Points clés à retenir
- On parle de violation de données lorsque des informations sensibles ou confidentielles sont consultées ou divulguées sans autorisation.
- Les violations de sécurité surviennent à la suite d'exploits, d'injections SQL, de logiciels espions, d'hameçonnage et de contrôles d'accès mal configurés, ce qui permet aux pirates de voler des données.
- Les données volées comprennent souvent des mots de passe, des informations personnelles et des données financières, que les criminels peuvent déchiffrer si un algorithme de hachage faible (comme SHA-1) est utilisé.
- Les données exposées sont généralement vendues ou échangées sur le Dark Web, ce qui favorise les escroqueries, le chantage et les attaques par « credential stuffing ».
- Même les « anciennes » données volées conservent leur valeur, car elles permettent de mener des attaques de phishing, des escroqueries par sextorsion et des prises de contrôle de comptes lorsque les utilisateurs réutilisent leurs mots de passe.
Qu'est-ce qu'une violation de données ?
Une violation de données est un incident qui entraîne l'exposition non autorisée d'informations confidentielles, privées, protégées ou sensibles. Ces violations peuvent être accidentelles ou intentionnelles et impliquer des attaquants externes ou des personnes internes à l'organisation. Les informations volées peuvent être exploitées à des fins financières ou utilisées dans d'autres attaques, ce qui fait des violations de données une menace importante pour les particuliers et les entreprises.
Une fuite de données résulte d'une cyberattaque qui permet aux cybercriminels d'accéder de manière non autorisée à un système informatique ou réseau et de voler les données privées, sensibles ou confidentielles des clients ou utilisateurs contenues dans le système.
Comment se produisent les fuites de données ?
Un exploit est un type d'attaque qui tire parti des bugs ou vulnérabilités des logiciels, que les cybercriminels utilisent pour obtenir un accès non autorisé à un système et à ses données. Ces vulnérabilités sont cachées dans le code du système et c'est une course entre les criminels et les chercheurs en cybersécurité pour voir qui les trouvera en premier.
D'un côté, les cybercriminels cherchent à exploiter ces failles, tandis que, de l'autre, les chercheurs souhaitent les signaler aux éditeurs de logiciels afin que les failles puissent être corrigées. Parmi les logiciels les plus fréquemment ciblés figurent le système d'exploitation lui-même, les navigateurs Internet, les applications Adobe et les applications Microsoft Office. Les groupes de cybercriminels regroupent parfois plusieurs exploits au sein de kits d'exploitation automatisés, ce qui permet aux criminels disposant de peu ou pas de connaissances techniques d'exploiter plus facilement ces failles.
Une injection SQL (SQLI)est un type d'attaque qui exploite les failles du logiciel de gestion de bases de données SQL de sites web non sécurisés afin d'amener le site à divulguer des informations issues de la base de données qu'il n'est en réalité pas censé révéler. Voici comment cela fonctionne. Un cybercriminel insère un code malveillant dans le champ de recherche d’un site de vente en ligne, par exemple, là où les clients saisissent habituellement des requêtes telles que « casques sans fil les mieux notés » ou « baskets les plus vendues ».
Au lieu de renvoyer une liste d’écouteurs ou de baskets, le site web fournira au hacker liste de clients et leurs numéros de carte bancaire. L’attaque SQLI est l’une des plus simples à mener, ne nécessitant qu’un minimum de connaissances techniques. Malwarebytes Labs l’attaque SQLI en troisième position dans son classement des « 5 cybermenaces les plus stupides qui fonctionnent quand même ». Les attaquants peuvent même utiliser des programmes automatisés pour mener l'attaque à leur place. Il leur suffit de saisir l'URL du site cible, puis de se détendre pendant que le logiciel s'occupe du reste.
Le spyware est un type de malware qui infecte votre ordinateur ou réseau et vole des informations sur vous, votre utilisation d'Internet, ainsi que toute autre donnée précieuse accessible. Vous pourriez installer un spyware à cause d'un téléchargement apparemment anodin (surnommé bundleware). Sinon, le spyware peut infecter votre ordinateur en tant qu'infection secondaire via un Trojan comme Emotet.
Comme indiqué sur le blog de Malwarebytes Labs, Emotet, TrickBot et d'autres chevaux de Troie bancaires ont trouvé une nouvelle vie en tant qu'outils de livraison pour les logiciels espions et autres types de malwares. Une fois que votre système est infecté, le logiciel espion renvoie toutes vos données personnelles aux serveurs de commande et de contrôle (C&C) gérés par les cybercriminels.
