Fuites de données : et si le problème était devenu la donnée elle-même ?

Journal de votre sécurité Maison — Hors-Série Numérique

Fuites de données : et si le problème était devenu la donnée elle-même ?

Nous avons construit des réservoirs d'informations dont la valeur concentrée dépasse notre capacité à les protéger.

Nous avons créé un monde où toujours plus d'informations sont numérisées, centralisées et interconnectées. Et nous découvrons aujourd'hui qu'il faudra dépenser toujours davantage pour protéger ce que nous avons nous-mêmes rendu particulièrement précieux.

Les récentes affaires de fuites de données touchant les services publics français ont quelque chose de profondément révélateur. En février 2026, la Direction générale des finances publiques annonçait des accès illégitimes à FICOBA, le fichier national recensant les comptes bancaires ouverts en France. Environ 1,2 million de comptes concernés. Identité des titulaires, adresses, coordonnées bancaires.

Quelques mois plus tard, une autre compromission de la DGFiP était révélée. Environ 600 000 enregistrements détaillés publiés, comprenant des informations personnelles, des coordonnées et des données fiscales.

À chaque fois, la réaction est parfaitement compréhensible : identifier la faille, couper l'accès, renforcer les contrôles. Mais ces événements devraient peut-être nous conduire à poser une question plus inconfortable.

Nous n'avons pas inventé la donnée avec Internet

Les administrations connaissaient déjà leurs contribuables, les banques leurs clients, les médecins leurs patients. Ce qui a changé est beaucoup plus important que la simple dématérialisation de ces documents. Nous avons supprimé une grande partie des obstacles qui limitaient autrefois la circulation et l'exploitation de l'information.

Une information conservée dans un dossier papier était généralement plus difficile à rechercher, à agréger et à exploiter à grande échelle. Pour ceux qui s'en souviennent, rappelez vous qu'il fallait trouver le dossier dans des archives , accéder au bâtiment, ouvrir l'armoire. Et surtout, l'information était dispersée entre plusieurs endroits et plusieurs organisations.

La centralisation est formidable quand il s'agit de gagner en efficacité et tout  aussi formidable pour concentrer le risque. Et c'est cette dernière que  nous avons le plus de mal à regarder en face.

Une donnée personnelle n'est pas un mot de passe

Un mot de passe compromis, une carte bancaire ou un accès peuvent être changés ou fermés .

Mais certaines informations personnelles ne peuvent tout simplement pas être renouvelées. Votre identité reste  identique comme votre date de naissance, votre histoire avec l'administration n'est pas à traiter comme un compte utilisateur.

Le problème n'est pas seulement que quelqu'un a pu consulter une information à un instant donné. C'est que cette information peut avoir été copiée et continuer à circuler alors même que l'incident initial  (la fuite ou le piratage) est terminé.

C'est une différence majeure avec beaucoup de formes traditionnelles de vol. Une banque peut sécuriser à nouveau son système. Mais personne ne peut rappeler une information qui a déjà circulé.

Le problème de fond n'est pas uniquement la faille

Lorsqu'une base de données est compromise, il est naturel de chercher la faille. Toutes ces questions sont légitimes. Mais elles restent centrées sur le fonctionnement du bouclier.

Mais qu'est ce qu'il y a derrière le bouclier ???         

Combien d'informations ont été réunies ? Pour combien de temps ? Pour quels usages ? Avec combien d'interconnexions ? Et combien d'organisations ou de personnes ont besoin d'y accéder ?

Car si l'on considère que le risque zéro n'existe pas, les volms de données ayant toujours existé , il reste une question fondamentale : faut-il réellement concentrer autant de valeur informationnelle au même endroit ?

Nous sommes entrés dans une course dont personne ne voit la ligne d'arrivée

On ne peut contester le côté indispensable de la   cybersécurité. Mais nous avons construit un modèle qui crée continuellement de nouvelles dépendances numériques, puis nous devons développer continuellement de nouvelles protections pour accompagner ces dépendances.

Une nouvelle donnée est collectée. Il faut la stocker, la transmettre, sécuriser l'accès, surveiller l'infrastructure, prévoir ce qui se passera si elle est compromise. Puis apparaissent de nouveaux usages, de nouveaux utilisateurs, de nouvelles connexions. Le système ne cesse de s'étendre.

On peut légitimement se demander si l'on ne cherche pas parfois à résoudre par davantage de technologie un risque que davantage de technologie contribue indirectement à amplifier.

Quand la sécurité devient elle-même un marché

Il y a pourtant un aspect de cette fuite en avant que l'on évoque beaucoup moins : elle a créé une économie entière de la protection.

