Il y a ce moment un peu désagréable où on ouvre un courriel dont l'objet ressemble à « Information importante concernant vos données personnelles ». Le corps tient en trois paragraphes prudents : un accès non autorisé, un tiers malveillant, des données de contact concernées, pas de mot de passe, et une invitation à rester vigilant. On archive, on change deux mots de passe par acquit de conscience, et six mois plus tard on en reçoit un autre, d'un autre organisme.

J'écris là-dessus avec un temps de retard assez conséquent. Ce n'est pas grave : le sujet ne se périme pas, il s'accumule.

Ce qui m'intéresse ici, ce n'est pas la liste des fuites ni leurs conséquences. Les conséquences, tout le monde les connaît maintenant : hameçonnage mieux ciblé, piratage de compte, usurpation d'identité. Ce que je trouve nettement plus intéressant, c'est que les causes se répètent, et qu'elles se répètent d'une façon presque ennuyeuse. Ce ne sont pas des attaques de génie. C'est, à peu de choses près, toujours la même poignée de défauts.

Les chiffres donnent l'échelle. La CNIL a enregistré 6 167 notifications de violations de données en 2025, son plus haut niveau jamais enregistré , en hausse d'environ 9,5 % sur un an, dont une quarantaine touchant chacune plus d'un million de personnes. De son côté, l'ANSSI est passée de 130 à 196 incidents d'exfiltration de données entre 2024 et 2025 (Panorama de la cybermenace 2025 ). Ce ne sont pas les mêmes périmètres ni les mêmes méthodes de comptage, mais les deux courbes montent.

Toujours la même porte : un compte qui avait le droit d'être là

Quand la CNIL a publié ses consignes pour les grandes bases de données en avril 2025, elle a fait un truc rare pour une autorité : elle a listé les défauts récurrents qu'elle constatait, sans enrobage. Trois points reviennent.

  • Des couples identifiant / mot de passe d'utilisateurs légitimes usurpés, qui donnent accès aux données sans effort particulier.
  • Des intrusions et des exfiltrations non détectées avant que les données soient mises en vente.
  • Une part significative d'incidents impliquant un sous-traitant dont les mesures étaient insuffisantes. Et surtout ce chiffre, qui devrait figurer sur un poster dans toutes les DSI :

« permises par l'usurpation du compte d'un employé ou d'un sous-traitant »

Source : CNIL, à propos de près de 80 % des violations de grande ampleur constatées en 2024, sur des comptes protégés uniquement par un mot de passe

Autant dire que le scénario du pirate qui trouve un 0-day exotique est très minoritaire. Le scénario majoritaire, c'est quelqu'un qui se connecte normalement, avec des identifiants qui marchent, par un accès prévu pour ça.

L'affaire Free en est l'illustration canonique. En janvier 2026, la CNIL a prononcé 42 millions d'euros d'amende contre Free Mobile et Free après l'intrusion d'octobre 2024 qui a touché 24 millions de contrats d'abonnés, IBAN compris pour une partie d'entre eux. Les manquements retenus au titre de l'article 32 sont d'une banalité désarmante : la procédure d'authentification pour se connecter au VPN (celui du travail à distance des employés) n'était pas assez robuste, et les mesures de détection des comportements anormaux étaient inefficaces. L'attaquant est entré par le VPN, puis a utilisé l'outil interne de gestion des abonnés. Un outil fait pour interroger la base ; il l'a interrogée.

Le piratage de la DGFiP révélé mi-août 2026 suit le même schéma : selon le communiqué du ministère , les accès illégitimes de juin et juillet reposent sur l'usurpation des identifiants d'un agent et d'un tiers habilité. Pas de faille spectaculaire dans le communiqué : deux comptes légitimes (au moment où j'écrisn 678 000 personnes est le chiffre revendiqué par l'attaquant et relayé par la presse, et la DGFiP indiquait encore consolider son décompte à la date d'écriture).

L'ANSSI fait le même constat côté incidents traités : dans de nombreux cas de 2025, les attaquants sont entrés par des comptes VPN dépourvus d'authentification forte. Ce n'est pas une tendance nouvelle, et c'est précisément ce qui est déprimant.

Alors oui, la réponse évidente c'est le MFA, que la CNIL a érigé en recommandation formelle en mars 2025 et dont elle contrôle le déploiement depuis 2026. Mais soyons honnêtes sur la portée du truc : l'ANSSI rappelle dans son panorama qu'une stratégie de sécurité reposant entièrement sur des produits ne suffit pas, et que MFA et bastion n'arrêtent pas un attaquant qui a déjà compromis le poste de l'utilisateur : il lui suffit de s'injecter dans la session ouverte et d'emprunter le même canal que l'utilisateur légitime. Le MFA relève le coût de l'attaque. Il ne la rend pas impossible.