Les attaques par hameçonnage consistent à nous inciter à divulguer des informations sensibles, telles que nos identifiants et mots de passe, souvent en contournant la logique et le bon sens, en recourant à l'ingénierie sociale pour manipuler nos émotions, comme la cupidité et la peur. Une attaque de hameçonnage typique commence par un e-mail usurpé, c'est-à-dire falsifié pour donner l'impression qu'il provient d'une entreprise avec laquelle vous faites affaire ou d'un collègue de confiance. Cet e-mail contient un langage agressif ou exigeant et vous demande d'effectuer une action, comme vérifier des paiements ou des achats que vous n'avez jamais effectués.
Cliquer sur le lien fourni vous redirigera vers une page de connexion malveillante conçue pour capturer votre nom d'utilisateur et mot de passe. Si vous n'avez pas activé l'authentification multi-facteurs (MFA), les cybercriminels auront tout ce dont ils ont besoin pour pirater votre compte. Tandis que les emails sont la forme la plus courante de phishing, les SMS et les systèmes de messagerie sur les réseaux sociaux sont également populaires auprès des escrocs.
Des contrôles d'accès défaillants ou mal configurés peuvent rendre publiques des parties privées d'un site web donné, alors qu'elles ne devraient pas l'être. Par exemple, l'administrateur d'un site de vente en ligne de vêtements rendra privés certains dossiers du back-end du site, c'est-à-dire ceux contenant des données sensibles sur les clients et leurs informations de paiement. Cependant, il peut lui arriver d'oublier de rendre privés les sous-dossiers associés.
Bien que ces sous-dossiers puissent ne pas être apparents pour l'utilisateur moyen, un cybercriminel utilisant quelques recherches Google bien menées pourrait trouver ces dossiers mal configurés et voler les données qu'ils contiennent. Comme un cambrioleur entrant directement dans une maison par une fenêtre ouverte, il ne faut pas beaucoup de compétences pour réussir ce genre de cyberattaque.
Mes données volées sont-elles cryptées ?
Après une fuite de données, les entreprises concernées tentent d’apaiser les craintes et l’indignation de leurs clients en leur disant en substance : « Oui, les pirates ont mis la main sur vos mots de passe, mais ceux-ci sont chiffrés. » Ce n’est pas très rassurant, et voici pourquoi. De nombreuses entreprises utilisent la méthode de chiffrement de mots de passe la plus rudimentaire chiffrement : le hachage SHA-1 sans sel.
Hachage et sel ? Ça semble être une délicieuse façon de commencer la journée. Mais en matière de hachage de mots de passe, ce n’est pas vraiment l’idéal. Un mot de passe haché à l’aide de l’algorithme SHA-1 produira toujours la même chaîne de caractères, ce qui le rend facile à deviner. Par exemple, le mot de passe « password » donnera toujours comme résultat
“5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8” et “123456” donneront toujours le hachage “7c4a8d09ca3762af61e59520943dc26494f8941b.”
Cela ne devrait pas être un problème, car ce sont les deux pires mots de passe possibles et personne ne devrait jamais les utiliser. Pourtant, des gens le font. La liste annuelle des mots de passe les plus communs de SplashData montre que les gens ne sont pas aussi créatifs qu'ils le devraient avec leurs mots de passe. En tête de liste depuis cinq ans : “123456” et “password”. Bravo tout le monde.
Dans cette optique, les cybercriminels peuvent comparer une liste de mots de passe volés et hachés à une liste de mots de passe hachés connus. Grâce aux mots de passe piratés et aux noms d'utilisateur ou adresses e-mail correspondants, les cybercriminels disposent de tout ce dont ils ont besoin pour pirater votre compte.
Que se passe-t-il lorsque vos données sont exposées lors d'une violation de données ?
Les données volées finissent généralement sur le Dark Web. Comme son nom l'indique, le Dark Web est cette partie d'Internet que la plupart des gens ne voient jamais. Le Dark Web n'est pas indexé par les moteurs de recherche et vous avez besoin d'un type de navigateur spécial appelé Tor Browser pour le voir. Alors, qu'est-ce qui se cache derrière tout ça ?
