Fuites massives de données : au-delà de l’authentification
Fuites massives de données : renforcer l’authentification face à l’évolution de la fraude
La raison est simple. Pour accéder à un volume important d’informations, les cybercriminels n’ont plus nécessairement besoin d’exploiter une faille sophistiquée ou de contourner les protections en place. Dans de nombreux cas, ils utilisent simplement des identifiants valides et se comportent comme des utilisateurs légitimes.
Cette évolution marque un changement profond dans les modes opératoires. Pendant des années, les organisations ont concentré leurs efforts sur la protection du périmètre et sur la détection des attaques techniques. Aujourd’hui, le risque se déplace à l’intérieur même des applications, après l’authentification.
Des attaques moins techniques, mais souvent plus efficaces
Les grandes fuites de données d’hier reposaient fréquemment sur l’exploitation de vulnérabilités applicatives. L’injection SQL en est l’exemple le plus connu : en manipulant les requêtes adressées à une base de données, un attaquant pouvait extraire massivement des informations auxquelles il n’aurait jamais dû avoir accès.
Ce type d’attaque n’a pas disparu, mais il n’est plus systématiquement la voie privilégiée. Les cybercriminels comprennent désormais qu’il est souvent plus simple d’utiliser un compte légitime que de contourner une protection.
Une fois connectés avec des identifiants valides, ils peuvent interroger une application à très grande vitesse afin de collecter un maximum d’informations. Dans certains cas, les privilèges attachés au compte suffisent à eux seuls. Dans d’autres, il suffit de modifier un paramètre dans une URL ou de naviguer dans des fonctionnalités insuffisamment cloisonnées pour accéder à des volumes de données considérables.
Cette approche est d’autant plus redoutable qu’elle ressemble, en apparence, à une activité normale.
Comment les fraudeurs obtiennent-ils ces accès ?
Le vol d’identifiants reste une méthode largement utilisée, mais il n’est plus la seule.
On observe également une montée des risques humains. Certains réseaux criminels cherchent désormais à obtenir un accès légitime directement auprès de personnes disposant des autorisations nécessaires. Cela peut passer par la corruption d’employés ou de sous-traitants, rémunérés pour mettre leurs accès à disposition, mais aussi par des mécanismes de chantage ou d’extorsion visant des collaborateurs occupant des fonctions sensibles.
Dans tous les cas, le résultat est identique : le fraudeur apparaît aux systèmes comme un utilisateur authentifié et autorisé.
Et c’est précisément là que réside le défi. Les outils de sécurité ont été conçus pour détecter quelqu’un qui tente d’entrer sans autorisation. Ils sont beaucoup moins efficaces lorsque l’individu malveillant possède déjà une identité légitime.
Pourquoi les défenses traditionnelles atteignent leurs limites
Ajouter de nouveaux contrôles de sécurité au niveau du code nécessite des cycles de développement, des tests et des validations parfois incompatibles avec l’urgence du risque. Lorsqu’il s’agit d’applications historiques ou de solutions fournies par des éditeurs tiers, cette évolution peut même être impossible à court terme.
C’est notamment pour cette raison que les Web Application Firewalls (WAF) se sont imposés comme une couche de protection essentielle. Leur rôle consiste à aider à analyser les requêtes entrantes afin d’identifier des signatures d’attaque connues ou des comportements anormaux.
Toutefois, un WAF demeure principalement conçu pour détecter des requêtes suspectes.
Or, dans le cas d’un utilisateur légitime exécutant des actions techniquement conformes, rien ne semble anormal. La syntaxe est correcte, l’authentification est valide et les requêtes respectent les règles attendues. Du point de vue du WAF, tout paraît normal.
C’est précisément ce qui rend ces attaques si difficiles à détecter.
Déplacer l’attention de l’accès vers le comportement
L’enjeu n’est donc plus uniquement de vérifier qu’un utilisateur a le droit d’entrer. Il devient essentiel de comprendre ce qu’il fait une fois connecté.
Cette logique est bien connue dans l’univers de la lutte contre la fraude. Depuis des années, les plateformes spécialisées cherchent à identifier non seulement qui réalise une action, mais aussi si cette action est cohérente avec les habitudes observées.
Des solutions telles que LexisNexis® ThreatMetrix® [CD1.1]permettent d’observer les comportements en temps quasi-réel et d’aider à détecter les écarts significatifs par rapport aux habitudes d’un utilisateur ou d’un équipement. Sans modifier profondément les applications existantes, il devient possible de mesurer en temps quasi-réel le volume d’actions réalisées par un compte ou une machine sur des fenêtres temporelles glissantes allant de quelques minutes à plusieurs semaines.
Prenons un exemple simple. Un collaborateur consulte habituellement une dizaine de dossiers par jour. S’il accède soudainement à plusieurs milliers de dossiers en l’espace de quelques heures, le système peut détecter cette anomalie de comportement et déclencher automatiquement une alerte, une vérification supplémentaire ou un blocage.
L’analyse peut également être réalisée au niveau de l’équipement utilisé. Cette capacité est particulièrement précieuse lorsqu’un fraudeur tente de répartir son activité sur plusieurs comptes afin de rester sous les seuils de détection traditionnels.
Le prochain défi de la cybersécurité et la lutte contre la fraude
Pendant longtemps, la cybersécurité s’est concentrée sur une question essentielle : qui tente d’entrer ?
Face à l’évolution des menaces, une nouvelle question s’impose désormais : que fait réellement cette personne une fois connectée ?
Les organisations qui continueront à fonder leur stratégie uniquement sur l’authentification et la protection du périmètre risquent de laisser passer les incidents les plus discrets et les plus difficiles à détecter. À l’inverse, celles qui intégreront des mécanismes d’analyse comportementale inspirés de la lutte contre la fraude disposeront d’une capacité supplémentaire pour les aider à identifier les usages anormaux, même lorsqu’ils proviennent d’identités parfaitement légitimes.
Car aujourd’hui, les portes sont souvent bien verrouillées.
Le véritable défi consiste à détecter ceux qui possèdent déjà la clé.
Pour aller plus loin : Le 20 octobre 2026, le CERT-FR a publié un rapport intitulé « Violations de données applicatives - Retour d’expérience du CERT-FR » présentant les enseignements tirés par le CERT-FR de l’analyse de violations de données liées à des applications web, afin de mieux comprendre les risques associés et les conséquences pour les personnes concernées.