Le prestataire, ce périmètre qu'on n'a pas cartographié

C'est la cause la plus sous-estimée, et probablement la plus structurelle.

Le bilan CNIL 2025 est explicite là-dessus : les violations impliquent souvent des prestataires. Le chiffre qui fait comprendre l'effet de levier : les attaques contre les logiciels de Weda et de Harvest ont généré à elles seules plus de 11 600 notifications d'entreprises clientes distinctes, pour deux incidents. Un attaquant, un éditeur, des milliers de responsables de traitement qui doivent chacun notifier de leur côté.

L'ANSSI décrit le mécanisme sans détour dans son panorama : avec le développement de la sous-traitance et la délégation de compétences, les entreprises ne maîtrisent plus l'intégralité des équipements présents dans leurs réseaux, et les attaquants exploitent exactement cette perte de maîtrise. Elle rapporte le cas d'un attaquant ayant compromis un prestataire de nombreuses entités françaises, puis s'étant latéralisé chez plusieurs clients en s'appuyant sur les interconnexions existantes et des authentifiants volés.

La CNIL a même publié en mai 2026 un scénario type sur le sujet, avec une phrase qui résume assez bien l'asymétrie du métier : l'attaquant n'a besoin que d'un seul succès, là où les équipes doivent surveiller tous les accès et corriger chaque erreur.

Ce qui me frappe, c'est la conséquence sur le raisonnement d'architecture. Quand on externalise un traitement, on n'externalise pas le risque : on le déplace vers un endroit où on ne le voit plus. C'est un peu l'inverse du principe que j'aime bien, celui qui consiste à déplacer un problème vers un niveau plus robuste. Là, on le déplace vers un niveau moins observable.

« Infrastructure ancienne » : pas le vieux serveur, le boîtier de bordure

On parle souvent d'« infrastructures anciennes » pour expliquer les fuites, et l'image qui vient c'est le serveur poussiéreux sous un bureau. La réalité est plus embêtante : les équipements en cause sont souvent récents, chers, et vendus comme des produits de sécurité.

Les équipements de bordure (pare-feu, passerelles VPN, concentrateurs) restent les points d'entrée privilégiés selon l'ANSSI, précisément parce qu'ils sont largement répandus, ce qui permet un ciblage massif et opportuniste. Les alertes CERT-FR de 2025 en donnent la liste : Ivanti Connect Secure, Fortinet, Citrix NetScaler, SharePoint.

Le vrai soucis n'est donc pas l'âge du matériel, c'est le délai entre la publication d'un correctif et son application effective. Et là, deux chiffres du panorama font mal :

  • fin 2025, plus de 6 200 actifs en France restaient affectés par les principales vulnérabilités exploitées depuis 2023 et 2024 ;
  • lors du signalement d'une seule vulnérabilité Fortinet, le CERT-FR a constaté plus de 3 700 interfaces d'administration exposées sur Internet en France. Mon anecdote préférée du rapport, parce qu'elle dit tout de la difficulté à faire confiance à un scan : lors d'un incident, un attaquant a exploité trois vulnérabilités Ivanti, puis les a corrigées lui-même avant de se latéraliser. Résultat, les scans internes voyaient un équipement bien à jour. Un cambrioleur qui répare la fenêtre en repartant, pour être sûr que personne d'autre n'entre après lui.

Et pour être juste : patcher un parc en continu est réellement difficile. L'ANSSI note que le rythme de publication des vulnérabilités croît d'environ 18 % par an depuis 2020, et qu'en 2025 près de 29 % des vulnérabilités exploitées l'auraient été le jour même de leur publication ou avant. Ce n'est pas un problème de négligence individuelle, c'est un problème de capacitée d'absorption.

La cause la plus bête : garder ce qu'on aurait dû jeter

Celle-là, personne n'en parle, et pourtant c'est la seule qui agit sur la taille de la fuite plutôt que sur sa probabilité.

Dans la sanction Free, à côté du manquement à l'article 32, il y a un manquement à l'article 5-1-e), celui de la limitation de la durée de conservation. La CNIL a constaté des données relatives à plus de 15 millions de contrats résiliés depuis plus de cinq ans, dont 3 millions résiliés depuis plus de dix ans, conservées sans justification.

Autrement dit : une partie substantielle des personnes touchées par cette fuite n'étaient plus clientes depuis une décennie. Elles n'avaient rien à faire dans la base. On garde les données comme on garde les câbles VGA dans un tiroir : au cas où, ça prend pas de place, et personne n'a envie d'être celui qui supprime.

C'est le point où le principe « simple et robuste » s'applique le plus directement. Toutes les mesures précédentes (MFA, journalisation, cloisonnement) augmentent la difficulté pour l'attaquant. La minimisation, elle, réduit ce qu'il y a à voler. C'est la seule mesure dont l'efficacité ne dépend pas de l'état de l'art de l'attaquant.

