Rapport CNIL 2025 : les fuites de données changent d'échelle et de nature.

LA NOUVELLE ÉCONOMIE INTERVIEW

Gaëlle Tilloy, avocate à la Cour : « Les fuites de données changent d’échelle et de nature »

Avec plus de 6 100 violations de données personnelles notifiées en 2025, le dernier rapport annuel de la CNIL ne décrit plus une simple progression de la cybercriminalité. Il révèle une transformation plus profonde : les attaques s’industrialisent, les identités numériques deviennent les premières portes d’entrée et les incidents peuvent désormais toucher, en une seule opération, plusieurs millions de personnes. Pour Gaëlle Tilloy, avocate à la Cour, spécialiste des nouvelles technologies et des données personnelles, le constat ne laisse guère de place au doute : « Nous ne sommes plus face à une succession d’événements isolés. » Les violations de grande ampleur concernent tous les secteurs, depuis les entreprises privées jusqu’aux administrations, en passant par les établissements de santé ou les prestataires de services. « Une fuite qui concernait hier quelques milliers de personnes peut aujourd’hui affecter simultanément une part significative de la population », souligne-t-elle. La protection des données n’est donc plus seulement une question juridique ou informatique. Elle devient un enjeu de continuité d’activité, de réputation et, plus largement, de confiance.


Des attaques simples, mais industrialisées

Cette évolution ne signifie pas nécessairement que toutes les attaques sont devenues extrêmement sophistiquées. Jérôme Beaufils, président de SASETY, observe même le phénomène inverse : les cybercriminels privilégient souvent la méthode la plus facile. « Ce qui nous frappe aujourd’hui, ce n’est pas tant la sophistication des attaques que le niveau d’exposition de nombreuses organisations », explique-t-il. Mots de passe trop faibles, comptes qui ne sont plus utilisés mais restent actifs, droits d’accès excessifs, comptes administrateurs insuffisamment protégés : quelques négligences anciennes suffisent parfois à ouvrir les portes du système d’information. Les comptes dits « à privilèges » sont particulièrement sensibles. Ils appartiennent généralement aux administrateurs ou aux responsables techniques et permettent d’accéder à des fonctions critiques. Lorsqu’un attaquant s’en empare, il ne dispose plus d’une simple fenêtre entrouverte : il peut circuler dans une grande partie du bâtiment numérique. La force des cybercriminels réside aussi dans leur organisation. Ils utilisent désormais des outils automatisés, achètent des données volées et recourent parfois à de véritables chaînes de sous-traitance. « Le chemin le plus simple reste souvent le plus efficace », résume Jérôme Beaufils.


L’identité numérique devient la première cible

Le rapport de la CNIL insiste particulièrement sur les identités et les accès. Les entreprises dépendent de plus en plus de prestataires, de services hébergés à distance et de partenaires extérieurs. Cette organisation accroît leur efficacité, mais elle multiplie aussi les portes d’entrée potentielles. Gaëlle Tilloy rappelle un principe essentiel : « Cette externalisation ne transfère pas la responsabilité. » Une entreprise demeure responsable des données qu’elle traite, même lorsqu’elles sont confiées à un prestataire. Un ancien compte fournisseur, une autorisation jamais supprimée ou un accès accordé à un sous-traitant peuvent ainsi devenir des points de fragilité. Les attaquants cherchent d’ailleurs moins à contourner les défenses techniques qu’à se connecter avec des identifiants parfaitement valides, obtenus par hameçonnage, vol de mots de passe ou réutilisation de données issues d’une précédente fuite. Selon Jérôme Beaufils, l’identité constitue aujourd’hui « le point de démarrage de plus de 90 % des attaques ». Un identifiant compromis peut servir à réinitialiser un mot de passe, accéder à une application métier, consulter des données confidentielles ou préparer une fraude bancaire.