Dans la plupart des cas, les criminels utilisent le Dark Web pour trafiquer divers biens illégaux. Ces marchés du Dark Web ressemblent beaucoup à vos sites de shopping en ligne typiques, mais la familiarité de l'expérience utilisateur masque la nature illicite des produits proposés. Les cybercriminels achètent et vendent des drogues illégales, armes, pornographie et vos données personnelles. Les places de marché spécialisées dans les gros lots d'informations personnelles collectées lors de diverses fuites de données sont connues, dans le jargon criminel, sous le nom de dépôts.
Le plus grand assemblage connu de données volées trouvé en ligne, soit 87 Go, a été découvert en janvier 2019 par le chercheur en cybersécurité Troy Hunt, créateur de Have I Been Pwned (HIBP), un site qui vous permet de vérifier si votre courrier électronique a été compromis dans une violation de données. Les données, connues sous le nom de Collection 1, comprenaient 773 millions de courriels et 21 millions de mots de passe provenant d'un ensemble de violations de données connues. Quelque 140 millions de courriels et 10 millions de mots de passe étaient toutefois nouveaux pour le HIBP, car ils n'avaient pas été inclus dans une violation de données précédemment divulguée.
Brian Krebs, auteur et journaliste d'investigation spécialisé dans la cybersécurité, a découvert, en s'entretenant avec le cybercriminel responsable de la Collection 1, que toutes les données contenues dans la décharge dataient de deux à trois ans - au moins.
Les données périmées provenant d'une ancienne violation ont-elles une valeur (au-delà des 0,000002 cents par mot de passe que Collection 1 vendait) ? Oui, beaucoup.
Les cybercriminels peuvent utiliser votre ancien identifiant pour vous faire croire que votre compte a été piraté. Cette escroquerie peut s'inscrire dans le cadre d'une attaque par hameçonnage ou, comme nous l'avons signalé en 2018, d'une escroquerie par sextorsion. Les escrocs qui pratiquent la sextorsion envoient désormais des courriels dans lesquels ils prétendent avoir piraté la webcam de la victime et l'avoir enregistrée en train de regarder du porno. Pour donner un peu de légitimité à leur menace, les escrocs incluent dans leurs courriels des identifiants de connexion provenant d'une ancienne atteinte à la protection des données. Conseil de pro : si les escrocs avaient une vidéo de vous, ils vous la montreraient.
Si vous réutilisez vos mots de passe d'un site à l'autre, vous vous exposez à des dangers. Les cybercriminels peuvent également utiliser votre identifiant volé sur un site pour pirater votre compte sur un autre site, dans le cadre d'une cyberattaque connue sous le nom de " credential stuffing" (bourrage d'identifiants). Les criminels utilisent une liste d'adresses électroniques, de noms d'utilisateur et de mots de passe obtenus à la suite d'une violation de données pour envoyer des demandes de connexion automatisées à d'autres sites populaires, dans un cycle sans fin de piratage, de vol et de piratage encore.
Quelles sont les plus grandes failles de sécurité de données ?
Il existe de nombreuses fuites de données notables qui méritent d'être mentionnées. Voici quelques exemples que nous avons déjà abordés sur notre blog.
Fuite de données chez AT&T : 176 millions d'enregistrements concernés
Nous avons fait état d'un ensemble de données récemment divulgué, décrit comme contenant des informations sur les clients d'AT&T collectées au fil des ans. Il comprendrait 176 millions d'enregistrements, notamment des numéros de Sécurité sociale (numéros complets et quatre derniers chiffres), des noms et prénoms, des adresses, des numéros de téléphone et bien d'autres informations.
« La mère de toutes les fuites » : 26 milliards d'enregistrements exposés en ligne
Nous avions précédemment signalé que des chercheurs en sécurité avaient découvert des milliards d'enregistrements exposés en ligne, qualifiant cet incident de « mère de toutes les fuites de données ». Il s'avère désormais que cet ensemble de données provient d'une compilation de plusieurs fuites.
Attaque par ransomware contre Under Armour: près de 192 millions de dossiers clients ont fait leur apparition sur le dark web
En 2025, Under Armour a été victime d'une gigantesque cyberattaque par ransomware, au cours de laquelle le groupe Everest a affirmé avoir accédé à 343 Go de données internes et de données clients. Près de 192 millions d'enregistrements — comprenant des e-mails, des noms complets, des numéros de téléphone et des données de localisation — ont ensuite été divulgués en ligne après que les demandes de rançon n'ont pas été satisfaites.
