Violations de données : le CERT-FR recense 196 exfiltrations en 2025, souvent sans faille technique
Le CERT-FR, le centre de réponse aux incidents de l'ANSSI, a publié le 20 octobre 2026 un retour d'expérience de 80 pages sur les violations de données issues d'applications web. Son constat tient en un chiffre et une phrase : 196 incidents d'exfiltration de données portés à sa connaissance en 2025, contre 130 traités en 2024, et, « dans de nombreux cas », des actions « d'un faible niveau de complexité, sans exploitation de vulnérabilité technique ». Pour un DPO, c'est une grille de lecture de l'article 32 du RGPD tirée d'incidents réels.
Ce que le CERT-FR a observé
Le document (référence CERTFR-2026-CTI-008) prolonge un premier retour d'expérience publié en 2024, limité au secteur social. Celui-ci s'adresse à toute organisation qui opère une application web traitant des données personnelles ou sensibles : le CERT-FR dit ne constater « pas de ciblage particulier », tout secteur pouvant être touché.
Les vecteurs décrits sont rarement sophistiqués. Selon la synthèse du rapport, les exfiltrations résultent « dans la plupart des cas » de la réutilisation d'identifiants légitimes, d'accès obtenus par ingénierie sociale, ou « simplement » de données exposées sans contrôle d'accès. Le rapport en donne plusieurs cas anonymisés :
- en mai 2025, un service de e-santé dont un compte utilisateur compromis a donné accès à une API interrogeant sa base de données, d'où l'extraction de données personnelles et médicales ;
- une exfiltration massive via une API insuffisamment limitée, après la compromission d'un seul compte utilisateur ;
- en février 2025, des entreprises de l'agroalimentaire infectées par des infostealers, installés par des salariés via un faux convertisseur gratuit de documents Word en PDF ;
- des résultats d'analyses médicales d'un laboratoire exfiltrés par le compte d'un prestataire chargé de l'application de consultation ;
- des données médicales de patients exposées après une erreur lors d'une maintenance de serveur.
Le CERT-FR rappelle aussi que les revendications publiées sur des forums ou sur Telegram « peuvent ne pas être avérées » : la levée de doute reste nécessaire avant de conclure à une fuite.
Pourquoi c'est important pour un DPO
L'article 32 du RGPD impose des mesures de sécurité appropriées au risque, sans les lister. Ce retour d'expérience en donne une version opérationnelle, en dix principes : appliquer une politique de gestion des données, limiter les accès utilisateurs, limiter l'exposition de l'application, dépasser le couple identifiant et mot de passe, sécuriser l'hébergement, tracer les actions, superviser les journaux, déclencher des alertes automatiques, vérifier la sécurité des applications et, pour les administrations, homologuer chaque application selon le RGS et la PSSIE.
Le premier principe parle directement au DPO : recenser les données personnelles et leurs supports, formaliser les flux, y compris chez les tiers. C'est le travail du registre des traitements. Le rapport le dit aussi sans détour : ces politiques « doivent être coordonnées avec le délégué à la protection des données ». Le CERT-FR avait déjà publié le 30 septembre un premier point de situation de l'opération REACTIV sur les violations de données dans les ministères.
Ce que ça change pour les organisations
- Intégrer à l'analyse de risque de chaque application les quatre scénarios du rapport : identifiants usurpés, accès direct aux données, usage illégitime d'un accès interne, vulnérabilité applicative.
- Revoir les habilitations : moindre privilège par profil métier, comptes partagés proscrits, comptes inactifs désactivés, accès des partants révoqués.
- Exiger l'authentification forte pour les utilisateurs internes, les codes à usage unique ou les passkeys pour le grand public.
- Limiter la volumétrie consultable par session : selon le CERT-FR, parcourir un très grand nombre d'entrées en peu de temps est « complètement anormal ».
- Proscrire par défaut les données réelles hors production, et appliquer les durées de conservation : ce qui est supprimé ne fuit pas.
- Vérifier que les sous-traitants qui administrent une application sont couverts par ces mesures, et préparer la gestion d'une violation de données avant d'en avoir besoin.
Ce que Leto en pense
Le CERT-FR précise que son document n'est pas un guide et qu'il ne remplace pas une conception Privacy by Design : il vise des applications existantes, souvent anciennes. C'est justement ce qui le rend utile. La plupart des incidents décrits relèvent de mesures connues de l'annexe A d'ISO/IEC 27001:2022, comme l'authentification sécurisée (8.5), la journalisation (8.15) et la surveillance des activités (8.16), et elles commencent par savoir quelles données vivent dans quelle application. Leto tient ce socle côté RGPD, du registre des traitements aux sous-traitants : voir comment en démo.
Sources
