Les
violations
de
données
personnelles
se
multiplient,
mais
elles
ne
résultent
pas
toujours
de
cyberattaques
sophistiquées.
Dans
un
rapport
de
80
pages
publié
le
20 octobre
2026,
le
CERT-FR,
centre
gouvernemental
de
veille,
d’alerte
et
de
réponse
aux
attaques
informatiques
de
l’ANSSI,
tire
les
enseignements
des
incidents
observés
en
2025
et
début
2026.
Son
constat
est
préoccupant :
des
identifiants
volés,
des
accès
insuffisamment
contrôlés
ou
des
applications
mal
configurées
suffisent
parfois
à
exposer
des
millions
de
données.
À
travers
ce
retour
d’expérience,
le
CERT-FR
propose
dix
grands
principes
pour
renforcer
la
sécurité
des
applications
web,
notamment
celles
qui
manipulent
des
informations
personnelles
ou
sensibles.
L’objectif
est
aussi
pragmatique :
montrer
que
les
organisations
peuvent
réduire
considérablement
les
risques
sans
nécessairement
remplacer
leurs
applications
existantes.
Une
forte
augmentation
des
incidents
de
vol
de
données
En
2025,
le
CERT-FR
a
été
informé
de
196
incidents
d’exfiltration
de
données,
contre
130
en
2024,
soit
une
augmentation
d’environ
51 %.
Ces
incidents
concernent
tous
les
secteurs
d’activité,
sans
ciblage
particulier
identifié.
Les
exemples
présentés
dans
le
rapport
touchent
notamment
la
santé,
les
services
publics
et
l’agroalimentaire.
L’une
des
principales
conclusions
est
que
les
attaquants
n’ont
pas
systématiquement
besoin
d’exploiter
une
vulnérabilité
informatique
complexe.
Ils
peuvent
simplement
utiliser
des
identifiants
légitimes
récupérés
frauduleusement,
profiter
de
droits
d’accès
trop
étendus
ou
exploiter
des
interfaces
de
programmation
(API)
insuffisamment
protégées.
Le
rapport
souligne
également
le
rôle
des
infostealers,
ces
logiciels
malveillants
capables
de
dérober
les
mots
de
passe,
les
cookies
de
session
et
d’autres
informations
enregistrées
sur
les
ordinateurs.
La
compromission
d’un
poste
professionnel
ou
personnel
peut
ainsi
devenir
le
point
de
départ
d’une
fuite
de
données
affectant
une
organisation
entière.
Les
conséquences
dépassent
la
perte
de
confidentialité :
les
informations
dérobées
peuvent
être
revendues,
croisées
avec
d’autres
bases
de
données,
utilisées
pour
des
fraudes
personnalisées
ou
diffusées
dans
le
cadre
d’opérations
de
déstabilisation.
Dix
recommandations
pour
réduire
les
risques
Le
CERT-FR
structure
ses
préconisations
autour
de
dix
axes
complémentaires :
-
Maîtriser
les
données
collectées
et
conservées.
Identifier
les
informations
sensibles,
cartographier
leur
circulation,
protéger
les
sauvegardes
et
supprimer
les
données
devenues
inutiles. -
Limiter
les
droits
des
utilisateurs.
Appliquer
le
principe
du
moindre
privilège,
contrôler
les
comptes
inactifs
et
limiter
le
volume
d’informations
consultables
par
utilisateur
ou
session. -
Réduire
l’exposition
des
applications
sur
Internet.
Réserver
les
interfaces
internes
et
d’administration
aux
utilisateurs
autorisés,
notamment
au
moyen
de
VPN,
de
pare-feu
et
de
restrictions
d’accès. -
Renforcer
l’authentification.
Ne
plus
dépendre
uniquement
du
couple
identifiant/mot
de
passe.
Privilégier
l’authentification
forte
pour
les
accès
internes
et
les
passkeys
ou
identifiants
à
usage
unique
pour
les
services
grand
public. -
Assurer
la
traçabilité
des
opérations.
Pouvoir
rattacher
chaque
action
à
un
utilisateur
et
à
une
adresse
IP,
y
compris
lorsque
les
connexions
traversent
plusieurs
serveurs
ou
équipements
intermédiaires. -
Sécuriser
les
infrastructures
d’hébergement.
Segmenter
les
réseaux,
protéger
les
bases
de
données,
maîtriser
les
flux
entrants
et
sortants
et
utiliser
des
postes
d’administration
dédiés. -
Analyser
les
journaux
pour
détecter
les
anomalies.
Repérer
les
connexions
inhabituelles,
les
consultations
massives,
les
volumes
anormaux
de
téléchargement
ou
les
accès
à
des
informations
sans
rapport
avec
les
fonctions
de
l’utilisateur. -
Automatiser
les
réactions
aux
comportements
suspects.
