Les incidents cyber et fuites de données continuent de faire l’actualité. Mi-octobre, la plateforme PEP’s, par laquelle les employeurs publics gèrent les dossiers retraite de leurs agents, a été fermée après des accès frauduleux à des comptes employeurs, obtenus par ingénierie sociale. Les fédérations de tir, de voile ou de chasse ont confirmé l’extraction de centaines de milliers, voire de millions de fiches. Les partis politiques ne sont pas épargnés : le PCF a reconnu une fuite touchant 190.000 personnes, Des revendications, non confirmées par les intéressés, circulent aussi sur La France insoumise, Renaissance et LR. Toutes ces annonces sont à prendre avec précaution. La Caisse des Dépôts a ainsi apporté un démenti formel sur l’existence d’une fuite concernant 450.000 affiliés Ircantec, la complémentaire retraite des contractuels.
Ingénierie sociale
Néanmoins, plus les bases piratées circulent, plus elles peuvent être recoupées pour dresser des profils précis, ce qui ouvre la voie à des attaques sophistiquées. Éviter les fuites ne relève cependant pas de l’impossible. C’est le message clef du « retour d’expérience » publié le 20 octobre par le Cert-Fr (Anssi) à partir de l’analyse de 196 incidents d’exfiltration de données en 2025 (contre 130 en 2024). Son constat : « Dans la plupart des cas », ces fuites résultent « d’intrusions sans exploitation de vulnérabilité technique ». Il s’agit d’identifiants réutilisés, d’ingénierie sociale ou de données exposées sans contrôle d’accès. D’où le message clef de ce document de 80 pages : « Un grand nombre de compromissions sont évitables. » Il est possible, « y compris sur des applications historiques » de « drastiquement réduire les risques […] sans attendre un éventuel remplacement ».
Usagers, anciens agents, prestataires…
Le rapport alerte sur des failles pas nécessairement bien anticipées. Les usagers d’abord : fin 2025, plusieurs services publics ont subi des exfiltrations à partir d’identifiants dérobés par des logiciels espions (infostealers) installés sur les ordinateurs d’usagers. Les anciens collaborateurs ensuite, qui ont parfois utilisé des comptes « non révoqués après leur départ ». Les prestataires aussi : un laboratoire a vu fuiter des résultats d’analyses médicales via le compte d’un sous-traitant, et la victime finale n’avait aucune « capacité d’action sur l’infrastructure compromise ». Enfin, le Cert-Fr « rencontre encore fréquemment » des équipements non mis à jour, et des failles exploitées « des mois après la sortie de correctif ». Dernier exemple en date : la double faille PHP qui pourrait être exploitée pour extraire des données personnelles (voir notre article).
Sortir du mot de passe
Côté recommandations, le Cert-Fr insiste sur la gouvernance : la direction est « responsable et garante de la bonne protection des données personnelles ». Dans les chantiers prioritaires, on mentionnera l’authentification. « En 2026, l’authentification par le couple login/mot de passe est obsolète », assène le rapport. Il préconise l’authentification forte pour les agents et, pour le grand public, un code à usage unique à chaque connexion ou des « clés d’accès » (passkeys), qui remplacent le mot de passe par un simple déverrouillage du téléphone ou de l’ordinateur. Il demande aussi de prévoir des parcours alternatifs, notamment hors ligne, pour ne pas exclure certains usagers.
Déconnecter les applications sensibles d’internet
Autre urgence : réduire la « surface d’attaque ». Une application à usage interne ne doit être accessible que depuis le réseau de l’organisation ou un réseau privé virtuel (VPN). Aucune interface d’administration ne doit être exposée sur internet. Le Cert-Fr recommande aussi de plafonner les volumes consultables par session et d’automatiser les blocages car aujourd’hui, les données de millions de personnes peuvent être exfiltrées « en une poignée de minutes », souvent hors des heures ouvrées. Enfin, l’Anssi insiste sur la nécessité de faire « homologuer » via sa plateforme MonServiceSécurisé tout service public numérique traitant des données personnelles.
.
