Cyberattaques et vols de données : le CERT-FR alerte sur des failles souvent évitables

Les violations de données personnelles se multiplient, mais elles ne résultent pas toujours de cyberattaques sophistiquées. Dans un rapport de 80 pages publié le 20 octobre 2026, le CERT-FR, centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques de l’ANSSI, tire les enseignements des incidents observés en 2025 et début 2026. Son constat est préoccupant : des identifiants volés, des accès insuffisamment contrôlés ou des applications mal configurées suffisent parfois à exposer des millions de données.

À travers ce retour d’expérience, le CERT-FR propose dix grands principes pour renforcer la sécurité des applications web, notamment celles qui manipulent des informations personnelles ou sensibles. L’objectif est aussi pragmatique : montrer que les organisations peuvent réduire considérablement les risques sans nécessairement remplacer leurs applications existantes.

A lire ou relire :

Chambre connectée : comment l’hôtellerie concilie maîtrise des coûts et écoresponsabilité

Passman aide les établissements à gagner en performance grâce au pilotage énergétique, au Wifi sur mesure et à la télévision interactive, tout en enrichissant le séjour des voyageurs.Pendant longtemps, (...)  

Une forte augmentation des incidents de vol de données

En 2025, le CERT-FR a été informé de 196 incidents d’exfiltration de données, contre 130 en 2024, soit une augmentation d’environ 51 %.

Ces incidents concernent tous les secteurs d’activité, sans ciblage particulier identifié. Les exemples présentés dans le rapport touchent notamment la santé, les services publics et l’agroalimentaire.

L’une des principales conclusions est que les attaquants n’ont pas systématiquement besoin d’exploiter une vulnérabilité informatique complexe. Ils peuvent simplement utiliser des identifiants légitimes récupérés frauduleusement, profiter de droits d’accès trop étendus ou exploiter des interfaces de programmation (API) insuffisamment protégées.

Le rapport souligne également le rôle des infostealers, ces logiciels malveillants capables de dérober les mots de passe, les cookies de session et d’autres informations enregistrées sur les ordinateurs. La compromission d’un poste professionnel ou personnel peut ainsi devenir le point de départ d’une fuite de données affectant une organisation entière.

Les conséquences dépassent la perte de confidentialité : les informations dérobées peuvent être revendues, croisées avec d’autres bases de données, utilisées pour des fraudes personnalisées ou diffusées dans le cadre d’opérations de déstabilisation.

Dix recommandations pour réduire les risques

Le CERT-FR structure ses préconisations autour de dix axes complémentaires :

1. Maîtriser les données collectées et conservées. Identifier les informations sensibles, cartographier leur circulation, protéger les sauvegardes et supprimer les données devenues inutiles.
2. Limiter les droits des utilisateurs. Appliquer le principe du moindre privilège, contrôler les comptes inactifs et limiter le volume d’informations consultables par utilisateur ou session.
3. Réduire l’exposition des applications sur Internet. Réserver les interfaces internes et d’administration aux utilisateurs autorisés, notamment au moyen de VPN, de pare-feu et de restrictions d’accès.
4. Renforcer l’authentification. Ne plus dépendre uniquement du couple identifiant/mot de passe. Privilégier l’authentification forte pour les accès internes et les passkeys ou identifiants à usage unique pour les services grand public.
5. Assurer la traçabilité des opérations. Pouvoir rattacher chaque action à un utilisateur et à une adresse IP, y compris lorsque les connexions traversent plusieurs serveurs ou équipements intermédiaires.
6. Sécuriser les infrastructures d’hébergement. Segmenter les réseaux, protéger les bases de données, maîtriser les flux entrants et sortants et utiliser des postes d’administration dédiés.
7. Analyser les journaux pour détecter les anomalies. Repérer les connexions inhabituelles, les consultations massives, les volumes anormaux de téléchargement ou les accès à des informations sans rapport avec les fonctions de l’utilisateur.
8. Automatiser les réactions aux comportements suspects. Mettre en place des ralentissements, des blocages temporaires, des restrictions de sessions et des alertes pour interrompre une attaque avant qu’elle n’aboutisse.
9. Contrôler régulièrement la sécurité des applications. Réaliser des analyses de risques, des audits, des tests de sécurité et maintenir à jour les composants logiciels.
10. Homologuer les applications des administrations. Appliquer une démarche formalisée d’analyse des risques et de protection des données conformément au Référentiel général de sécurité (RGS) et à la Politique de sécurité des systèmes d’information de l’État (PSSIE).

Une attention particulière aux applications anciennes et aux API

Le rapport insiste sur les risques liés aux applications historiques, dont la conception ne correspond plus nécessairement aux menaces actuelles.

Les API constituent un point de vigilance majeur. Lorsqu’elles sont insuffisamment protégées, elles peuvent permettre à un attaquant disposant d’un compte utilisateur de consulter ou d’extraire des informations auxquelles il ne devrait pas avoir accès.

Le CERT-FR recommande notamment de limiter le nombre de requêtes, de contrôler les volumes de données accessibles et de vérifier systématiquement les autorisations.

Il souligne également que les pare-feu applicatifs (WAF) et les serveurs mandataires inverses peuvent renforcer la sécurité sans modification profonde du logiciel existant. Ils peuvent notamment servir à restreindre les accès, conserver les traces des connexions et limiter les extractions massives.

Ces protections ne dispensent toutefois pas de corriger les vulnérabilités de l’application elle-même.

La rapidité des attaques impose d’automatiser la défense

Autre enseignement important : les attaquants peuvent extraire plusieurs millions d’enregistrements en quelques minutes, alors que la qualification d’une alerte par une équipe humaine peut prendre plusieurs heures.

Le CERT-FR préconise donc une surveillance capable de reconnaître automatiquement des comportements anormaux et de déclencher des mesures de protection immédiates.

Les organisations doivent notamment pouvoir détecter les connexions depuis des localisations inhabituelles, les consultations répétées de données, les accès à des heures atypiques ou les changements soudains de comportement d’un compte.

Des recommandations techniques directement exploitables

Les dernières pages du rapport comportent des annexes techniques présentant des exemples de configuration pour différents composants d’infrastructure.

Elles détaillent notamment la transmission et la journalisation des adresses IP d’origine, le filtrage des connexions selon les adresses IP ou les pays, la restriction des horaires d’accès et la limitation du nombre de requêtes.

Ces exemples constituent des pistes de mise en œuvre, à adapter aux architectures et aux besoins de chaque organisation.

Une responsabilité qui dépasse les seules équipes informatiques

Au-delà des mesures techniques, le CERT-FR rappelle que la protection des données relève également de la gouvernance des organisations.

Les directions doivent participer à la définition des politiques de sécurité, arbitrer les moyens nécessaires et s’assurer que les données personnelles sont protégées tout au long de leur cycle de vie.

Le rapport défend finalement une approche pragmatique : la réduction du risque ne dépend pas uniquement de nouveaux investissements technologiques, mais aussi d’une meilleure maîtrise des accès, des données et des comportements anormaux.

Pour les entreprises comme pour les administrations, le message est clair : attendre le remplacement d’une application vieillissante pour renforcer sa sécurité n’est pas une stratégie acceptable.

Source : CERT-FR / ANSSI, « RETEX du CERT-FR sur les violations de données applicatives », version 1.01 du 20 octobre 2026, 80 pages, référence CERTFR-2026-CTI-008. Les recommandations présentées n’ont pas, sauf disposition réglementaire contraire, de caractère normatif.

Consulter le rapport intégral (PDF)