Mettre
en
place
des
ralentissements,
des
blocages
temporaires,
des
restrictions
de
sessions
et
des
alertes
pour
interrompre
une
attaque
avant
qu’elle
n’aboutisse. -
Contrôler
régulièrement
la
sécurité
des
applications.
Réaliser
des
analyses
de
risques,
des
audits,
des
tests
de
sécurité
et
maintenir
à
jour
les
composants
logiciels. -
Homologuer
les
applications
des
administrations.
Appliquer
une
démarche
formalisée
d’analyse
des
risques
et
de
protection
des
données
conformément
au
Référentiel
général
de
sécurité
(RGS)
et
à
la
Politique
de
sécurité
des
systèmes
d’information
de
l’État
(PSSIE).
Une
attention
particulière
aux
applications
anciennes
et
aux
API
Le
rapport
insiste
sur
les
risques
liés
aux
applications
historiques,
dont
la
conception
ne
correspond
plus
nécessairement
aux
menaces
actuelles.
Les
API
constituent
un
point
de
vigilance
majeur.
Lorsqu’elles
sont
insuffisamment
protégées,
elles
peuvent
permettre
à
un
attaquant
disposant
d’un
compte
utilisateur
de
consulter
ou
d’extraire
des
informations
auxquelles
il
ne
devrait
pas
avoir
accès.
Le
CERT-FR
recommande
notamment
de
limiter
le
nombre
de
requêtes,
de
contrôler
les
volumes
de
données
accessibles
et
de
vérifier
systématiquement
les
autorisations.
Il
souligne
également
que
les
pare-feu
applicatifs
(WAF)
et
les
serveurs
mandataires
inverses
peuvent
renforcer
la
sécurité
sans
modification
profonde
du
logiciel
existant.
Ils
peuvent
notamment
servir
à
restreindre
les
accès,
conserver
les
traces
des
connexions
et
limiter
les
extractions
massives.
Ces
protections
ne
dispensent
toutefois
pas
de
corriger
les
vulnérabilités
de
l’application
elle-même.
La
rapidité
des
attaques
impose
d’automatiser
la
défense
Autre
enseignement
important :
les
attaquants
peuvent
extraire
plusieurs
millions
d’enregistrements
en
quelques
minutes,
alors
que
la
qualification
d’une
alerte
par
une
équipe
humaine
peut
prendre
plusieurs
heures.
Le
CERT-FR
préconise
donc
une
surveillance
capable
de
reconnaître
automatiquement
des
comportements
anormaux
et
de
déclencher
des
mesures
de
protection
immédiates.
Les
organisations
doivent
notamment
pouvoir
détecter
les
connexions
depuis
des
localisations
inhabituelles,
les
consultations
répétées
de
données,
les
accès
à
des
heures
atypiques
ou
les
changements
soudains
de
comportement
d’un
compte.
Des
recommandations
techniques
directement
exploitables
Les
dernières
pages
du
rapport
comportent
des
annexes
techniques
présentant
des
exemples
de
configuration
pour
différents
composants
d’infrastructure.
Elles
détaillent
notamment
la
transmission
et
la
journalisation
des
adresses
IP
d’origine,
le
filtrage
des
connexions
selon
les
adresses
IP
ou
les
pays,
la
restriction
des
horaires
d’accès
et
la
limitation
du
nombre
de
requêtes.
Ces
exemples
constituent
des
pistes
de
mise
en
œuvre,
à
adapter
aux
architectures
et
aux
besoins
de
chaque
organisation.
Une
responsabilité
qui
dépasse
les
seules
équipes
informatiques
Au-delà
des
mesures
techniques,
le
CERT-FR
rappelle
que
la
protection
des
données
relève
également
de
la
gouvernance
des
organisations.
Les
directions
doivent
participer
à
la
définition
des
politiques
de
sécurité,
arbitrer
les
moyens
nécessaires
et
s’assurer
que
les
données
personnelles
sont
protégées
tout
au
long
de
leur
cycle
de
vie.
Le
rapport
défend
finalement
une
approche
pragmatique :
la
réduction
du
risque
ne
dépend
pas
uniquement
de
nouveaux
investissements
technologiques,
mais
aussi
d’une
meilleure
maîtrise
des
accès,
des
données
et
des
comportements
anormaux.
Pour
les
entreprises
comme
pour
les
administrations,
le
message
est
clair :
attendre
le
remplacement
d’une
application
vieillissante
pour
renforcer
sa
sécurité
n’est
pas
une
stratégie
acceptable.
Source :
CERT-FR
/
ANSSI,
« RETEX
du
CERT-FR
sur
les
violations
de
données
applicatives »,
version
1.01
du
20 octobre
2026,
80
pages,
référence
CERTFR-2026-CTI-008.
Les
recommandations
présentées
n’ont
pas,
sauf
disposition
réglementaire
contraire,
de
caractère
normatif.
