Ce qu’est une fuite de données et pourquoi elle reste cachée 194 jours

La plupart des fuites de données parviennent aux individus par le biais d’une enveloppe familière : une lettre d’entreprise, des excuses prudentes et une offre de douze mois de surveillance de crédit gratuite. Ce que la lettre ne décrit pas, c’est tout ce qui s’est passé avant son envoi. Entre le moment où un attaquant pénètre pour la première fois dans un réseau et celui où vous apprenez que vos informations ont été compromises, il s’écoule en moyenne 194 jours. Comprendre ce qui se passe durant ces mois et pourquoi ils restent invisibles est plus utile que la surveillance elle-même.

Une fuite de données est tout incident de sécurité au cours duquel des informations protégées sont consultées, copiées ou extraites sans autorisation. Cela inclut les dossiers clients, les données financières, les fichiers médicaux, les identifiants gouvernementaux et les informations sur les employés. Les cadres juridiques qui les régissent ajoutent une couche supplémentaire : selon le Règlement général sur la protection des données (RGPD) européen, les organisations doivent notifier les autorités dans les 72 heures suivant la prise de conscience d’une violation. L’expression clé est « prise de conscience », et l’écart entre le début d’une violation et le moment où une entreprise en a connaissance est précisément là où se produit l’essentiel des dégâts.

Les attaquants pénètrent dans les systèmes par un nombre limité de méthodes fiables. En 2024, l’exploitation de vulnérabilités ciblant les failles de sécurité des logiciels, en particulier dans les VPN, les pare-feu et les outils d’accès à distance utilisés par les organisations comme points d’entrée sécurisés, a représenté 33 % des fuites. Les identifiants volés ou compromis ont été responsables de 16 % des cas, et les courriels de phishing de 14 %. La fuite de MOVEit, qui a touché plus de 62 millions de personnes à travers des centaines d’organisations en une seule campagne, illustre comment une vulnérabilité non divulguée dans un logiciel de transfert de fichiers largement utilisé peut être exploitée avant même que le fournisseur n’en ait connaissance. Les attaques de la chaîne d’approvisionnement de ce type exploitent la confiance que les organisations placent dans les outils tiers ; une fois le logiciel compromis, chaque organisation qui l’utilise devient une cible potentielle.

Pénétrer dans un réseau n’est que le début, pas l’objectif. Une fois l’accès initial obtenu, le travail de déplacement à travers le réseau commence : collecte d’identifiants supplémentaires, élévation de privilèges et identification des systèmes contenant les données les plus précieuses. Cette phase, appelée mouvement latéral, prend du temps et est conçue pour rester invisible. La fuite de Change Healthcare, qui a finalement touché environ 100 millions d’Américains et coûté plus de 2,4 milliards de dollars en frais de réponse directs, a commencé par un seul identifiant compromis pour un portail d’accès à distance qui manquait d’authentification multi-facteurs. Les lacunes d’authentification au niveau de l’accès, qu’il s’agisse d’un facteur secondaire manquant ou d’une interface de connexion non corrigée, s’avèrent systématiquement plus lourdes de conséquences que les exploits techniques sophistiqués.

La moyenne de détection de 194 jours reflète une asymétrie fondamentale : les attaquants travaillent à leur propre rythme à l’intérieur d’un réseau qu’ils contrôlent déjà, tandis que les défenseurs cherchent des signaux que l’attaquant cache activement. Lorsque les organisations détectent les fuites via leur propre surveillance, le temps de résidence médian chute à 16 jours, ce qui suggère que les capacités de détection internes, lorsqu’elles existent et fonctionnent correctement, repèrent les intrusions bien plus tôt. Les entreprises utilisant des renseignements sur les menaces en temps réel ont identifié les intrusions 28 jours plus vite en moyenne. Après la détection, le confinement d’une fuite prend en moyenne 64 jours supplémentaires, portant le cycle de vie total de l’intrusion au confinement à environ 258 jours.

Avant même la détection, l’exfiltration a presque toujours déjà eu lieu. Les données volées suivent des routes prévisibles à travers les marchés criminels. Les enregistrements de grande valeur, notamment les numéros de sécurité sociale, les identifiants médicaux et les détails de comptes financiers, sont vendus en gros et revendus à des acheteurs spécialisés. La fuite de National Public Data a compromis environ 2,9 milliards d’enregistrements, dont des numéros de sécurité sociale de personnes aux États-Unis, au Royaume-Uni et au Canada, l’ensemble de données étant proposé à la vente pour 3,5 millions de dollars avant que l’entreprise ne fasse une déclaration publique. Les outils automatisés accélèrent désormais les phases d’exploitation et de monétisation, ce qui signifie que l’intervalle entre une fuite réussie et la première utilisation criminelle des données extraites peut être bien plus court que l’intervalle entre la fuite et votre notification.

Les effets en aval d’une fuite ne sont ni immédiats ni uniformes. Les pertes liées à la fraude d’identité ont atteint 27,3 milliards de dollars en 2025, mais la plupart des comptes frauduleux ouverts avec des identités volées n’apparaissent que des mois ou des années après la fuite, lorsque les criminels jugent le moment opportun. Le vol d’identité médicale a son propre calendrier : les demandes de remboursement frauduleuses déposées sous une identité volée peuvent corrompre l’historique médical du titulaire légitime, affecter sa couverture future et prendre des années à identifier et à corriger. La sensibilisation au fonctionnement de cette chaîne fait partie des défenses individuelles les plus efficaces, non pas parce que la sensibilisation empêche les fuites, mais parce que la reconnaissance précoce d’une activité suspecte réduit considérablement les dommages éventuels.

Aucun investissement en sécurité n’élimine complètement le risque de fuite. Les organisations qui ont subi les plus grandes et les plus lourdes fuites ces dernières années n’étaient pas négligentes. Elles géraient des systèmes complexes à grande échelle, et les attaquants ont trouvé les failles qui existent inévitablement dans les systèmes complexes à grande échelle. Ce que les dépenses de sécurité changent, c’est la vitesse de détection et l’étendue de l’accès qu’un attaquant peut accumuler avant d’être découvert. Les fuites découvertes en moins de 200 jours coûtent aux organisations en moyenne 1,39 million de dollars de moins que celles qui restent non détectées plus longtemps. L’objectif réaliste n’est pas l’invulnérabilité, mais la réactivité.

Si vous recevez une notification de fuite de données, trois mesures sont plus importantes que l’offre de surveillance de crédit. Premièrement, gelez votre crédit auprès des principales agences : cela empêche l’ouverture de nouveaux comptes à votre nom, et le dégel est simple lorsque vous avez besoin de demander un crédit. Deuxièmement, consultez l’outil gratuit Have I Been Pwned pour voir si votre adresse e-mail apparaît dans des ensembles de données de fuites connues. Troisièmement, changez tout mot de passe partagé entre le service concerné et d’autres comptes, car le bourrage d’identifiants repose sur la réutilisation des mots de passe. La notification RGPD que vous pouvez recevoir d’une entreprise européenne représente la fenêtre de 72 heures à partir du moment où l’organisation a eu connaissance de la fuite, et non à partir du début de celle-ci. Le détail le plus utile dans toute lettre de notification est le type spécifique de données concernées : savoir si vos dossiers médicaux, vos informations financières ou vos identifiants gouvernementaux ont été exposés détermine l’urgence de votre action.

Étiquettes: cybersécurité, ransomware, RGPD, phishing, protection des données, violation de données