En quelques semaines, des dizaines de millions de personnes ont été touchées : patients, clients, employés, réfugiés politiques, voyageurs, familles de détenus. Derrière chaque chiffre se cachent des vies déstabilisées : des patients exposés au vol d'identité, des familles menacées par des réseaux criminels, des clients de luxe ciblés pour leur pouvoir d'achat, des réfugiés mis en danger par la divulgation d'informations vitales. Ces incidents ne sont pas isolés, ils reflètent une tendance plus large : une industrialisation mondiale des attaques, alimentée par la monétisation des données sur les places de marché criminelles et amplifiée par les dynamiques géopolitiques. La France, particulièrement touchée ces derniers mois, illustre cette situation.

C'est précisément l'objectif de ce numéro : se concentrer sur les dernières grandes fuites de données, analyser les tactiques utilisées, évaluer les impacts concrets et tirer des leçons professionnelles.

Administration publique : La vulnérabilité récurrente des services nationaux

France Travail

📅 Juillet 2025

Une fuite de l'application Kairos a révélé des informations sur 340 000 demandeurs d'emploi. Les données personnelles - noms, adresses, courriels, numéros de téléphone et identifiants France Travail - ont été exfiltrées via un portail partenaire. Cet incident intervient un an après une faille massive touchant 43 millions de personnes, confirmant la fragilité persistante du système.

Données exposées : les données d'identification et de contact (un profil socioprofessionnel très vulnérable au risque d'ingénierie sociale).

A retenir : les organismes publics doivent renforcer la sécurité des applications de leurs partenaires. Chaque point d'accès externe est une faiblesse potentielle dans un système national critique.

Un an plus tôt, 43 millions de demandeurs d'emploi s'étaient déjà fait voler leurs données : noms, adresses, numéros de téléphone, numéros de sécurité sociale. Les attaquants ne sont même pas entrés par effraction : ils se sont fait passer pour des employés de Cap Emploi, un partenaire de France Travail, et ont obtenu un mot de passe par un simple appel à l'assistance interne.

Le scénario avait été explicitement identifié en 2022 dans une analyse de risque recommandant l'authentification à deux facteurs. En n'agissant pas à temps, l'organisation a laissé entrer les loups dans la bergerie.

Ce n'était pas non plus le premier avertissement. 1,5 million d'identités exposées en 2021, 10 millions vendues en 2023... En trois ans, France Travail a divulgué l'équivalent de plus de la moitié de la population française. Cette série ne met plus en évidence une simple vulnérabilité technique, mais une défaillance systémique de la gouvernance et de la responsabilité.

D'autres administrations publiques et entreprises publiques à l'étranger ont subi des violations importantes. Au Canada, la Chambre des communes a vu ses systèmes compromis par une faille de Microsoft, exposant les données internes du personnel. Dans les prisons américaines, l'établissement pénitentiaire Everglades a fourni par inadvertance à des détenus dangereux les coordonnées de tous les visiteurs, transformant une simple erreur interne en une menace physique directe pour des centaines de familles. Au Royaume-Uni, le ministère de la défense a encore échoué : après 20 000 victimes du programme ARAP afghan en 2023, une deuxième fuite en 2025 a touché 3 700 ressortissants, confirmant la faiblesse chronique de la gestion par des tiers.

Santé : Un secteur de première ligne confronté à une exfiltration massive

Hôpital privé de la Loire

📅 juin-août 2025

Un pirate informatique français utilisant le pseudonyme Marak a exploité une vulnérabilité dans une application interne mal sécurisée et des identifiants volés pour pénétrer dans le système de gestion de l'Hôpital privé de la Loire à Saint-Étienne. L'attaque a conduit au vol de 530 000 dossiers de patients et de 45 000 documents d'identité - l'une des plus importantes fuites médicales enregistrées en France.

Données exposées : noms et prénoms, dates de naissance, adresses complètes, numéros de téléphone (mobile, fixe, professionnel), informations sur les assurances, documents administratifs, cartes d'identité, permis de séjour, passeports, résumés de consultations médicales et étiquettes d'identification des patients. Les données médicales détaillées (rapports, résultats, prescriptions) et les coordonnées bancaires n'ont pas été compromises.

