Le 20 octobre 2026, le CERT-FR a publié un retour d’expérience consacré aux violations de données applicatives. En 2025, il a traité 196 incidents d’exfiltration de données issues d’applications web, contre 130 en 2024. Le constat qui ouvre le document est sans ambiguïté : dans de nombreux cas, l’attaquant n’a eu besoin que d’actions de faible complexité, sans exploiter la moindre vulnérabilité technique. Le CERT-FR propose dix pistes de réduction des risques. Elles se prêtent bien à une revue conjointe entre DPO et DSI.
Ce que montrent les violations de données applicatives
Le rapport décrit des modes opératoires connus. Le plus fréquent consiste à se connecter avec un identifiant légitime : mot de passe réutilisé après une fuite précédente, obtenu par hameçonnage ou volé par un infostealer sur un ordinateur personnel. Viennent ensuite les erreurs de configuration qui exposent directement une base ou une sauvegarde, les failles applicatives, la menace interne et les comptes de prestataires. Un utilisateur authentifié qui interroge une API mal bornée peut ainsi extraire des données bien au-delà de son périmètre.
Aucun secteur n’est épargné. Le document cite des acteurs de la e-santé dont des données médicales ont été extraites par une API après compromission d’un compte, un laboratoire d’analyses touché via le compte d’un prestataire, des services publics dont les usagers avaient des postes infectés. Il relève aussi que les revendications publiées sur des forums peuvent être fausses ou recycler d’anciennes fuites, ce qui impose de qualifier les données avant de conclure.
Les dix pistes, traduites en contrôles
Gouverner les données
La première piste demande de recenser les données sensibles, de formaliser leurs flux et d’appliquer une politique de conservation qui supprime ce qui ne sert plus. Pour le DPO, le registre des traitements est le point de départ. Il faut vérifier que chaque application web y figure, que les durées de conservation sont réellement appliquées dans la base et que les données de production ne sont pas copiées telles quelles en recette ou en développement.
Réduire les droits
Moindre privilège, profils par métier, revue périodique des comptes, désactivation des comptes inactifs, interdiction des comptes partagés. Le contrôle : une extraction de la liste des comptes actifs, comparée à l’annuaire des agents et des prestataires présents.
Limiter l’exposition
Le CERT-FR distingue les applications internes, qui ne devraient être joignables que depuis le réseau de l’organisme ou un VPN, de celles ouvertes à des partenaires et de celles ouvertes au public. Demandez à la DSI dans quelle catégorie tombe chaque application du registre, et pourquoi un outil interne répond depuis internet.
Dépasser le couple identifiant et mot de passe
Authentification forte pour les utilisateurs internes, idéalement centralisée ; passkeys ou codes à usage unique pour le public ; réinitialisation de mot de passe sécurisée et tracée. Le rapport précise que les codes saisis à la main restent vulnérables à l’hameçonnage et ne constituent qu’une étape.
Tracer et conserver
Chaque action doit pouvoir être rattachée à un utilisateur et à une adresse réseau, succès comme échecs, avec une horloge synchronisée et une rétention d’au moins six mois dans un collecteur protégé. Cette piste a une portée directe en matière de RGPD : sans ces journaux, impossible de dire à la CNIL quelles personnes sont concernées.
Sécuriser l’hébergement
Aucune interface d’administration accessible depuis internet, correctifs appliqués à toute la pile logicielle, architecture en couches, postes d’administration dédiés. Pour un logiciel hébergé par un éditeur, ces exigences se vérifient par le contrat de l’article 28 et par l’audit.
Superviser et détecter
Le CERT-FR propose des règles concrètes : connexions géographiquement impossibles, énumération de comptes, réponses de taille anormale, connexions nocturnes, accès d’un compte à des dossiers hors de son rattachement. Le DPO peut aider à définir ce qui est anormal pour un métier donné, car la DSI ne le sait pas toujours.
Réagir automatiquement
Ralentir les tentatives d’authentification, bloquer temporairement une session jugée à risque avant même qu’un analyste ait qualifié l’alerte.
Vérifier les applications
Analyse de risque et audit avant la mise en production, puis à intervalles réguliers, avec un inventaire des composants logiciels tenu à jour. L’analyse de risque sécurité gagne à être menée en même temps que l’analyse d’impact prévue à l’article 35 du RGPD lorsque le traitement le justifie.
Homologuer
Pour les administrations, chaque application publique devrait faire l’objet d’une homologation conforme au RGS, avec une analyse de risque centrée sur la confidentialité. Les établissements de santé et les SPST qui proposent des téléservices ont des démarches comparables à conduire.
Organiser la revue entre DPO et DSI
Je propose d’en faire un exercice annuel, application par application, en partant du registre. Pour chaque ligne : exposition, mode d’authentification, durée de conservation effective des journaux, existence d’une supervision, date du dernier audit, contrat du sous-traitant. Les écarts alimentent un plan d’actions daté, porté à la connaissance de la direction. Ce document constitue aussi une preuve au titre du principe de responsabilité de l’article 5.2 du RGPD.
En cas de violation, l’article 33 impose de notifier la CNIL dans les 72 heures et de documenter l’incident. Les pistes du CERT-FR sur la traçabilité conditionnent la qualité de cette notification : nature des données, nombre de personnes, période concernée.
DPO FRANCE, réseau national de DPO indépendants, conduit ce type de revue avec les DSI des organismes qu’il accompagne. DPO SUITE, le logiciel de conformité du réseau, relie chaque application à ses traitements et à ses sous-traitants, suit le plan d’actions et conserve le registre des violations avec les preuves associées.