Ce constat ne signifie pas que les entreprises de cybersécurité seraient inutiles, ni que les professionnels qui travaillent dans ce domaine chercheraient volontairement à entretenir les menaces. Les risques sont réels, les attaques existent et les organisations ont évidemment besoin de se défendre. Mais il faut regarder le système dans son ensemble : lorsque nous créons toujours davantage de données, que nous les centralisons et que nous les rendons indispensables au fonctionnement de la société, nous créons mécaniquement un besoin permanent de protection. Et derrière ce besoin apparaît tout un marché : logiciels de sécurité, audits, consultants, infrastructures, formations, assurances, certifications, médias spécialisés, conférences et nouveaux services.

Ce qui est assez particulier avec ce marché, c'est que le problème qu'il traite ne peut jamais être définitivement résolu. Une entreprise qui vend une machine-outil peut, en théorie, avoir terminé sa mission lorsque la machine est installée. Dans la cybersécurité, la menace évolue en permanence. Il faut surveiller, mettre à jour, renouveler, tester et renforcer. La sécurité devient donc une dépense récurrente, presque structurelle, parce que le risque lui-même est devenu permanent.

Il serait naïde d'en conclure qu'il existe nécessairement une volonté organisée de maintenir la menace. La réalité est probablement plus simple et, d'une certaine manière, plus intéressante : un écosystème économique entier s'est construit autour d'un problème qui ne peut pas disparaître complètement. Les entreprises qui fabriquent les outils ont besoin d'un marché, les experts ont besoin de missions, les médias spécialisés ont besoin de sujets, les assureurs doivent évaluer les risques et les organisations doivent justifier leurs investissements. Chacun joue son rôle, souvent de manière parfaitement légitime, mais l'ensemble produit une mécanique dans laquelle personne n'a réellement intérêt à ce que le besoin de protection disparaisse.

Et cette logique dépasse largement le monde informatique.

Prenons le cas de la sécurité domestique. Depuis plusieurs années, les alarmes connectées, les caméras, les sonnettes vidéo et les applications permettant de surveiller son domicile à distance occupent une place croissante dans le marché de la sécurité. Là encore, ces technologies ont une utilité réelle. Une caméra peut dissuader dans certaines circonstances, permettre une levée de doute ou fournir des images après une intrusion. Une alarme peut détecter une ouverture ou signaler une présence. Il serait donc excessif de prétendre qu'elles ne servent à rien.

Mais il faut faire une distinction essentielle entre détecter un risque et empêcher ce risque de produire ses conséquences.

Une caméra voit une personne entrer. Elle ne constitue pas nécessairement une barrière capable de l'empêcher d'entrer. Une alarme signale qu'une porte vient d'être forcée ; elle ne transforme pas cette porte en obstacle infranchissable. Une notification sur un smartphone permet de savoir qu'un événement est en train de se produire, mais elle ne protège pas directement le bien qui se trouve derrière la porte.

Nous avons progressivement accepté une curieuse confusion entre surveillance et protection.

Parce qu'une caméra nous permet de voir notre maison depuis notre téléphone, nous avons parfois le sentiment qu'elle est davantage protégée. Parce qu'une alarme nous prévient immédiatement, nous avons l'impression que l'intrusion a été empêchée. Pourtant, dans les deux cas, le dispositif peut essentiellement intervenir après le franchissement d'une première barrière.

Le même raisonnement vaut pour la cybersécurité. Un système peut détecter une intrusion, bloquer une tentative, isoler un serveur ou déclencher une alerte. Tout cela est indispensable. Mais si une donnée a malgré tout été extraite, le problème change de nature. La détection n'efface pas l'information qui a quitté le système.

C'est ici que l'on retrouve une notion essentielle de la sécurité, et que notre obsession technologique tend parfois à faire disparaître : la résistance.

Une sécurité réellement efficace ne devrait pas seulement chercher à savoir qu'une attaque est en train de se produire. Elle devrait aussi prévoir ce qui se passe lorsqu'elle n'a pas été détectée à temps.

Une porte doit pouvoir résister avant que l'alarme n'arrive. Un coffre doit protéger son contenu même lorsqu'une personne est déjà dans la pièce. Une organisation doit limiter les conséquences d'une intrusion même lorsque son système de détection a échoué. Et une donnée qui n'est pas nécessairement accessible partout constitue, par construction, une exposition moindre qu'une donnée répliquée dans de multiples systèmes.

Car il est beaucoup plus facile de vendre de la détection que de vendre l'absence de risque. Une caméra, une alarme, un logiciel ou une application peuvent être présentés, installés, renouvelés et améliorés. La réduction de l'exposition, elle, est beaucoup moins spectaculaire. Ne pas collecter une donnée. Ne pas la centraliser. Ne pas multiplier les copies. Renforcer physiquement une porte. Dissocier un bien de l'information qui permettrait de le cibler. Ce sont pourtant des mesures de sécurité tout aussi concrètes.