A retenir : La compromission des informations d'identification reste le point d'entrée le plus critique. Une application interne mal sécurisée combinée à un compte médical compromis peut suffire à exposer un demi-million de patients. La protection des accès (MFA, segmentation, surveillance) doit devenir une priorité absolue dans le secteur hospitalier.

À l'étranger, les chiffres sont vertigineux : Le Western Montana Mental Health Center a exposé 87 000 patients, Highlands Oncology 113 500 et McKenzie Memorial Hospital plus de 54 000 dossiers. Même un cabinet dentaire - ou une erreur d'envoi postal comme dans le cas de Michigan Medicine - a suffi à exposer des milliers de personnes. Les soins de santé restent l'un des secteurs les plus ciblés, où chaque violation devient une bombe sociale à retardement.

Télécommunications : Les opérateurs ciblés pour les bases de clients monétisables

Bouygues Telecom

📅 Août 2025

Le 4 août, l'opérateur a détecté une cyberattaque qui a exposé les données de 6,4 millions de clients, soit près d'un quart de sa base. Les informations compromises comprennent les données personnelles et contractuelles, les coordonnées, l'état civil ou les informations sur la société pour les clients professionnels, ainsi que les numéros IBAN. Bouygues précise que les mots de passe et les numéros de cartes n'ont pas été touchés. Les clients concernés sont avertis individuellement. Cet incident s'inscrit dans une série de fuites touchant les opérateurs français (Free, SFR, Coriolis, Corsica Telecom), révélant l'industrialisation de la revente de bases de données clients sur le dark web.

Données exposées : informations personnelles et contractuelles, coordonnées, état civil/informations sur l'entreprise, IBAN (données bancaires partielles).

A retenir : Les opérateurs de télécommunications sont devenus une cible industrielle pour la cybercriminalité. La protection des données contractuelles et des données bancaires partielles (comme les IBAN) est stratégique, car elles alimentent les fraudes sophistiquées par usurpation d'identité et l'hameçonnage ciblé.

Au Royaume-Uni, Colt Telecom a subi une attaque de ransomware paralysante, avec un million de documents internes mis en vente pour $200 000. La répétition de tels cas confirme que les télécoms ne sont plus ciblées uniquement pour l'espionnage mais pour leur valeur brute : des dizaines de millions de documents contractuels monnayables sur des forums clandestins.

Luxe : l'ingénierie sociale, talon d'Achille des marques

Chanel

📅 Juillet 2025 (divulgué en août 2025)

Une attaque a exploité un fournisseur de CRM basé sur Salesforce, ciblant une base de données liée au service clientèle nord-américain. Les données compromises concernent les contacts clients (identité et coordonnées), sans impact sur les informations financières. L'attaque n'était pas technique mais reposait sur une ingénierie sociale sophistiquée pour contourner les protections de la plateforme et obtenir un accès par manipulation humaine. Chanel a réagi discrètement, mais l'incident illustre la vulnérabilité des écosystèmes numériques périphériques dans le secteur du luxe.

Données exposées : noms, adresses électroniques, coordonnées postales, numéros de téléphone (données relatives aux clients).

A retenir : Les attaques d'ingénierie sociale contre les fournisseurs d'informatique en nuage montrent que la résilience n'est pas qu'une question de technologie. Dans le secteur du luxe, la confiance des clients est un atout stratégique : la compromettre, même partiellement, affaiblit la marque et alimente des campagnes de manipulation ou d'extorsion ciblées.

Quelques semaines plus tôt, Louis Vuitton Hong Kong a vu 419 000 clients touchés, après d'autres violations en Corée et au Royaume-Uni. Les groupes de luxe sont désormais pris dans une campagne coordonnée où les bases de données de clients privilégiés sont exploitées pour des escroqueries ciblées très rentables.

Tourisme : Les systèmes de réservation sont affaiblis en haute saison

Center Parcs

📅 Juin 2025

Une cyberattaque a visé la chaîne de villages de vacances Center Parcs, compromettant les données d'environ 20 000 clients européens. L'intrusion a touché le système de réservation par téléphone, qui a été suspendu le 6 juin, deux jours après sa détection.

