Le CERT-FR, centre gouvernemental de réponse aux incidents rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a suivi près de 200 violations de données issues d’applications web en 2025. Dans un retour d’expérience publié le 20 octobre 2026, il relève que nombre de ces exfiltrations n’ont pas nécessité l’exploitation d’une vulnérabilité technique complexe. Le constat déplace l’attention vers la protection des accès et le contrôle de ce que les utilisateurs peuvent consulter ou extraire.
Le rapport CERTFR-2026-CTI-008 consacré aux violations de données applicatives rassemble les enseignements tirés des interventions du CERT-FR. Il porte sur les applications web manipulant des données sensibles, sans se limiter à un secteur d’activité. Ses auteurs présentent dix pistes de réduction des risques à court et moyen terme, accompagnées d’exemples de mise en œuvre.
Le vol de données ne suppose pas toujours une faille logicielle
Une application peut fonctionner sans vulnérabilité logicielle connue et exposer néanmoins des informations si les habilitations sont trop larges ou si des identifiants légitimes sont détournés. Le CERT-FR souligne que, dans de nombreux incidents, les attaquants ont pu agir avec un faible niveau de complexité. La présence d’un compte autorisé ne garantit donc pas que les consultations effectuées correspondent à un usage normal du service.
Ce risque est particulièrement important pour les portails d’usagers, les outils métier et les interfaces reliant plusieurs bases de données. Un accès prévu pour traiter des dossiers individuels peut devenir un moyen d’extraction massive lorsque les requêtes, les volumes consultés ou les sessions ne sont pas suffisamment encadrés. L’enjeu dépasse la seule prévention de l’intrusion : il consiste aussi à limiter les dommages possibles après la compromission d’un accès.
Dix pistes pour réduire les exfiltrations sur les systèmes existants
Le document de l’ANSSI ne prétend pas définir une architecture de sécurité idéale. Il privilégie des mesures applicables à des applications déjà en service, y compris lorsqu’une refonte complète n’est pas envisageable immédiatement. La maîtrise des habilitations, la protection de l’authentification, la journalisation et la surveillance des comportements inhabituels font partie des axes mis en avant dans les analyses techniques publiées à la suite du rapport.
La réduction des droits d’accès permet de diminuer la quantité de données qu’un compte compromis peut atteindre. Une traçabilité exploitable aide à distinguer les opérations habituelles des consultations répétées ou des extractions anormales. Enfin, des mécanismes d’alerte et de réaction rapides peuvent raccourcir la période pendant laquelle un attaquant agit sans être détecté.
Un enjeu pour les administrations comme pour les entreprises
Les conséquences d’une fuite ne s’arrêtent pas au service touché. Le CERT-FR rappelle que les informations personnelles dérobées peuvent provoquer des préjudices directs et alimenter des fraudes fondées sur des détails précis concernant les victimes. La sécurité des applications utilisées par les collectivités, les opérateurs de services ou les entreprises engage ainsi la protection des personnes dont elles conservent les données.
Ce retour d’expérience complète un précédent travail du CERT-FR publié en 2024 et centré sur le secteur social. En élargissant l’analyse aux applications web traitant des données sensibles, l’agence insiste sur une priorité opérationnelle : réduire les possibilités d’accès et d’extraction abusifs, plutôt que compter uniquement sur la correction des failles logicielles.