Nous avons créé une économie très performante pour surveiller les risques que nous avons créés, mais nous nous interrogeons beaucoup moins sur la possibilité de supprimer une partie de ces risques à leur origine.

C'est probablement là que devrait commencer une réflexion plus mature sur la sécurité.

Pas en opposant systématiquement technologie et solutions physiques, ni en prétendant que les unes seraient inutiles et les autres miraculeuses, mais en revenant à une question beaucoup plus simple :

Une caméra peut voir. Une alarme peut prévenir. Un système informatique peut détecter. Mais une véritable stratégie de sécurité doit également prévoir ce qui se passe après.

Parce qu'au fond, la meilleure sécurité n'est peut-être pas celle qui vous avertit le plus rapidement que vous êtes en danger.

C'est celle qui fait que, lorsque vous êtes effectivement en danger, il reste encore quelque chose entre vous et la menace.

Peut-on vraiment gagner la guerre de la cybersécurité ?

Probablement pas au sens où nous l'entendons parfois. Il y aura toujours une vulnérabilité quelque part. Un compte insuffisamment protégé. Une erreur humaine. Un prestataire compromis. Une technique d'attaque qui n'avait pas été anticipée.

La cybersécurité peut réduire considérablement la probabilité d'un incident et en limiter les conséquences. Mais elle ne peut pas transformer un système complexe en système parfaitement sûr.

C'est d'ailleurs une caractéristique commune à toutes les formes de sécurité. Une porte blindée n'empêche pas absolument un cambriolage. Une alarme ne rend pas une maison inviolable. Un coffre-fort ne garantit pas qu'un bien ne sera jamais convoité. La sécurité consiste à réduire le risque, pas à abolir le risque.

La meilleure donnée à protéger est parfois celle que l'on n'a pas besoin de conserver

Cette idée paraît presque triviale, mais elle est rarement placée au centre du débat.

Chaque donnée inutilement conservée constitue potentiellement une donnée supplémentaire à protéger. Chaque interconnexion crée une relation supplémentaire à sécuriser. Chaque accès supplémentaire constitue un nouveau point potentiel de compromission.

Lorsque la donnée sort de l'ordinateur, le problème change de nature

Une fuite de données peut commencer par un incident informatique et finir par toucher quelqu'un dans sa vie quotidienne. C'est là que la séparation entre cybersécurité et sécurité physique devient de moins en moins pertinente.

Une personne qui dispose d'informations précises sur une victime potentielle peut construire une escroquerie beaucoup plus crédible. Dans certains cas, la donnée peut également contribuer à identifier une personne, son domicile, son environnement ou certains éléments de sa situation.

C'est précisément pour cette raison que la sécurité ne peut pas rester enfermée dans le monde informatique. Lorsque l'information compromise concerne une personne réelle, la question finit toujours par devenir : quelles conséquences cette information peut-elle avoir dans le monde réel ?

C'est ici que la sécurité physique retrouve toute sa place

Il serait paradoxal de croire que la numérisation rend la sécurité physique obsolète. Elle fait presque l'inverse. Plus nous dépendons du numérique, plus nous devons être capables de résister lorsque le numérique échoue.

La sécurité d'un domicile ne dépend pas uniquement de son niveau de protection informatique. La protection des biens ne disparaît pas parce qu'une donnée personnelle a été compromise.

La question que nous posons trop peu souvent

Lorsque survient une nouvelle fuite de données, nous demandons généralement comment elle a été possible. C'est indispensable. Mais nous devrions également demander ce que cette fuite nous apprend sur notre modèle.

• Pourquoi cette information était-elle stockée,, accessible , centralisée  ?
  
• Pourquoi fallait-il la conserver aussi longtemps ?
• Que se serait-il passé si cette information n'avait finalement jamais été réunie sous cette forme ?

Cette dernière question est sans conteste la plus dérangeante parce qu'elle ne concerne pas un logiciel ou un responsable de la sécurité informatique. Elle concerne toute notre conception même du progrès et notamment du progrès numérique.

Il ne s'agit pas de sortir du numérique. Il s'agit de sortir du « tout numérique ».

Jusqu'où faut-il centraliser ? Jusqu'où faut-il interconnecter ? Combien de temps faut-il conserver ? Qui doit pouvoir accéder ? Et quelles conséquences sommes-nous prêts à accepter si une partie du système est compromise ?

Ces questions ne trouveront pas toutes une réponse technique. Certaines relèvent de l'organisation, d'autres du droit, d'autres encore d'un choix politique ou sociétal. Mais elles relèvent toutes d'une même notion : la gestion du risque.