LinkedInLes fuites de données de LinkedIn ont exposé les adresses e-mail et les mots de passe de la quasi-totalité de ses utilisateurs
Lors de la fuite de données de 2012, des cybercriminels ont dérobé les adresses e-mail et les mots de passe cryptés de 117 millions LinkedIn . Depuis, LinkedIn d'autres fuites de données. On estime que 700 millions d'enregistrements LinkedIn sont désormais exposés. Cela signifie que la quasi-totalité des utilisateurs LinkedInont été touchés.
Législation sur les fuites de données
Il semble qu'à chaque cycle d'actualité, nous apprenions l'existence d'une nouvelle violation de données. Les violations de données sont-elles de plus en plus fréquentes ou se passe-t-il quelque chose d'autre ? L'une des raisons possibles de l'augmentation des violations de données (ou du moins de l'apparence d'une augmentation) est la réglementation croissante concernant la manière dont nous communiquons sur les violations de données.
Depuis le début du millénaire, les gouvernements du monde entier ont adopté des lois obligeant les entreprises et les organisations à communiquer certaines informations après avoir subi une fuite de données, alors qu’auparavant, les parties concernées pouvaient garder cette information pour elles aussi longtemps qu’elles le souhaitaient.
Aux États-Unis, il n'existe pas de loi nationale régissant la divulgation des violations de données. Toutefois, en 2018, les 50 États américains ont tous adopté des lois sur les violations de données. Ces lois varient d'un État à l'autre, mais il existe des points communs. En particulier, toute organisation victime d'une violation de données doit prendre les mesures suivantes :
- Informez les personnes concernées par la violation de données de ce qui s'est passé dès que possible.
- Informer le gouvernement dès que possible, ce qui signifie généralement informer le procureur général de l'État.
- Payer une amende.
À titre d'exemple, la Californie a été le premier État à réglementer les divulgations de violation de données en 2003. Les personnes ou entreprises au centre d'une violation de données doivent notifier les personnes concernées « sans délai raisonnable » et « immédiatement après la découverte ». Les victimes peuvent poursuivre pour une indemnisation allant jusqu'à 750 $, tandis que le procureur général de l'État peut imposer des amendes allant jusqu'à 7 500 $ pour chaque victime.
Des lois similaires ont été adoptées au sein de l’Union européenne et dans toute la région Asie-Pacifique. Facebook la première grande entreprise technologique à avoir prétendument enfreint le Règlement général sur la protection des données (RGPD) de l’UE après avoir annoncé qu’un bug logiciel avait permis à des développeurs d’applications d’accéder sans autorisation aux photos de 6,8 millions d’utilisateurs. Facebook signalé cette violation qu’au bout de deux mois, soit environ 57 jours trop tard au regard du RGPD. En conséquence, l’entreprise pourrait devoir payer jusqu’à 1,6 milliard de dollars d’amendes.
Que faire si vos données sont exposées lors d'une violation de données ?
Même si vous n'avez jamais utilisé l'un des sites et services figurant sur notre liste des plus grandes violations de données, il existe des centaines de petites violations de données que nous n'avons pas mentionnées. Avant de passer à nos étapes pour répondre à une violation de données, vous pouvez visiter Have I Been Pwned et voir par vous-même. Tout ce que vous avez à faire est d'entrer votre adresse email dans la case de recherche « pwned ? » et de regarder avec horreur comment le site vous informe de toutes les violations de données dans lesquelles vous avez été pwned.
Il convient également de noter que vos données peuvent faire partie d'une violation dont le grand public n'est pas encore informé. Souvent, une violation de données ne sera découverte que des années plus tard.
D'une manière ou d'une autre, il y a de grandes chances que vos données aient été compromises et il est très probable qu'elles le soient à nouveau.
Maintenant que vous savez que vos données circulent quelque part sur le Dark Web, nous avons créé cette liste étape par étape de ce qu'il faut faire lorsque vos données sont volées.
- Effectuez gratuitement un bilan de votre empreinte numérique en indiquant simplement votre adresse e-mail.
- Réinitialisez votre mot de passe pour le compte compromis et tout autre compte partageant le même mot de passe. Vraiment, vous ne devriez pas réutiliser vos mots de passe sur différents sites. Utilisez notre générateur de mots de passe gratuit pour créer des mots de passe forts et uniques. Les gestionnaires de mots de passe ont l'avantage supplémentaire de vous alerter lorsque vous atterrissez sur un site de phishing. Bien que cette page de connexion pour Google ou Facebook puisse sembler réelle, votre gestionnaire de mots de passe ne reconnaîtra pas l'URL et ne remplira pas automatiquement votre nom d'utilisateur et votre mot de passe.
