Le 20 octobre 2026, le centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR)[1] a publié un rapport présentant les enseignements tirés des violations de données affectant des applications web qu’il a suivies en 2025. Dans ce rapport, l’expérience du CERT-FR l’amène à proposer une série de mesures qui visent à radicalement réduire les risques de violation de données personnelles depuis les applications et en particulier les risques de divulgations massives.
1. Près de 200 violations de données issues d’applications web suivies par le CERT-FR en 2025
Le premier enseignement du rapport tient à l’ampleur du phénomène. En 2025, le CERT-FR a été informé de 196 incidents relatifs à des exfiltrations de données dans des applications web, contre 130 en 2024. Surtout, il ne constate pas de ciblage sectoriel particulier : tout type d’organisation est susceptible d’être concerné.
Les incidents analysés montrent par ailleurs que les exfiltrations de données ne résultent pas nécessairement de l’exploitation d’une vulnérabilité technique complexe. Dans de nombreux cas, des actions de faible niveau de complexité suffisent. La compromission d’un compte utilisateur peut ainsi permettre à l’attaquant d’accéder à des volumes importants d’informations lorsque les droits associés à ce compte sont insuffisamment limités.
Le rapport dévoile des cas réels anonymisés afin de sensibiliser les acteurs. Il rapporte notamment le cas, en mai 2025, d’un service de e-santé dont une partie des données personnelles et médicales a pu être extraite après la compromission d’un compte utilisateur qui avait permis à l’attaquant d’avoir accès à une API interrogeant la base de données de l’entité. Dans un autre incident, un attaquant a pu, depuis un compte compromis, utiliser une API insuffisamment restrictive pour accéder à des données auxquelles l’utilisateur n’aurait normalement pas dû avoir accès.
Le rapport pointe également le rôle important joué dans les incidents observés par les infostealers, logiciels malveillants conçus notamment pour collecter des identifiants ou des cookies de session sur un poste compromis. Le CERT-FR cite, par exemple, plusieurs entreprises du secteur agroalimentaire victimes de violations de données en février 2025 après l’installation d’un logiciel malveillant sur les postes de salariés.
Enfin, le CERT-FR rappelle que la sécurité d’une application web dépend également de celle de ses prestataires : la compromission d’un compte ou d’un système appartenant à un prestataire peut constituer un point d’entrée permettant l’exfiltration de données. Il cite notamment le cas de résultats d’analyses médicales d’un laboratoire rendus accessibles après la compromission du compte d’un prestataire chargé d’une application de visualisation des examens médicaux.
2. Au-delà de la violation de données : le risque d’utilisation frauduleuse des données exfiltrées
Le CERT-FR insiste sur le fait que le risque ne se limite pas à la réalisation d’une fuite de données. Il distingue notamment deux types d’impacts : d’une part, la divulgation de « données unitaires à fort enjeu », telles que des informations bancaires ou de santé, dont la révélation peut directement causer un préjudice important et, d’autre part, les violations massives de données personnelles, susceptibles de concerner un grand nombre de personnes et d’alimenter des campagnes de fraude reposant sur des informations précises et personnalisées. Les informations compromises peuvent en outre être croisées avec d’autres données, commercialisées sur des marchés cybercriminels, exploitées à des fins de fraude ou encore diffusées gratuitement dans le cadre d’opérations de déstabilisation.
Par conséquent, la portée d’une violation de données doit aussi être appréciée au regard de la possibilité de réutilisation ultérieure des données exfiltrées et de la gravité de l’impact et de conséquences que cette réutilisation peut avoir pour les personnes concernées.
3. Quatre principaux scénarios de compromission à anticiper selon le CERT-FR
À partir des incidents analysés, le CERT-FR identifie quatre scénarios devant être pris en considération pour les applications web manipulant des données personnelles ou sensibles :
- l’usurpation d’identifiants, notamment à partir d’informations divulguées, d’attaques d’ingénierie sociale ou d’infostealers ;
- l’accès direct aux données, lorsqu’une erreur de configuration expose des accès aux services ou aux données sans passer par l’application ;
- l’utilisation malveillante d’un accès interne légitime, y compris lorsqu’un ancien utilisateur conserve un compte qui n’a pas été révoqué ;
- l’exploitation d’une vulnérabilité applicative, permettant à l’attaquant de contourner les mesures de sécurité ou, dans certains cas, de compromettre directement le serveur hébergeant l’application.
Par ce panorama, le CERT-FR porte le message suivant : la protection contre les violations de données ne saurait reposer uniquement sur la correction des vulnérabilités logicielles. La maîtrise des identités, des droits d’accès, de l’exposition des services et de la traçabilité est tout aussi déterminante.
4. Dix principes pour réduire concrètement le risque de violation de données
Dans ce rapport, le CERT-FR partage des principes de sécurité efficaces, ayant été mis en œuvre concrètement dans des réponses à incident, et accompagnés de pistes de déclinaison (notamment par des exemples concrets de mises en œuvre). Ces principes constituent des pistes de réduction des risques à court et moyen terme. Toutefois, le CERT-FR précise qu’elles ne se substituent pas à une démarche de conception intégrant la sécurité et la protection des données dès l’origine (Privacy & Security by Design).
