Une fuite de données, c'est quoi concrètement ? CEJMA
Avant d'apprendre à se défendre, comprendre pourquoi la Cyber s'est important, voyons 2 fuites de données, et leurs conséquences bien réelles.
Notions théoriques
Voici 2 histoires vraies.
Cas 1 — Free, l'opérateur que vous connaissez peut-être déjà
En octobre 2024, l'opérateur télécom français Free (Freebox et Free Mobile) subit une cyberattaque : des pirates informatiques s'introduisent dans son système d'information et en extraient une base de données.
- Plus de 19 millions de clients sont concernés.
- Parmi les données volées, un peu plus de 5 millions d'IBAN (les coordonnées bancaires qui permettent les prélèvements automatiques).
- La base de données est mise en vente sur un marché clandestin pour environ 175 000 dollars.
Un IBAN volé ne permet pas de vider un compte en banque directement, mais il permet de monter des prélèvements frauduleux, ou de tenter une usurpation d'identité plus crédible en combinant ces données avec d'autres informations personnelles. Ce n'est jamais "juste un numéro".
En janvier 2025, un mineur de 17 ans est mis en examen dans cette affaire : il est notamment soupçonné d'avoir réclamé une rançon de 10 millions d'euros en échange du silence sur le vol.
En janvier 2026, la CNIL (l'autorité française qui protège les données personnelles) sanctionne Free : 15 millions d'euros d'amende pour Free, 26 millions d'euros pour Free Mobile. Les motifs retenus sont précis :
- un manque de robustesse des dispositifs d'authentification (comment Free vérifiait l'identité de ses clients) ;
- une conservation excessive des données des anciens clients (des données gardées bien plus longtemps que nécessaire).
Retenez ces deux motifs : vous les retrouverez concrètement cette année. La robustesse de l'authentification (mots de passe, sessions, comptes) et la juste conservation des données sont deux fils conducteurs de tout le programme de cybersécurité.
Cas 2 — Yahoo, la plus grande fuite de données de l'histoire
Entre 2013 et 2014, l'entreprise américaine Yahoo (messagerie, portail Web) est victime de 2 piratages massifs.
- Le piratage de 2013 touche l'intégralité des comptes Yahoo existants : environ 3 milliards de comptes.
- Celui de 2014 touche plus de 500 millions de comptes supplémentaires.
- Les données volées incluent noms, adresses email, numéros de téléphone, dates de naissance, et les réponses aux questions de sécurité utilisées pour récupérer un compte oublié.
Le plus marquant n'est pas le piratage en lui-même : c'est ce qui se passe après.
Yahoo a connaissance du piratage de 2014 dès 2014, mais ne le révèle publiquement qu'en septembre 2016. Le piratage de 2013 n'est révélé qu'en décembre 2016, d'abord présenté comme touchant un milliard de comptes... avant d'être revu à la hausse en 2017, pour atteindre les 3 milliards de comptes réellement touchés.
Ce n'est pas le piratage que la justice américaine a le plus sanctionné : c'est le silence. La SEC (le régulateur boursier américain) a infligé à Yahoo une amende de 35 millions de dollars, spécifiquement pour avoir caché l'incident aux investisseurs pendant deux ans. Cacher une fuite de données aggrave la situation, il ne l'efface jamais.
Les conséquences se sont chiffrées à plusieurs niveaux :
- 117,5 millions de dollars versés pour régler une action collective (class action) des utilisateurs concernés ;
- le prix de rachat de Yahoo par l'opérateur Verizon a été réduit de 350 millions de dollars à cause de ces révélations ;
- un pirate impliqué, Karim Baratov, a été condamné à 5 ans de prison.
