Le 20 octobre 2026, le CERT-FR, centre de réponse aux incidents de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié un retour d’expérience de 80 pages sur les violations de données dans les applications web. Sa synthèse managériale tient en une phrase que toute direction détenant des données sensibles devrait relire lentement : « Dans la plupart des cas, ces exfiltrations résultent d’intrusions sans exploitation de vulnérabilité technique : réutilisation d’identifiants légitimes, accès obtenus par ingénierie sociale ou, simplement, exposition des données sans contrôle d’accès. »
Pour un dirigeant d’établissement de santé, d’éditeur de logiciel ou d’entreprise qui stocke des dossiers clients, la conséquence est concrète. La question « sommes-nous à jour de nos correctifs ? » reste nécessaire, et elle ne suffit plus. Il faut y ajouter celle-ci : que peut lire, et emporter, un compte qui se connecte avec un identifiant valide ?
Quand l’attaquant entre avec un identifiant valide, la limite du dommage tient aux droits de ce compte et au temps que met l’organisation à remarquer qu’il en abuse.
Ce que le CERT-FR documente, et ce qu’il tait
Le rapport décrit 8 situations rencontrées en réponse à incident. Aucune entité n’est nommée, aucun volume n’est chiffré, et la plupart ne sont pas datées. Leur intérêt tient à leur mécanique.
En mai 2025, une entité proposant des services de e-santé a vu une partie de ses données personnelles et médicales extraite : l’attaquant a pris le contrôle d’un compte utilisateur, qui lui a ouvert une interface de programmation (API) interrogeant la base de données. La même année, dans un autre applicatif dont le secteur n’est pas précisé, des accès par API « insuffisamment limités » ont permis, depuis un compte compromis, d’extraire des données auxquelles cet utilisateur n’avait pas légitimement accès.
Toujours en 2025, l’ANSSI a traité l’exfiltration de résultats d’analyses médicales d’un laboratoire, permise par la compromission du compte d’un prestataire chargé de gérer l’application de consultation des résultats. Le rapport souligne que la victime finale subit le préjudice « sans qu’elle n’ait de capacité d’action sur l’infrastructure compromise ». En février 2025, plusieurs entreprises de l’agroalimentaire ont subi des fuites dues à des logiciels espions voleurs d’identifiants (infostealers) installés sur de nombreux postes de salariés. Fin 2025, le CERT-FR a traité plusieurs exfiltrations de données de services publics, rendues possibles par des infostealers présents sur les ordinateurs personnels de leurs usagers.
S’y ajoutent une entreprise de télétransmission de données médicales qui a exposé des données de patients après une erreur de maintenance, un groupe d’entités interconnectées où une réinitialisation de comptes compromis est restée inopérante sur un applicatif qui identifiait ses utilisateurs autrement, et un dernier cas, le plus instructif. L’attaquant a d’abord consulté ponctuellement des données depuis un compte compromis, puis a testé des requêtes automatisées quelques jours plus tard, avant une extraction massive. Seule cette dernière a été détectée. Les accès antérieurs, écrit le CERT-FR, « sont passés inaperçus, car ils étaient conduits à partir d’un compte disposant des droits adéquats et leur volumétrie était faible ».
Ce que mesurent les chiffres
Le rapport indique qu’en 2025 le CERT-FR « a été informé de 196 incidents relatifs à des exfiltrations de données », contre 130 incidents de ce type traités en 2024. Le calcul donne une hausse de 50,8 % ; l’agence ne l’écrit pas. Le chiffre n’est pas nouveau : le Panorama de la cybermenace 2025, publié le 11 mars 2026, le donnait déjà, en précisant qu’il couvre les exfiltrations « associées ou non à des attaques par rançongiciels ». Le même panorama ajoute que l’ANSSI n’a pu confirmer la véracité que de 80 revendications d’exfiltration parmi celles portées à sa connaissance.