L'humain n'est pas le maillon faible, c'est le maillon non financé

La formule « l'humain est le maillon faible » me gêne, parce qu'elle sert surtout à ne pas payer la suite.

Les situations que la CNIL identifie comme évitables par la sensibilisation sont très concrètes : comptes de connexion partagés entre utilisateurs, clic sur un lien d'hameçonnage menant à un faux formulaire de connexion, logiciel malveillant installé sur un poste qui va dérober les identifiants enregistrés.

Ce dernier point mérite qu'on s'y arrête. L'ANSSI constate un recours récurrent aux infostealers dans les attaques ayant conduit à des fuites de données, et cite un cas de février 2025 où plusieurs entreprises de l'agroalimentaire ont retrouvé le même infostealer sur de nombreux postes, arrivé par l'installation d'un faux navigateur Chromium gratuit. Le constat de l'Agence est net : il est difficile de réagir face à ce type d'attaque en l'absence de cloisonnement entre usages professionnels et personnels.

Ce n'est pas un problème de formation, c'est un problème de conception de poste de travail. Un employé qui installe un navigateur sur sa machine pro ne commet pas une faute morale : il utilise une capacité que l'organisation lui a laissée.

Même logique pour l'ingénierie sociale. L'ANSSI documente pour 2025 du SIM-swapping, de la fatigue MFA, de l'hameçonnage vocal, et des attaquants qui usurpent le service informatique interne. Dans au moins un cas français, c'était pour obtenir les accès à une application de gestion de la relation client. Face à un appel d'un faux collègue du support qui connaît vos processus internes parce qu'il s'est renseigné avant, la « vigilance » individuelle est un dispositif de sécurité assez faible. Ce qui tient, ce sont les procédures qui rendent l'action impossible sans second canal.

L'aparté qui mérite mieux qu'un aparté : « moi, je n'ai rien à cacher »

C'est la réponse qu'on entend systématiquement, et elle repose sur une erreur de modèle : elle suppose que la donnée est jugée isolément, et que c'est vous qui décidez de ce qui est sensible.

L'ANSSI le formule très bien dans son panorama :

« Des éléments parfois considérés comme peu sensibles […] plus critiques une fois agrégés. »

Source : ANSSI, Panorama de la cybermenace 2025

Trois exemples, tous documentés par des sources publiques françaises, qui montrent ce que « agrégé » veut dire concrètement.

Le cas de la Fédération Française de Tir. Après la violation de données d'octobre 2025, Cybermalveillance.gouv.fr rapporte des tentatives de vol par ruse et par effraction commises auprès de licenciés. Aucune donnée « sensible » au sens courant n'était nécessaire : un nom, une adresse, et l'information que la personne est licenciée d'un club de tir. L'agrégation transforme un fichier associatif en liste de cibles.

Le cas des détenteurs de crypto-actifs. Le même bilan mentionne, à la suite de fuites dans ce secteur, des enlèvements, séquestrations et actes de violence physique. Là encore, l'information critique n'est pas secrète en soi : c'est le recoupement identité / adresse / patrimoine estimé.

Le cas de la DGFiP. Les données concernées sont le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, et des données cadastrales (adresses et surfaces de biens). Prises séparément, aucune n'est un secret d'État. Ensemble, elles décrivent votre revenu, votre composition familiale et la taille de votre logement. C'est exactement le jeu de données qu'on utiliserait pour choisir qui appeler en se faisant passer pour son conseiller bancaire.

Et le point qui me semble le plus important : un mot de passe se change, un numéro fiscal ou un revenu de référence, non. La donnée d'identité n'a pas de mécanisme de révocation. Elle circule ensuite en lots sur des forums, et la CNIL rappelle qu'elle peut par rebond fragiliser d'autres systèmes d'information via la réutilisation des données compromises.

Ça se vérifie dans les chiffres d'assistance : Cybermalveillance.gouv.fr a dépassé les 500 000 victimes assistées en 2025, avec l'hameçonnage en tête (+70 %) et une explosion de l'usurpation de numéro de téléphone (+517 %), le dispositif reliant explicitement cette vague à l'exploitation des fuites massives.

« Je n'ai rien à cacher » n'est donc pas un choix de posture. C'est une manière de dire qu'on accepte que le modèle de menace soit défini par quelqu'un d'autre, plus tard, à partir de données qu'on ne contrôle plus.

Chat control : brancher un tuyau de plus pendant que les autres fuient

Il faudras d'abord séparer deux textes, parce que le débat public les confond en permanence.