Le CERT-FR détaille dix grands principes applicables à toutes les applications web impliquant des traitements de données personnelles ou sensibles :
- Appliquer une politique de gestion des données, en recensant les informations à protéger et leurs flux ;
- Limiter les accès des utilisateurs, conformément au principe du besoin d’en connaître et du moindre privilège, et en maîtrisant notamment la volumétrie accessible ;
- Limiter l’exposition d’une application, en fonction de ses véritables besoins d’accès ;
- Dépasser l’authentification reposant sur le seul couple login/mot de passe, notamment par le recours à des mécanismes d’authentification forte pour les accès internes et à des identifiants à usage unique et des passkeys pour le grand public ;
- Sécuriser l’environnement d’hébergement des applications ;
- Tracer les actions des utilisateurs, de manière à pouvoir associer une action à un utilisateur et à une adresse réseau ;
- Superviser les journaux de traces afin d’y détecter des anomalies ;
- Déclencher des alertes et, lorsque cela est pertinent, des réactions automatiques face aux situations anormales ;
- Vérifier la sécurité des applications, lors de leur mise en production mais également dans la durée ;
- Pour les administrations publiques, mettre en œuvre une démarche d’homologation, conformément au Référentiel général de sécurité (RGS) et à la Politique de sécurité des systèmes d’information de l’État (PSSIE)
Parmi ses recommandations, le CERT-FR souligne tout particulièrement les limites d’une authentification reposant sur le seul couple identifiant/mot de passe. En 2026, il estime qu’une application reposant exclusivement sur ce mécanisme doit être considérée comme fortement exposée au risque de compromission.
Le CERT-FR insiste également sur la nécessité de détecter les comportements anormaux, même lorsqu’ils proviennent de comptes disposant d’accès légitimes (consultation inhabituelle d’un grand nombre de données, connexions à des horaires atypiques ou depuis des zones géographiques incohérentes, par exemple). Face à des attaques susceptibles d’aboutir à une exfiltration de données en quelques minutes, cette supervision doit être complétée par des mécanismes de réaction automatisée ou a minima par des procédures, permettant notamment de bloquer un accès, de désactiver un compte ou de révoquer une session avant que l’incident ne prenne de l’ampleur.
5. Une approche pragmatique pour sécuriser toutes les applications existantes
Le rapport adopte une approche pragmatique de la sécurisation des applications existantes, y compris lorsque celles-ci n’ont pas été conçues pour répondre au niveau actuel de la menace. Sans se substituer à leur modernisation ou à leur remplacement, les mesures proposées permettent de réduire les risques de compromission à court et moyen terme.
Le CERT-FR complète ses recommandations par des exemples techniques de mise en œuvre et de configuration, issus des environnements rencontrés lors de ses interventions et détaillés dans sept annexes. Ces exemples couvrent notamment la traçabilité des connexions, le contrôle des accès et la détection des comportements anormaux.
Plusieurs mesures illustrent concrètement cette démarche. Le CERT-FR propose, par exemple, de restreindre l’accès aux applications à certaines adresses IP ou zones géographiques, voire à certaines plages horaires, lorsque les usages le permettent (annexes C à E). Il recommande également de limiter le nombre de requêtes sur une période donnée afin de freiner l’extraction massive de données, ainsi que de définir des seuils d’alerte permettant de détecter des consultations anormalement nombreuses et, le cas échéant, de déclencher des mesures de protection automatisées (annexes F et G).
Pour les responsables de traitement, ces recommandations constituent des pistes opérationnelles à examiner dans le cadre de l’évaluation et du renforcement des mesures de sécurité mises en œuvre pour protéger leurs applications web et, plus largement, les données qu’ils traitent (qu’elles soient ou non à caractère personnel).
À retenir
Au-delà des mesures techniques détaillées dans le rapport, le principal enseignement du CERT-FR est qu’une violation massive de données peut résulter d’attaques peu sophistiquées exploitant des faiblesses courantes. La sécurisation des applications web suppose donc une approche globale combinant maîtrise des données et des droits d’accès, authentification renforcée, limitation de l’exposition, traçabilité et détection des comportements anormaux (et réaction), en complément de la correction des vulnérabilités applicatives. Ces mesures ont également vocation à réduire les risques liés aux applications existantes, sans attendre leur refonte ou leur remplacement (sans toutefois s’y substituer si tel est nécessaire).
Le rapport complet est accessible sur le site officiel du CERT-FR.
* *
*
Le Pôle « IT, Data & Cyber » d’Agil’IT se tient à votre disposition pour vous accompagner dans la mise en conformité de vos pratiques et de vos process, le renforcement de vos dispositifs de gouvernance et de sécurité numérique, ainsi que dans la prévention et la gestion des incidents de sécurité et des violations de données, au regard des exigences applicables en matière de protection des données personnelles et de cybersécurité.
Par AGIL’IT – Pôle IT, Data & Cyber
Laure LANDES-GRONOWSKI, Avocate associée
Lola MELINOTTE, Avocate
[1] Le CERT-FR (French Computer Emergency Response Team) est l’entité gouvernementale et nationale assurant la mise en œuvre opérationnelle de la fonction d’autorité de défense des systèmes numériques d’intérêt pour la nation dévolue à l’ANSSI. Il est à ce titre situé au sein de la sous-direction Opérations de l’Agence.