Le chiffre appelle 3 prudences. L’unité est un incident connu de l’agence, pas une fuite survenue en France : une hausse peut traduire davantage de signalements autant que davantage d’attaques. Les verbes diffèrent d’une année à l’autre, « informé » pour 2025, « traités » pour 2024. Enfin, la page de présentation du rapport résume en « près de 200 violations de données issues d’applications web », un périmètre plus étroit que celui du panorama, qui inclut les exfiltrations liées aux rançongiciels. Le chiffre décrit une tendance de signalement ; il ne mesure pas la part des fuites passées par un compte valide, que ni le RETEX ni le panorama ne chiffrent.
Sur les revendications, le RETEX rappelle qu’elles « peuvent ne pas être avérées ou correspondre à des republications de données issues d’autres incidents ». Notre analyse de la revendication visant Naval Group montre comment une annonce de vol, vraie ou non, contraint la cible à prouver dans l’urgence ce qui n’a pas eu lieu : savoir ce qu’un compte a réellement consulté devient alors une pièce de défense.
La faille n’a pas disparu
Lire ce rapport comme un passage des failles techniques aux comptes légitimes serait une erreur de lecture. Le RETEX constate une prédominance dans les cas traités ; il ne compare aucune période. L’exposition de données sans contrôle d’accès, troisième voie citée dans sa synthèse, relève de l’erreur de configuration, pas de l’identifiant volé. Et 18 jours plus tôt, le 2 octobre, le CERT Santé et le CERT-FR publiaient un retour d’expérience sur les vulnérabilités des logiciels de santé, dont notre lecture a montré qu’un correctif peut être planifié 5 ans après le signalement.
Ce second rapport décrit surtout la zone où les 2 risques se rejoignent. Il nomme « contrôle d’accès déficient » la faiblesse qui permet à un utilisateur légitime, praticien ou parfois patient, de consulter les données d’autres patients. Les attaquants commencent généralement par compromettre un compte de professionnel de santé, puis élargissent leur périmètre. Le CERT Santé ajoute que, dans certains cas, ce comportement « a été développé en connaissance de cause pour répondre à la demande de certains clients de faciliter la coopération sur des dossiers ». La frontière entre faille et accès légitime passe donc par une décision commerciale autant que par du code.
Le mécanisme : 3 variables qu’une direction peut piloter
Le RETEX donne de quoi raisonner en grandeurs plutôt qu’en inquiétudes. Le dommage maximal causé par un compte compromis dépend de 3 variables.
La première est le périmètre lisible : combien de fiches ce compte peut consulter. Le rapport distingue les usagers grand public, qui n’accèdent qu’à leurs propres données, des utilisateurs internes et des partenaires, qui « ont fréquemment des accès à une portion significative ou à la totalité des informations ». Pour ces comptes, « les dégâts sont potentiellement considérables en une seule fois ». C’est le cas typique du compte de prestataire.
La deuxième est le débit autorisé : combien de fiches ce compte peut extraire par heure, par l’écran comme par l’API. Le rapport recommande de réguler les accès « en nombre de sessions actives concurrentes ou en rythme de requêtes », différemment selon qu’il s’agit d’utilisateurs, d’applications tierces, de clients lourds « voire un agent IA ». Il rappelle que « les informations personnelles de millions de personnes peuvent ne représenter que quelques giga-octets d’informations qui sont exfiltrés en une poignée de minutes ».
La troisième est le délai de blocage : le temps entre le premier accès anormal et la coupure effective du compte. Le CERT-FR observe que la qualification humaine d’une alerte « peut demander plusieurs heures », que la plupart des organisations ne supervisent pas en heures non ouvrées, et que les attaquants atteignent leurs objectifs « en quelques minutes ». Il ajoute que des journaux incapables d’attribuer une action à un utilisateur et à une adresse réseau transforment un incident endiguable en minutes en « investigation de plusieurs jours ».
La grandeur qu’une direction peut piloter est le volume qu’un seul compte peut emporter avant d’être coupé. Le rapport en donne lui-même un exemple : une secrétaire médicale traite en moyenne 40 dossiers patients par jour ; une alerte pourrait être levée au-delà de 50 consultations, le compte désactivé au-delà de 75. Il conseille d’ajouter des seuils cumulatifs, mensuels par exemple, contre les attaquants qui étalent leurs accès sur des semaines, comme dans le cas de montée en charge lente décrit plus haut.
