Violations de données à répétition : l'Anssi fait son bilan et donne ses conseils

Angel Batista ou ChimeraZ, ces pseudonymes vous disent quelque chose ? Ils sont associés à de multiples vols de données en France, depuis plusieurs mois. Le second, en particulier, s'est montré particulièrement prolifique, avec déjà une vingtaine d'incidents revendiqués depuis le début du mois...

L'Agence nationale de la sécurité des systèmes d'information (Anssi) vient de le point sur « près de 200 violation de données issues d'applications Web »... rien qu'en 2025, et après 130 autres traités l'année précédente.

Bilan ? « Dans de nombreux cas, ces exfiltrations ont été permises par des actions attaquantes d’un faible niveau de complexité, sans exploitation de vulnérabilité technique », indique l'Anssi. Comment cela ? « Dans la plupart des cas, ces exfiltrations résultent d’intrusions sans exploitation de vulnérabilité technique : réutilisation d’identifiants légitimes, accès obtenus par ingénierie sociale ou, simplement, exposition des données sans contrôle d’accès », explique l'Agence. Une analyse qui ne surprendra pas les observateurs attentifs du paysage de la menace et en particulier les cleptogiciels.

Ainsi, relève l'Anssi, « Le CERT-FR a également constaté un recours récurrent aux infostealers dans les attaques menant à des violations de données personnelles d’ampleur ». Illustration avec un ensemble d’entreprises du secteur de l’agroalimentaire qui ont été « victimes en février 2025 de violations de données, dues à la présence d’infostealers sur de nombreux postes de travail de leurs employés ».

L'Agence rappelle comment ces logiciels malveillants effacent la frontière entre les domaines personnel et professionnel : « l’infection par un infostealer de postes personnels de particuliers peut mener à des vols d’authentifiants. Ceux-ci sont par la suite utilisés pour se connecter illégitimement à leurs comptes sur divers applicatifs et en exfiltrer des informations, en particulier les données personnelles ». Et d'illustrer : « le CERT-FR a traité sur la fin d’année 2025 plusieurs exfiltrations de données issues de services publics permises par la présence d’infostealer sur des postes personnels d’usagers ».

Mais l'attaque peut avoir commencé chez un tier : l'Anssi dit ainsi avoir « traité en 2025 l’exfiltration de résultats d’analyses médicales d’un laboratoire, permise par la compromission du compte d’un prestataire destiné à gérer une application de visualisation des résultats d’examens médicaux ».

Las, explique l'Agence, « beaucoup d’organisations sous-estiment les risques d’usages malveillants d’identifiants légitimes, quand les attaquants récupèrent des couples de login et de mot de passe ». Car « dans les incidents rencontrés par le CERT-FR, les compromissions viennent aussi bien des usagers des applications, légitimes ou non, que d’opérateurs techniques ou de sous-traitants ».

Reste que ces violations de données n'ont rien d'inexorable. L'Anssi rappelle donc les grands principales applicables à toutes les applications Web gérant des données personnelles ou sensibles. Et sans surprise, les recommandations touchent à la gestion des accès et des droits - sans oublier l'authentification forte - à la traçabilité des actions, et la surveillance de la volumétrie des requêtes possibles, entre autres.