Dans la majorité des cas signalés à la CNIL, l’origine d’une fuite de données est un manquement technique élémentaire : un mot de passe trop faible, un compte partagé entre plusieurs collaborateurs, une absence de chiffrement. Le terme « very leaks » désigne ces fuites massives de données qui circulent ensuite librement sur des forums ou des places de marché clandestines, exposant particuliers et entreprises à des conséquences financières et juridiques lourdes.
Comptes partagés et défaut de journalisation : le socle des very leaks
Avant de parler de ransomware ou de phishing, la première faille exploitée reste l’accès non contrôlé aux systèmes. Un compte administrateur utilisé par trois personnes différentes sans traçabilité individuelle empêche toute identification en cas d’incident.
Les notifications de violations de données enregistrées par la CNIL continuent d’augmenter d’année en année. Près de la moitié de ces incidents provenaient de cyberattaques exploitant des failles récurrentes : mots de passe faibles, comptes partagés, absence de chiffrement.
Le défaut de journalisation aggrave le problème. Sans logs horodatés des connexions et des actions, reconstituer la chronologie d’une fuite devient impossible. L’entreprise ne peut ni mesurer l’étendue des données compromises, ni prouver sa bonne foi auprès du régulateur.
Concrètement, un serveur de fichiers accessible via un identifiant générique (« admin/admin » ou un mot de passe partagé sur un post-it) constitue une porte ouverte. La traçabilité individuelle des accès est le premier rempart contre les fuites. Chaque utilisateur doit disposer d’un identifiant propre, avec des droits limités à son périmètre fonctionnel.
Sanctions CNIL en 2025 : ce que coûtent réellement les erreurs de sécurité
Le risque financier n’est plus théorique. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de plus de 486 millions d’euros. Ce total est tiré vers le haut par quelques très grosses décisions, mais la procédure simplifiée touche aussi des structures plus modestes.
Les manquements sanctionnés en procédure simplifiée relèvent presque systématiquement de failles opérationnelles basiques :
- Mots de passe insuffisants ou stockés en clair dans des fichiers accessibles
- Absence de politique de renouvellement des accès après le départ d’un collaborateur
- Sécurité insuffisante des interfaces d’administration exposées sur internet
La logique du régulateur est claire : une erreur de sécurité connue et non corrigée constitue un manquement au RGPD. L’argument « nous ne savions pas » ne fonctionne plus quand la CNIL publie régulièrement des recommandations techniques précises sur ces points.
Very leaks et chaîne d’exploitation : du mot de passe volé à l’usurpation d’identité
Une fuite de données ne s’arrête pas au moment où les informations quittent le serveur. Les données volées alimentent une économie parallèle structurée. Un fichier contenant des adresses e-mail et des mots de passe en clair se revend en quelques heures.
L’enchaînement type suit un schéma prévisible. D’abord, l’attaquant teste les identifiants sur d’autres services (technique du credential stuffing), parce que la réutilisation de mots de passe entre comptes personnels et professionnels reste massive. Ensuite, les comptes compromis servent de point d’entrée pour du phishing ciblé ou de l’usurpation d’identité.
Le coût réel d’une fuite dépasse largement l’amende CNIL. Il faut ajouter la notification obligatoire aux personnes concernées, l’audit technique post-incident, la perte de confiance des clients, et parfois l’interruption d’activité. Pour une PME, l’ensemble peut représenter plusieurs mois de trésorerie.
Obligations légales de cybersécurité : ce que le RGPD exige concrètement
L’article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » pour garantir un niveau de sécurité adapté au risque. Cette formulation volontairement large laisse une marge d’appréciation, mais la jurisprudence de la CNIL dessine désormais un socle minimal non négociable.
Ce socle comprend :
- Le chiffrement des données sensibles au repos et en transit
- Une politique de mots de passe conforme aux recommandations de la CNIL (longueur minimale, complexité, renouvellement)
- La journalisation des accès aux données personnelles avec conservation suffisante pour investigation
- La suppression ou la désactivation immédiate des comptes des anciens collaborateurs
La CNIL a par ailleurs annoncé que la cybersécurité figure parmi ses thématiques de contrôle prioritaires pour les années à venir. Les entreprises qui repoussent la mise en conformité parient contre un calendrier qui se resserre.
Le piège du sous-traitant non audité
Un point souvent négligé : la responsabilité ne s’arrête pas aux murs de l’entreprise. Si un prestataire technique (hébergeur, éditeur SaaS, agence web) subit une fuite affectant les données de vos clients, vous restez co-responsable au regard du RGPD. L’absence de clause contractuelle précisant les obligations de sécurité du sous-traitant est elle-même un manquement sanctionnable.
Vérifier si vos données ont fuité : outils et réflexes
Plusieurs services gratuits permettent de vérifier si une adresse e-mail apparaît dans des bases de données compromises. Have I Been Pwned reste la référence : il suffit d’entrer une adresse pour savoir si elle figure dans des fuites répertoriées. Mozilla Monitor et Google Password Checkup offrent des fonctionnalités similaires, intégrées respectivement à Firefox et à l’écosystème Google.
En cas de résultat positif, la priorité est de changer immédiatement le mot de passe compromis, puis tous les comptes utilisant le même mot de passe. L’activation de l’authentification à deux facteurs divise drastiquement le risque d’exploitation d’un identifiant volé.
Ces vérifications devraient être effectuées régulièrement, pas uniquement après un incident médiatisé. Intégrer ce contrôle dans une routine trimestrielle réduit considérablement la fenêtre d’exposition entre la fuite et la détection.
Les very leaks les plus coûteuses partagent un point commun : elles exploitent des failles que leurs victimes connaissaient sans les corriger. La CNIL durcit ses contrôles, les montants des sanctions augmentent, et la chaîne d’exploitation des données volées se professionnalise. Le différentiel de coût entre la mise en conformité préventive et la gestion d’un incident post-fuite penche nettement en faveur de l’anticipation.