Ce que ces deux cas ont en commun
| Free (France) | Yahoo (États-Unis) | |
|---|---|---|
| Quand | Octobre 2024 | 2013-2014 (révélé en 2016-2017) |
| Personnes concernées | Plus de 19 millions | 3 milliards (tous les comptes) |
| Donnée la plus sensible | IBAN (5 millions) | Identifiants, questions de sécurité |
| Sanction financière | 15 M€ + 26 M€ (CNIL, 2026) | 35 M$ (SEC) + 117,5 M$ (class action) |
| Autre conséquence notable | Un mineur de 17 ans mis en examen | Prix de vente à Verizon réduit de 350 M$ |
Une fuite de données n'est jamais un simple problème technique isolé. Elle a toujours, en même temps :
- une cause technique (une authentification trop faible, des données gardées trop longtemps, une faille non corrigée) ;
- un coût humain (des personnes réelles exposées à la fraude, au vol d'identité, à la perte de confidentialité) ;
- des conséquences financières et légales pour l'organisation (amendes, procès, perte de valeur) ;
- parfois, un volet pénal (un attaquant poursuivi, voire condamné).
Ces quatre dimensions ont un nom dans le métier : on cherche à garantir la disponibilité, l'intégrité et la confidentialité des données et des services, ainsi que la possibilité d'apporter la preuve de ce qui s'est passé. Vous entendrez ces quatre mots très souvent cette année : retenez-les dès maintenant, vous apprendrez à les mettre en pratique au fil des séances.
Pourquoi Free et Yahoo n'ont pas été protégés face à ces fuites de données ?
Free et Yahoo ne sont pas tombés à cause d'un manque de théorie : ce sont des choix techniques précis, concrets, qui ont manqué (une authentification pas assez robuste, une donnée gardée trop longtemps, une alerte ignorée).
Test de mémorisation/compréhension
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à enquêter vous-même sur une fuite de données, exactement comme on vient de le faire ensemble pour Free et Yahoo
Étape 1 — Choisir une fuite de données à étudier
Choisissez, parmi les fuites de données parmi les plus documentées, celle qui vous intéresse le plus (n'en choisissez pas deux pour aujourd'hui) :
- Equifax (2017, États-Unis)
- LinkedIn (2021)
- Uber (piratage de 2016, caché pendant plus d'un an)
- Marriott / Starwood (2018)
- Viamedis-Almerys (2024, France, données de santé)
- France Travail (anciennement Pôle emploi, 2024)
Étape 2 — Rechercher les faits, à partir de sources fiables
Pour l'organisation choisie, recherchez (sur le site de la CNIL, dans un article de presse reconnu, ou sur une encyclopédie en ligne) :
- la date de la fuite, et la date à laquelle elle a été révélée publiquement (sont-elles identiques ?) ;
- le nombre approximatif de personnes concernées ;
- le type de données volées ;
- les conséquences connues (financières, légales, humaines).
📌 Réponse attendue
Étape 3 — Rédiger une mini fiche d'incident
Rédigez une fiche courte (une dizaine de lignes), en reprenant ce gabarit :
Organisation : ...
Date de la fuite : ...
Date de révélation publique : ...
Personnes concernées (nombre approximatif) : ...
Données volées : ...
Conséquences connues : ...
Leçon à en tirer pour un futur professionnel de l'informatique : ...
Une fiche d'incident sans source n'a aucune valeur professionnelle : indiquez toujours d'où viennent vos chiffres (nom du site, date de consultation). Vous reprendrez cette exigence toute l'année, jusqu'au rapport d'audit final de fin d'année.
📌 Une solution
Restitution orale
Un étudiant (ou un binôme) vient présenter sa fiche d'incident devant la classe.
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un volontaire, sinon un tirage au sort.
- Support : la fiche d'incident réalisée pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- rappeler quelle organisation a été choisie, et pourquoi ;
- présenter les faits trouvés (date, personnes concernées, données volées, conséquences) ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.
Bonnes pratiques
- Toujours citer ses sources lors d'une enquête ou d'une analyse d'incident (nom du site, date de consultation).
- Une authentification robuste (mots de passe, sessions, comptes) reste l'une des toutes premières défenses contre une fuite de données.
- Une durée de conservation précise et limitée pour chaque donnée, jamais une conservation « au cas où ».
- Ne jamais cacher un incident : le silence (comme chez Yahoo) aggrave toujours la situation, il ne l'efface jamais.
- Anticiper les 4 dimensions d'un incident : disponibilité, intégrité, confidentialité, et la possibilité d'apporter la preuve de ce qui s'est passé.