- Surveillez vos comptes de crédit. Recherchez toute activité suspecte. Rappelez-vous que vous obtenez un rapport de crédit gratuit, un de chacun des trois grands bureaux de crédit, chaque année sur annualcreditreport.com. C'est le seul site autorisé par la Commission fédérale du commerce des États-Unis pour obtenir des rapports de crédit gratuits.
- Envisagez un gel de crédit. Un gel de crédit rend plus difficile l'ouverture d'une ligne de crédit à votre nom en restreignant l'accès à votre rapport de crédit. Vous pouvez lever ou arrêter le gel à tout moment. Le seul inconvénient est que vous devez contacter chaque bureau de crédit individuellement pour instaurer ou lever un gel.
- Surveillez attentivement votre boîte de réception. Les cybercriminels opportunistes savent que des millions de victimes de toute violation de données attendent une sorte de communication concernant des comptes piratés. Ces escrocs profiteront de l'occasion pour envoyer des e-mails de phishing usurpés pour sembler provenir de ces comptes piratés afin de vous inciter à divulguer des informations personnelles. Lisez nos conseils sur la façon de repérer un e-mail de phishing.
- Pensez aux services de surveillance du crédit. Faut-il s’y inscrire ? Souvent, après une fuite de données, les entreprises et organisations concernées proposent aux victimes des services gratuits de surveillance contre l’usurpation d’identité. Il convient de noter que des services comme LifeLock et autres vous alerteront si quelqu’un ouvre une ligne de crédit à votre nom, mais ils ne peuvent pas empêcher le vol de vos données en amont. En résumé : si le service est gratuit, n’hésitez pas à vous inscrire. Sinon, réfléchissez-y à deux fois.
- Utilisez l'authentification multi-facteurs (MFA). L'authentification à deux facteurs est la forme la plus simple de MFA, ce qui signifie que vous avez besoin de votre mot de passe et d'une autre forme d'authentification pour prouver que vous êtes bien vous et non un cybercriminel tentant de pirater votre compte. Par exemple, un site web pourrait vous demander d'entrer vos identifiants de connexion et un code d'authentification distinct envoyé par texto sur votre téléphone.
Comment puis-je prévenir les fuites de données ?
Les amendes, les frais de remise en état, les frais juridiques, les poursuites judiciaires et même les rançons versées aux auteurs de ransomware à la suite d’une fuite de données représentent une somme considérable. L'étude Ponemon de 2018 sur le coût des fuites de données a révélé que le coût moyen d'une fuite de données s'élevait à environ 3,9 millions de dollars, soit une augmentation de 6,4 % par rapport à l'année précédente, tandis que le coût par enregistrement volé s'élevait à 148 dollars, soit une augmentation de 4,8 % par rapport à l'année précédente. Selon cette même étude, vous avez une chance sur quatre d'être victime d'une fuite de données.
N'est-ce pas logique d'être proactif en matière de sécurité des données et d'éviter une violation en premier lieu ? Si vous avez répondu oui, et nous espérons que vous l'avez fait, voici quelques bonnes pratiques pour aider à protéger votre entreprise et vos données.
Pratiquez la segmentation des données. Sur un réseau de données plat, les cybercriminels sont libres de se déplacer dans votre réseau et de voler chaque octet de données précieuses. En mettant en œuvre la segmentation des données, vous ralentissez les criminels, gagnant du temps supplémentaire pendant une attaque, et limitant les données compromises. La segmentation des données aide également avec notre prochain conseil.
Appliquez le principe du moindre privilège (PolP). PolP signifie que chaque compte utilisateur n'a que suffisamment d'accès pour faire son travail et rien de plus. Si un compte utilisateur est compromis, les cybercriminels n'auront pas accès à l'ensemble de votre réseau.
Investissez dans un logiciel de protection contre l'usurpation d'identité. Nous surveillerons l'exposition de votre identité et vous alerterons en cas de risque.
Installez une protection de cybersécurité réputée, telle que Malwarebytes Premium. Si vous avez le malheur de cliquer sur un lien malveillant ou d'ouvrir une pièce jointe douteuse, un bon programme de cybersécurité sera capable de détecter la menace, d'arrêter le téléchargement et d'empêcher les malwares de pénétrer votre réseau.