Un accès VPN en vente, un cookie toujours valide, un IBAN qui circule… Tout s’enchaîne avant que vos outils n’alertent. L’objectif n’est pas seulement de bloquer ; c’est d’anticiper ce que chaque donnée permet aux attaquants de faire — et ce que la loi vous impose de faire ensuite.
Nous avons cartographié ce que chaque type de donnée permet réellement aux attaquants — et ce que cela vous coûte, opérationnellement et au regard du droit européen.
La risk table ci-dessous se lit en un coup d’œil : à gauche, le type de donnée ; au centre, l’usage concret par l’attaquant ; à droite, le niveau de gravité (🟡/🟠/🔴) et le référentiel UE pertinent (RGPD, NIS2, DORA, PSD2, eIDAS, Secret des affaires – Dir. 2016/943). Servez-vous-en pour prioriser vos actions, préparer vos notifications (RGPD 72 h, NIS2/DORA 24/72 h) et couper en premier tout ce qui donne un accès direct (tokens, sessions, clés).
🟡 modéré - 🟠 élevé - 🔴 critique
|
Données
|
Ce que ça permet concrètement
|
Sévérité
|
Cadre de l'UE
|
|---|---|---|---|
|
Nom, prénom
|
Spear-phishing crédible, usurpation d'identité basique
|
🟡
|
GDPR (Art.32 sécurité, notification ≤72h)
|
|
Date et lieu de naissance
|
Contourner les contrôles d'identité insuffisants
|
🟠
|
RGPD
|
|
Adresse postale
|
Fraude à la livraison/facturation, doxxing
|
🟠
|
RGPD
|
|
Mél
|
Phishing, réinitialisation, BEC
|
🟠
|
RGPD
|
|
Téléphone
|
Smishing/vishing, SIM-swap (SMS 2FA)
|
🟠
|
RGPD
|
|
IP / empreinte digitale de l'appareil
|
Ciblage géographique, suivi
|
🟡
|
GDPR + ePrivacy
|
|
IBAN/BIC
|
Fraude aux coordonnées bancaires, débits SEPA
|
🟠
|
GDPR ; PSD2/DORA/NIS2 si dans le champ d'application
|
|
Données de la carte (PAN+exp+CVV)
|
Achats CNP, revente
|
🔴
|
GDPR ; PCI DSS ; PSD2 (pour les PSP)
|
|
Déclarations/transactions
|
Profilage, extorsion sur mesure
|
🔴
|
GDPR ; PSD2/DORA/NIS2
|
|
Carte d'identité nationale / SSN
|
Usurpation totale d'identité (KYC/prestations)
|
🔴
|
GDPR Art.9 (spécial), DPIA
|
|
Carte d'identité / passeport / permis
|
Lignes ouvertes/contrats
|
🔴
|
RGPD
|
|
Mot de passe (en clair)
|
Reprise de compte, empaillage
|
🔴
|
GDPR ; NIS2 (mesures techniques)
|
|
Mot de passe (hachage faible)
|
Fissuration probable
|
🟠
|
RGPD
|
|
Jetons OAuth / cookies de session
|
Détournement de session, persistance
|
🔴
|
GDPR ; NIS2
|
|
Clés API / SSH
|
Accès API/infra, mouvement latéral
|
🔴
|
NIS2
|
|
Semences TOTP / codes de sauvegarde
|
Neutraliser l'AMF
|
🔴
|
NIS2 / GDPR (si personnel)
|
|
Clés de signature / certificats
|
Chaîne d'approvisionnement, logiciels malveillants signés
|
🔴
|
eIDAS (services fiduciaires), avis d'incident
|
|
Phrase de semence de crypto-monnaie
|
Vol irréversible d'actifs
|
🔴
|
GDPR si les données personnelles
|
|
Photos/vidéos (EXIF)
|
Deepfakes, doxxing (temps/lieu)
|
🟠
|
RGPD
|
|
Biométrie (visage/voix/iris)
|
Contournement biométrique, non révocable
|
🔴
|
GDPR Art.9
|
|
Traces GPS / routines
|
Harcèlement, risque physique
|
🟠
|
RGPD
|
|
Identifiants publicitaires / cookies
|
Ré-identification, ciblage fin
|
🟡
|
GDPR + ePrivacy
|
|
Comptes/graphiques sociaux
|
Usurpation d'identité, atteintes à la réputation
|
🟠
|
RGPD
|
|
Finances / budgets
|
Extorsion, manipulation du marché
|
🔴
|
GDPR si personnel ; NIS2/DORA
|
|
CRM (clients/fournisseurs)
|
Spear-phishing, fraude aux coordonnées bancaires
|
🟠
|
GDPR ; NIS2 (chaîne d'approvisionnement)
|
|
Soumissions / appels d'offres
|
Sabotage, truquage des offres
|
🟠
|
Secrets commerciaux ; NIS2
|
|
Feuilles de route / tarification
|
Perte de compétitivité, escroqueries ciblées
|
🟠
|
Secrets de fabrication
|
|
Secrets commerciaux / algorithmes
|
Perte de compétitivité durable
|