Qui décide quoi
Le RETEX ne laisse pas le sujet aux seules équipes techniques. Dans sa première piste, « Appliquer une politique de gestion des données », il écrit : « La direction de l’organisation est responsable et garante de la bonne protection des données personnelles. Elle doit être impliquée dans les choix de sécurité applicative. » Les seuils de détection, précise-t-il, se définissent dans « une discussion avec les métiers », car eux seuls savent combien de dossiers un poste traite normalement.
Le rapport anticipe aussi une résistance interne : la réduction des droits « peut être vécue comme une forme de défiance et de déclassement ». Il y répond que l’usurpation d’identité fait peser durablement la suspicion sur la victime, et qu’une restriction protège donc « autant le propriétaire des identifiants que l’organisation ». Trancher entre confort d’accès et volume exportable relève de la direction générale, pas du responsable de la sécurité des systèmes d’information.
Le cadre juridique en vigueur donne des points d’appui sans trancher à la place du dirigeant. Le règlement général sur la protection des données impose au responsable de traitement de ne recourir qu’à des sous-traitants présentant des « garanties suffisantes » et de pouvoir conduire des audits, « y compris des inspections » (article 28). Il exige « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures » de sécurité (article 32), et la notification d’une violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf absence de risque (article 33). La directive européenne NIS 2, en revanche, n’est pas transposée en France au 21 octobre 2026 : le projet de loi relatif à la résilience des infrastructures critiques, adopté par le Sénat le 12 mars 2025, n’a pas été voté par l’Assemblée nationale selon son dossier législatif. Le RETEX n’a pas de valeur normative ; l’homologation de sécurité qu’il rappelle pour les administrations découle, elle, du référentiel général de sécurité et d’un décret du 8 avril 2022.
Un compte de prestataire est un accès à vos données qui obéit à une autre politique de sécurité que la vôtre : son plafond et sa révocation se négocient dans le contrat.
Ce qui permettra de vérifier ce diagnostic
Le prochain Panorama de la cybermenace de l’ANSSI, consacré à 2026 (celui de 2025 a paru le 11 mars 2026), dira si la hausse des incidents d’exfiltration connus de l’agence se poursuit en 2026. Surtout, il permettra de vérifier un point que ni le RETEX ni le panorama précédent ne chiffrent : la part des exfiltrations passées par un compte valide, face à celle des failles exploitées. Si l’ANSSI publie cette répartition, le constat qualitatif du 20 octobre deviendra mesurable ; si elle ne la publie pas, il restera l’expérience d’une équipe de réponse à incident, solide mais non quantifiée.
Le test le plus utile se joue pourtant dans chaque organisation, sans attendre l’agence. Notre lecture du premier bilan de l’opération REACTIV relevait que le même document de l’agence chiffrait la fuite de l’AEFE à 30 000 puis à 300 000 personnes. Le nombre de personnes touchées est la première question posée après une fuite, et l’une des plus difficiles à établir après coup. Une direction qui connaît le volume exportable par chacun de ses comptes avant blocage peut répondre le jour d’une revendication ; celle qui l’ignore découvrira ce chiffre en même temps que l’attaquant.
Cet article repose sur la lecture intégrale du rapport CERTFR-2026-CTI-008 du CERT-FR (20 octobre 2026, 80 pages, annexes comprises), du Panorama de la cybermenace 2025 de l’ANSSI (CERTFR-2026-CTI-002, 11 mars 2026), du retour d’expérience du CERT Santé et du CERT-FR (CERTFR-2026-CTI-007, 2 octobre 2026), du texte du RGPD publié par la CNIL et des dossiers législatifs du Sénat et de l’Assemblée nationale consultés le 21 octobre 2026. Les 10 pistes du RETEX sont citées par leur formulation, leur numérotation n’étant pas identique entre la synthèse et la partie de mise en œuvre. La grille de questions et le calcul du volume exportable sont une méthode de travail ; ils ne décrivent aucun cas réel et ne se substituent pas à un audit de sécurité.
