Fuites de données : 196 incidents en 2025, le CERT-FR pointe les identifiants volés

La plupart des fuites de données ne demandent aucune faille logicielle. Dans un retour d’expérience publié le 20 octobre 2026, le CERT-FR recense 196 exfiltrations signalées en 2025, contre 130 un an plus tôt. Les attaquants entrent surtout avec des identifiants valides.

Le document, référencé CERTFR-2026-CTI-008, compte 80 pages. Le centre de réponse aux incidents de l’ANSSI y tire les leçons d’une série d’exfiltrations traitées entre la fin 2025 et le début 2026. Toutes visent des applications web : services en ligne, portails clients, outils métiers ouverts dans un navigateur. L’agence ne constate aucun ciblage sectoriel particulier. Une PME qui gère un extranet est donc aussi exposée qu’une commune qui propose des démarches en ligne.

196 fuites de données en 2025, les identifiants en première ligne

Selon le RETEX (retour d’expérience), le CERT-FR a été informé de 196 incidents d’exfiltration en 2025, contre 130 traités en 2024, soit une hausse d’environ 50 %. Le diagnostic est net : dans la majorité des cas, aucune vulnérabilité technique n’est exploitée. Les attaquants se connectent avec des comptes légitimes, détournés de plusieurs manières.

Mots de passe réutilisés et infostealers

Premier levier : des identifiants déjà divulgués lors de fuites antérieures, réutilisés tels quels ou à peine modifiés. Deuxième : l’ingénierie sociale, hameçonnage en tête. Troisième, jugé récurrent par le CERT-FR : les infostealers, des logiciels malveillants spécialisés dans le vol d’identifiants. Fin 2025, plusieurs services publics ont subi des exfiltrations à partir d’identifiants dérobés sur les ordinateurs personnels de leurs usagers.

Convertisseur gratuit et API trop permissive

En février 2025, des entreprises de l’agroalimentaire ont été piégées par un convertisseur Word vers PDF gratuit. L’outil détournait les documents qu’on lui confiait et renvoyait des fichiers infectés. En mai 2025, un service d’e-santé a perdu des données personnelles et médicales : un compte usager compromis ouvrait l’accès à une API (interface de programmation) qui interrogeait directement la base. Scénario type : quelques consultations discrètes, des requêtes automatisées testées quelques jours plus tard, puis l’extraction massive.

Sous-traitants, anciens salariés et erreurs de configuration

Un laboratoire d’analyses médicales a vu des résultats exfiltrés via le compte d’un prestataire chargé de l’application de consultation. Le document cite aussi des comptes d’anciens employés jamais révoqués, des espaces de stockage cloud ouverts sans contrôle d’accès et des sauvegardes déposées sur des zones non protégées. Certaines failles, enfin, sont exploitées des mois après la sortie du correctif, comme l’a rappelé l’alerte sur les failles critiques PHP touchant les serveurs web.

Ce que le RETEX change pour les PME et les communes

Le message vise d’abord les directions. Le CERT-FR réclame une politique de gestion des données pilotée au plus haut niveau : inventaire des informations sensibles, cartographie des flux jusque chez les sous-traitants, chiffrement des exports et des sauvegardes, suppression de ce qui ne sert plus. Les données réelles n’ont rien à faire dans les environnements de test.

Pour une PME, l’enjeu dépasse le site vitrine : extranet client ou outil RH accessible à distance sont autant de points d’entrée à couvrir par la sécurité informatique de l’entreprise. Côté collectivités, les portails de démarches en ligne entrent dans le même périmètre. Les administrations doivent en outre homologuer chaque application au titre du RGS (référentiel général de sécurité), un enjeu central de la cybersécurité des collectivités.

Les réflexes à adopter dès maintenant

Abandonnez le mot de passe seul

Le CERT-FR tranche : « en 2026, l’authentification par le couple login/mot de passe est obsolète ». Activez l’authentification forte sur tous les comptes internes, idéalement via un fournisseur d’identité unique. Pour le grand public, l’agence privilégie les codes à usage unique et les passkeys. Les codes saisis à la main restent toutefois vulnérables à l’hameçonnage en temps réel. Traitez aussi chaque réinitialisation de mot de passe comme un événement sensible.

Réduisez l’exposition et les droits

• aucune interface d’administration joignable depuis Internet ;
• des applications internes accessibles uniquement depuis votre réseau d’entreprise ou via un accès nomade sécurisé par VPN avec authentification forte ;
• un compte par personne, aucun compte partagé, et la désactivation rapide des comptes inactifs ou d’anciens salariés ;
• des droits limités au besoin métier et un plafond de requêtes par compte ;
• des correctifs au moins mensuels sur les équipements exposés.

Tracez et surveillez

Chaque action doit être rattachée à un compte et à une adresse IP, horodatée et conservée au moins six mois dans un collecteur centralisé. Le CERT-FR recommande des alertes métier : volume anormal de fiches consultées, connexions hors horaires, « voyage impossible » entre deux pays. IT Social relève l’exemple d’une secrétaire médicale qui ouvre en moyenne 40 dossiers par jour : alerte au-delà de 50, désactivation du compte au-delà de 75. Sensibilisez enfin utilisateurs et décideurs, en lien avec votre DPO.

Conclusion

Le RETEX du CERT-FR déplace le curseur : les fuites de données se jouent moins dans le code que dans la gestion des identités, des droits et des journaux. Pour une PME comme pour une commune, trois chantiers s’imposent : en finir avec le mot de passe seul, fermer ce qui n’a pas à être exposé et surveiller les volumes consultés. Faites le point sur vos applications avant qu’un compte compromis ne le fasse à votre place.

Source : LeMagIT – Violations de données à répétition : l’Anssi fait son bilan et donne ses conseils (20 octobre 2026)
Voir aussi : CERT-FR – RETEX du CERT-FR sur les violations de données applicatives, CERTFR-2026-CTI-008 (20 octobre 2026) ; IT Social – Violations de données, la plupart des exfiltrations passent par des identifiants légitimes (21 octobre 2026)