🔴
|
Secrets de fabrication
|
|
Brevets (non publiés)
|
Perte de nouveauté, appropriation
|
🔴
|
Secrets de fabrication
|
|
Code source
|
Portes dérobées, secrets codés en dur
|
🔴
|
NIS2 ; secrets d'affaires
|
|
Documents d'architecture / inventaires des nuages
|
Mouvement latéral plus rapide
|
🔴
|
NIS2
|
Multiplicateurs (où le risque explose)
Une fuite isolée, c’est un pépin. Deux fuites combinées, c’est un passe-partout. Un e-mail + un numéro de téléphone déclenchent des resets, puis un SIM-swap et la 2FA tombe. Un IBAN posé sur une facture volée ouvre la voie à la fraude au RIB chez vos clients. Le pire n’est pas la donnée A ou B, c’est A+B au bon timing. Neutralisez en priorité les combos ci-dessous.
Email + téléphone + adresse → réinitialisation + SIM-swap → ATO complet.
IBAN + factures → fraude au détail bancaire contre vos clients.
Jeton OAuth + SMS MFA → persistance malgré les changements de mot de passe.
Code source + clé de signature → une chaîne d'approvisionnement crédible et dévastatrice.
Contrôle de la réalité (pas de jargon)
Pas de théorie : minute par minute, comment un attaquant capitalise sur une fuite réelle. D’un cookie OAuth encore valide à des applications OAuth persistantes, de règles de messagerie invisibles à un VPS relais, vous verrez les gestes exacts qui transforment un incident discret en crise majeure — afin de déceler le schéma avant qu’il ne s’installe.
Identité et contacts: Le SSN et la numérisation de la carte d'identité passent le "niveau 2" du KYC ; fuite du téléphone → SIM-swap → SMS 2FA détourné → réinitialisation en cascade.
Finance: IBAN + facture volée = changement de coordonnées bancaires à vos clients ; PAN/CVV = CNP en quelques minutes.
Accédez: a cookie OAuth valide reconstruit des points d'appui (applications OAuth, règles de messagerie) et survit aux réinitialisations.
Entreprise: fuite de CRM → faux courriels bancaires "urgents" ; code + secrets → porte dérobée propre ; feuilles de route/prix → prix inférieurs à ceux des concurrents.
Images/biométrie: EXIF fuites temps/lieu ; voix deepfake débloque un transfert ; biométrie ne peut être révoqué.
Playbooks opérationnels
Mode incident : on arrête l’hémorragie. Les gains de temps sont ici : révoquez d’abord (sessions/tokens/clés), coupez les points d’appui (apps OAuth malveillantes, règles de messagerie, code anti-port-out chez l’opérateur), confirmez hors bande tout changement de coordonnées bancaires, rétablissez l’observabilité (journaux M365/IdP/cloud) et faites tourner les secrets proprement. Des gestes simples, immédiatement actionnables.
Révoquer d'abord: sessions/tokens/keys ; déconnexion globale; tourner mots de passe/clés ; appliquer FIDO2.
Tuer les points d'appuiLes applications OAuth, les règles de messagerie et les redirections : supprimez les applications OAuth malveillantes, les règles de messagerie et les redirections ; le transporteur port-out PIN (anti SIM-swap).
Fraude au paiementLe numéro d'identification de la personne : la carte de bloc/IBAN ; hors bande confirmer tout changement de coordonnées bancaires.
Rendez-le observable: M365/IdP/cloud/API logs (voyage impossible, nouvel appareil).
Inventaire en direct: asset/ML-SBOM (modèles, clés, ensembles de données, référentiels) afin que vous sachiez ce que pour tourner.
Regardez en amontla surveillance du dark-web (informations d'identification, accès VPN/RDP/M365 à vendre) pour détecter avant le SIEM.
Partager :
Gestion de la surface d'attaque externe
Anticipez les attaques. Découvrez ce que les cybercriminels savent déjà sur vous.
des violations de données réussies débutent sur des actifs exposés sur Internet.
