Vol de données

Vol de données : comprendre les fuites et limiter les dommages

Le vol de données désigne l'accès non autorisé et l'exfiltration d'informations confidentielles.
Il peut résulter d'une attaque externe, d'une négligence interne ou d'une action malveillante d'un employé ou prestataire.
Les données volées alimentent les marchés du dark web où elles sont revendues et exploitées.

Causes et vecteurs des violations de données

Les causes les plus fréquentes sont les vulnérabilités applicatives non patchées, les bases de données mal configurées exposées sur internet, les attaques par injection SQL, le phishing d'employés avec accès privilégiés, et les accès non révoqués d'anciens collaborateurs ou prestataires.
Les erreurs de configuration de stockage cloud (bucket S3 public, partage Google Drive mal paramétré) sont responsables d'un nombre significatif de fuites involontaires.

Ce que deviennent vos données après une fuite

Les données volées sont d'abord revendues sur des forums du dark web, souvent en lots massifs.
Elles sont ensuite exploitées pour du credential stuffing, du phishing ciblé, de la fraude bancaire et du vol d'identité.
La valeur d'un enregistrement varie selon sa richesse : une adresse email seule vaut quelques centimes, un profil complet avec données bancaires peut atteindre plusieurs dizaines d'euros.

Vérifier si vos données ont été compromises

Outils de détection de fuites

Have I Been Pwned (haveibeenpwned.com) est la référence : il indexe des milliards d'identifiants issus de fuites publiques et notifie gratuitement en cas d'apparition de votre email dans une nouvelle violation.
Firefox Monitor s'appuie sur la même base avec une interface intégrée au navigateur.
Pour les entreprises, des services comme SpyCloud ou Flare offrent une surveillance continue des données d'entreprise sur le dark web.

Interpréter une alerte de fuite

Toutes les fuites n'ont pas la même gravité.
Une fuite contenant uniquement votre adresse email et un hash de mot de passe ancien est moins critique qu'une fuite incluant votre mot de passe en clair, vos coordonnées bancaires ou votre date de naissance.
Évaluez les données exposées, changez le mot de passe concerné et tous ceux identiques sur d'autres services, et activez le 2FA.
Consultez notre guide sur les mots de passe.

Obligations légales en cas de violation de données (entreprises)

Notification à la CNIL et aux personnes concernées

Le RGPD impose aux responsables de traitement de notifier la CNIL dans les 72 heures suivant la découverte d'une violation de données présentant un risque pour les droits et libertés des personnes.
Si le risque est élevé pour les personnes concernées, ces dernières doivent également être notifiées individuellement.
La notification tardive ou l'absence de notification expose à des amendes pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial.
Consultez nos guides de réponse à incident pour structurer votre procédure.