Données exposées : les noms et prénoms, les adresses électroniques, les numéros de téléphone, ainsi que les détails de la réservation (dates et lieux de séjour). Les coordonnées bancaires, les adresses postales et les mots de passe n'ont pas été touchés.

A retenir : même des données "limitées" peuvent alimenter des campagnes d'hameçonnage très convaincantes. Les systèmes de réservation, particulièrement sensibles en haute saison, doivent être sécurisés selon les mêmes normes que les systèmes financiers.

Transport : Les plates-formes d'assistance à la clientèle deviennent des points d'entrée

Air France-KLM

📅 Août 2025

La compromission d'une plateforme de service à la clientèle a permis à des pirates d'accéder aux données personnelles des passagers. Les systèmes centraux des compagnies aériennes n'ont pas été touchés et aucune donnée sensible telle que les passeports, les mots de passe ou les cartes de paiement n'a été compromise. Les informations volées comprennent principalement l'identité et les coordonnées des voyageurs, les programmes de fidélité et les transactions récentes. Le cas a été signalé à la CNIL et à l'autorité néerlandaise de protection des données. Le groupe ShinyHunters, déjà actif dans des campagnes visant Salesforce, est suspecté.

Données exposées : noms, adresses électroniques, numéros de téléphone, informations sur la fidélité, détails des transactions.

A retenir : Les plateformes de relation client SaaS sont des cibles de choix. Tout accès non contrôlé ouvre la porte à l'hameçonnage de masse et à l'abus des programmes de fidélisation.

La fuite d'Air France-KLM met en évidence la dépendance croissante des compagnies aériennes à l'égard des sous-traitants numériques, un maillon faible qui est devenu une cible privilégiée. Le phénomène touche également les acteurs mondiaux : en Australie, Qantas Airways a vu les données de 6 millions de passagers exposées après la compromission d'une plateforme de centre d'appel tierce. Le groupe Scattered Spider, déjà connu pour ses attaques contre l'aviation, est soupçonné d'être à l'origine de cette opération.

Défense : Quand la cybersécurité rencontre la guerre de l'information

Groupe naval

📅 Juillet 2025

Un acteur inconnu (Neferpitou) a affirmé détenir 1 To de données sensibles, dont il a brièvement publié des extraits avant que les liens ne soient supprimés. Les fichiers concernaient des frégates et des sous-marins, y compris des documents internes, des captures d'écran techniques et une partie du code source du système d'armement STORM. Naval Group et l'ANSSI n'ont détecté aucune intrusion et ont qualifié l'affaire d'atteinte à la réputation.

Données exposées : des documents internes relatifs aux frégates FDI et FREMM et aux sous-marins SSN/SSBN ; une partie du code source de STORM confirmée par Naval Group ; des vidéos de systèmes plus anciens (2003) ; des captures d'écran et des guides techniques ; des contenus non classés "secret-défense" mais relevant de la sécurité industrielle ; un ensemble hétérogène et partiellement exploitable dans l'ensemble.

A retenir : l'affaire Naval Group n'est probablement pas une cyberattaque massive mais une opération sophistiquée de réputation. Elle illustre la convergence de la cybersécurité, de la veille concurrentielle, de la guerre de l'information et des marchés financiers. La fuite a coïncidé avec la publication des résultats financiers, entraînant une chute de 3,4% du cours de l'action Thales. La leçon pour les professionnels est claire : la défense ne s'arrête pas aux pare-feux - elle inclut la gestion narrative, la surveillance des concurrents et la capacité à protéger l'image de marque dans des contextes stratégiques.

L'affaire française fait écho à d'autres violations critiques. Au Royaume-Uni, le ministère de la défense a révélé une deuxième fuite affectant 3 700 réfugiés afghans, après un premier incident qui avait déjà exposé 20 000 personnes. Au Canada, le Parlement a été victime d'une compromission liée à Microsoft, mettant en péril l'infrastructure interne. Aux États-Unis, l'établissement correctionnel d'Everglades a même communiqué par erreur les coordonnées de visiteurs à des détenus, transformant une fuite en menace physique. Les sphères publique et militaire illustrent la dimension systémique des cyberattaques : ce ne sont pas seulement des données qui sont en jeu, mais des vies et des équilibres stratégiques.

