Selon l'ANSSI, la plupart des vols de données se passent de toute faille technique

Pas d'exploit sophistiqué, pas de faille inconnue : le plus souvent, des identifiants réutilisés, de l'ingénierie sociale ou des données laissées sans contrôle d'accès ont suffi. C'est le constat du CERT-FR, le centre de réponse aux incidents de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), dans un retour d'expérience de 80 pages publié le 20 octobre et consacré aux vols de données dans les applications web.

D'abord les chiffres. En 2025, le CERT-FR a été informé de 196 incidents d'exfiltration de données, contre 130 traités en 2024. Le document ne relève pas de ciblage particulier : tout secteur et toute organisation peuvent être touchés. Surtout, « dans la plupart des cas », ces fuites résultent d'intrusions sans exploitation de vulnérabilité technique. Il s'agit de la réutilisation d'identifiants légitimes, d'accès obtenus par ingénierie sociale ou, tout simplement, de données exposées sans contrôle d'accès.

Un seul compte volé peut ouvrir toute la base

Les cas cités par le CERT-FR, anonymisés, se ressemblent. En mai 2025, un service d'e-santé perd une partie de ses données personnelles et médicales. L'attaquant avait pris le contrôle d'un compte utilisateur, qui lui donnait accès à une API (interface de programmation) interrogeant la base de données. Dans un autre dossier, une API trop permissive a laissé un compte compromis extraire des données auxquelles son titulaire n'avait pas droit.

Les infostealers, ces logiciels malveillants qui récoltent mots de passe et cookies de session sur les postes de travail, reviennent sans cesse. En février 2025, plusieurs entreprises de l'agroalimentaire ont été touchées après que des salariés eurent installé un faux convertisseur gratuit de Word vers PDF. L'outil volait les documents soumis et produisait des fichiers qui propageaient l'infection. Fin 2025, des services publics ont aussi subi des fuites à cause d'infostealers présents sur les ordinateurs personnels de leurs usagers. Le prestataire est l'autre point faible. Un laboratoire a ainsi vu fuiter des résultats d'analyses médicales par le compte d'un sous-traitant qui gérait l'application de consultation.

Le rapport insiste enfin sur la vitesse de ces vols. Les données personnelles de millions de personnes peuvent ne peser que quelques gigaoctets, exfiltrables « en une poignée de minutes ». Or qualifier une alerte peut prendre plusieurs heures à une équipe humaine, et les attaquants agissent souvent en dehors des heures de bureau.

Les dix mesures recommandées

Le message central tient en une phrase du rapport : « En 2026, l'authentification par le couple login/mot de passe est obsolète. » Selon le CERT-FR, toute application qui repose uniquement sur ce mécanisme doit être considérée comme exposée à un risque fort de piratage. Ses préconisations sont regroupées en dix catégories :

1. appliquer une politique de gestion des données ;
2. limiter les accès des utilisateurs ;
3. limiter l'exposition de l'application ;
4. sortir du couple identifiant/mot de passe ;
5. sécuriser l'environnement d'hébergement ;
6. tracer les actions des utilisateurs ;
7. surveiller les journaux pour y repérer les anomalies ;
8. déclencher des réactions automatiques et des alertes en cas de situation anormale ;
9. vérifier la sécurité des applications ;
10. pour les administrations, homologuer chaque application selon le Référentiel général de sécurité (RGS) et la politique de sécurité des systèmes d'information de l'État (PSSIE).

Concrètement, une application interne ne devrait pas être joignable depuis Internet, seulement depuis le réseau de l'organisation ou un VPN, de préférence authentifié par l'identité de la machine. Le rapport distingue aussi deux types de comptes. Les usagers du grand public n'accèdent généralement qu'à leurs propres données. Les agents et les prestataires, eux, accèdent souvent à une grande partie de la base, et la compromission d'un seul de leurs comptes peut causer des dégâts considérables en une seule fois. Les annexes donnent des exemples de mise en œuvre sur les technologies rencontrées lors des interventions. Le CERT-FR précise que ces mesures ne remplacent pas une conception protectrice des données dès l'origine (« privacy by design »), mais qu'elles permettent de réduire fortement les risques sans attendre le remplacement des applications anciennes.

Revendiqué ne veut pas dire avéré

Le document rappelle enfin que ces vols sont souvent revendiqués sur des forums ou sur Telegram, mais que certaines revendications sont fausses ou recyclent des fuites plus anciennes. Il revient donc à l'organisation visée d'identifier la source des données avant de conclure. Ce rappel vaut pour la série de revendications de ces dernières semaines en France, jusqu'aux 25 000 clients de La Poste Mobile. Le CERT-FR dit vouloir montrer qu'« un grand nombre de compromissions sont évitables ». Les prochaines statistiques diront si ce message a été entendu.