Le régime temporaire. Le règlement (UE) 2021/1232 crée une dérogation à la directive ePrivacy autorisant les fournisseurs à détecter volontairement du matériel pédocriminel. Il a expiré le 3 avril 2026, le Parlement ayant refusé sa prolongation en mars. Le Conseil a représenté un texte, le Parlement a adopté sa position le 9 juillet 2026, et le Conseil a donné son feu vert final le 23 juillet 2026 : la mesure intérimaire s'applique jusqu'au 3 avril 2028. Le détail important : les amendements du Parlement excluent du champ les communications interpersonnelles chiffrées de bout en bout. Le détail encore plus important : le Conseil précise dans le même communiqué que cette acceptation ne préjuge pas de sa position sur des amendements similaires dans le texte permanent.

Le texte permanent. Le règlement CSAR, proposé en mai 2022, vise un cadre pérenne avec des injonctions de détection. C'est lui qui porte la question de l'analyse côté client, et c'est lui qui bloque en négociation interinstitutionnelle.

Donc non, l'été 2026 n'a pas instauré la surveillance obligatoire des messageries chiffrées. Autant le dire clairement, parce que beaucoup de gens l'ont écrit.

Ceci dit, ce n'est pas une raison pour trouver ça rassurant, et l'objection intéressante n'est pas juridique, elle est architecturale.

L'objectif, protéger les enfants, n'est évidemment pas discutable, et je ne vais pas faire semblant de croire que les gens qui poussent ce texte sont animés par autre chose. Ce qui est discutable, c'est le moyen. Sur ce point, le courrier ouvert des chercheurs (807 signataires dans 37 pays à la clôture des signatures en octobre 2025, une longue liste d'équipes françaises de l'Inria, du CNRS et des universités incluse) pose l'argument que je trouve le plus solide, et qui rejoint exactement le sujet de cet article.

Un mécanisme de détection installé sur l'appareil viole deux principes de conception du chiffrement de bout en bout : que seuls les deux points terminaux accèdent aux données, et qu'il n'existe pas de point de défaillance unique. Il augmente donc la surface d'attaque et devient lui-même une cible de grande valeur. Et le contenu suspecté doit, par construction, quitter l'appareil pour être examiné ailleurs, ce qui crée un nouveau flux de données privées, centralisé, à l'échelle du continent.

C'est aussi ce que concluait dès 2021 le rapport Bugs in our Pockets (Abelson, Anderson, Diffie, Rivest, Schneier, Troncoso et al., publié en 2024 dans le Journal of Cybersecurity ) : les auteurs n'ont pas trouvé d'espace de conception permettant à ce type d'analyse d'aider les autorités sans mettre en danger la vie privée et la sécurité des utilisateurs respectueux de la loi.

Il y a un point technique supplémentaire, contre-intuitif, sur lequel les chercheurs insistent : pour maintenir un taux d'erreur acceptable, les bases de signatures doivent nécessairement fuiter de l'information sur les images d'origine. Une base de hachage de matériel pédocriminel n'est donc pas un artefact inerte. C'est un actif à protéger, dont la compromission serait catastrophique, et qu'il faudrait distribuer sur des centaines de millions d'appareils.

Mettons tout ça bout à bout. On parle de déployer :

  • un composant d'inspection dans la base de confiance de chaque terminal ;
  • une base de signatures sensible, largement distribuée ;
  • un flux de signalements contenant des extraits de communications privées, dirigé vers des autorités nationales ;
  • et une chaîne de sous-traitants pour opérer l'ensemble. Les quatre premières causes de fuite listées plus haut (comptes légitimes usurpés, prestataires, équipements de bordure non corrigés, rétention excessive) s'appliquent toutes à cette architecture. Rien dans le dossier n'explique pourquoi elle échapperait à ce qui a touché un opérateur télécom, un éditeur de logiciel médical et l'administration fiscale en dix-huit mois.

C'est là que je trouve la contradiction la plus franche : on demande aux organisations de sécuriser massivement leurs grandes bases de données, en menaçant de sanctions, tout en travaillant à en créer une nouvelle catégorie, plus sensible que les précédentes, opérée à l'échelle européenne.

Ce sur quoi je n'ai pas la main

Le truc un peu vertigineux quand on écrit ce genre d'article depuis un homelab, c'est de réaliser à quel point le raisonnement de sécurité qu'on applique chez soi ne sert à rien ici.

Je peux durcir mon SSH, cloisonner mes VLAN, mettre du MFA partout, ne jamais exposer une interface d'administration. Ça restera du bon travail. Mais la fuite qui me concernera dirrectement viendra d'une base sur laquelle je n'ai jamais eu la main, remplie par un formulaire que j'ai rempli une fois, opérée par un prestataire dont je ne connais pas le nom.

C'est probablement pour ça que la minimisation est la seule mesure qui m'intéresse vraiment dans cette histoire. Le chiffrement protège une donnée. La supervision détecte un accès. Mais la seule donnée dont je suis certain qu'elle ne fuitera jamais, c'est celle que personne n'a jugé utile de conserver.