📍 Principaux enseignements

Des fuites récentes confirment trois dynamiques majeures :

• La chaîne d'approvisionnement SaaS/tiers comme principal vecteur d'accès (Salesforce, portails de partenaires, systèmes de réservation/centre d'appels).

• Vol massif de données hautement monétisables (PII, PHI, identifiants officiels, préférences des clients, programmes de fidélité), avec ou sans chiffrement, marquant un tournant du ransomware pur vers l'extorsion centrée sur les données (RansomHub, Medusa, WarLock) et l'ingénierie sociale avancée (ShinyHunters, Scattered Spider-style).

• Explosion du risque de "tiers critique dans les secteurs des soins de santé, du secteur public, du luxe/de la vente au détail, de l'aviation et des télécommunications, où les systèmes "périphériques" (helpdesk, CRM, IRB/procédures, courrier) s'avèrent aussi sensibles que les systèmes centraux de l'entreprise.

La chronologie des incidents révèle un schéma clair. Les points d'entrée les plus exploités ne sont plus des pare-feux mal configurés, mais des tiers critiques et SaaS. Salesforce, les portails de partenaires, les centres d'appel et les systèmes de réservation sont devenus des éléments essentiels de la gestion des ressources humaines. autoroutes à accès initial (T1195).

Ingénierie sociale gagne du terrain : Les campagnes contre Allianz Life, Chanel et le secteur de l'aviation nous rappellent que le lien humain dans les services d'assistance reste la faiblesse la plus exploitable (T1566).

Prochaine venue vulnérabilités des logicielsLes failles de sécurité sont toujours une arme redoutable dans l'arsenal des attaquants. Qu'il s'agisse d'applications de collaboration, de serveurs de messagerie ou de solutions en nuage, les failles publiées et les "zero-days" sont exploités sans délai. Les campagnes récentes, par exemple, ont utilisé failles critiques dans SharePoint (RCE CVE-2025-53770 : exploité en tant que zero-day par WarLock [Colt]) et Échange (CVE-2025-53786 : mouvement latéral et persistance hybride) pour gagner en persistance et se déplacer latéralement.

A côté de cela, vol d'informations d'identification (T1078) suffisent parfois à tout faire basculer. À Saint-Étienne, un seul compte interne mal sécurisé a exposé plus d'un demi-million de patients (Hôpital privé de la Loire).

Ces cas confirment une Centré sur le SaaS, orienté vers les données et très "humain" la menace (SE, soutien, sous-traitants). Une CERT doit s'équiper pour détection des exportations de masse, surveillance de l'accès des tiers, post-CVE chasse aux menaces Microsoft, et scénarios pour les "fournisseurs compromis".-à côté capacités d'influence défensives pour contrer le risque de réputation.

Note

Le traitement de données obtenues à la suite de fuites vous expose à des sanctions pénales sévères :

• Détention illégale de données à caractère personnel (jusqu'à 5 ans d'emprisonnement - Art. 226-18 du Code pénal français)

• Accès non autorisé à un système de traitement automatisé de données (STAD) - Les articles 323-1 à 323-3 du code pénal français. 323-1 à 323-3 du code pénal français

• Violation du secret professionnel, du secret de la correspondance ou du secret de la défense nationale

• Violation de codes de propriété ou de bases de données protégées (Directive 96/9/CE)

L'ignorance de la loi n'est pas une excuse. Stocker, analyser ou redistribuer des données issues d'une fuite sans base légale explicite (autorisation, intérêt légitime, mandat d'enquête autorisé, etc.) vous expose, ainsi que votre employeur, à des risques pénaux et contractuels majeurs.

🔎 Conseils pratiques : si vous accédez à une fuite dans le cadre d'un audit ou d'une surveillance OSINT, documentez l'objectif, limitez la conservation, cryptez l'accès et consultez votre DPD ou votre conseiller juridique avant de prendre toute mesure.