouillage en temps de guerre
La plate-forme Nishan API de NADRA – qui alimente les services Verisys (vérification démographique), Biosys (empreintes biométriques), multibiométriques (empreintes digitales + faciales) et de preuve de vie pour plus de 220 millions de citoyens pakistanais – est devenue complètement sombre. Les six points de terminaison NADRA publics ont renvoyé des erreurs allant de 403 à 500.
Le format de numéro CNIC de NADRA code la province, le district, le tehsil, le conseil syndical, la lignée familiale et le sexe sur 13 chiffres. Un ensemble de données CNIC compromis ne se contente pas d'exposer un numéro d'identification : il cartographie l'ensemble de la géographie administrative d'une personne.
Chronologie historique des violations
L'exposition actuelle du Pakistan s'ajoute à une histoire documentée d'incidents graves.
| Date | Incident | Impact |
|---|---|---|
| 2019–2023 | Vol de données privilégiées de NADRA par des employés | 2,7 millions de dossiers citoyens vendus (Argentine, Roumanie) |
| 2024 | La NADRA viole la divulgation publique | Pièces d'identité frauduleuses délivrées à des ressortissants afghans |
| 2025 | Violation mondiale des informations d'identification | 180 millions d’identifiants d’internautes pakistanais |
| 2025 | Fuite de données SIM | Les enregistrements des appels des ministres fédéraux dévoilés |
| 2025 | Campagne de la cyber-armée afghane | 100 sites .gov.pk très médiatisés dégradés |
Inventaire des données
| Catégorie | Taille | Contenu clé |
|---|---|---|
| qau-full-dump/ | 6,6 Mo | 200 pages, 484 publications, 603 médias, annuaires du personnel |
| pu-full-dump/ | 8,3 Mo | 101 fichiers, 18 460 URL, 19 départements |
| ckan-dump/ | 8,9 Mo | 1 471 ensembles de données, 36 utilisateurs, 22 organisations |
| baloutchistan-wp-dump/ | 5,9 Mo | 149 pages gouvernementales, 1 297 médias, commissaires, budgets |
| pak-wp-dumps/ | 6,3 Mo | SIT WP, LUMS phpinfo, pages d'administration |
| pak-universités/ | 2,5 Mo | 7 sondes universitaires (LUMS, AIOU, UOS, autres) |
| pak-sonde-profonde/ | 957 Ko | Reconnaissance initiale de la cible |
| pak-priorité/ | 216 Ko | Sondes NADRA, NTC, NITB, FBR |
| pak-admin-panels/ | 32 Ko | Analyse de connexion des administrateurs FSP et EP |
| TOTAL | 46 Mo | 9 catégories cibles |
Annexes techniques détaillées
Neuf rapports spécialisés couvrent chaque domaine de l'opération en profondeur technique.
Méthodologie et portée
Toutes les données documentées dans ce rapport ont été obtenues grâce à des techniques de renseignement passives et open source utilisant des interfaces accessibles au public. Aucune authentification n'a été contournée, aucune vulnérabilité n'a été exploitée et aucun accès non autorisé n'a été effectué. Toutes les données étaient disponibles sans informations d'identification au moment de la collecte.
La reconnaissance a été effectuée via proxychains4/Tor à partir d'une infrastructure anonymisée (CT105, 10.0.0.99). La fenêtre d'opération était de 07h27 à 09h45 UTC le 1er mars 2026.
ODINT publie cette recherche pour soutenir la transparence, la responsabilité journalistique et un discours public éclairé sur la posture de sécurité numérique du gouvernement. La divulgation de ce matériel est conforme aux directives de ODINT Politique d'éthique et Méthodologie.