Fuites de données : le maillon faible est souvent chez le prestataire

Depuis l'été, il ne se passe pas une semaine sans qu'une organisation française annonce une fuite de données. Mis côte à côte, ces incidents racontent une histoire utile pour un dirigeant : dans une bonne partie des cas, l'attaquant n'est pas entré par le système d'information de la victime, mais par celui d'un tiers, un prestataire, un éditeur ou un partenaire, et presque toujours grâce à une faiblesse élémentaire. J'ai retenu six incidents documentés entre fin septembre et mi-octobre 2026, en m'en tenant à ce que disent les victimes, l'ANSSI et la presse qui a vérifié. Puis ce qu'une PME peut en tirer, concrètement.

La DGFiP : le poste d'un géomètre-expert

Le cas le mieux documenté est aussi le plus instructif. Le 29 septembre, l'ANSSI a publié son rapport d'incident sur les fuites de la DGFiP, remis au Premier ministre le 24. Deux fuites y sont retracées. La première, tirée de l'outil d'échanges avec les usagers, concerne selon le rapport près de 353 000 particuliers et 252 000 professionnels, à partir d'identifiants d'agents probablement volés par des logiciels espions sur des ordinateurs non administrés par la DGFiP.

La seconde concerne les données cadastrales, et c'est elle qui nous intéresse ici. Le point d'entrée est le poste d'un géomètre-expert, dans un cabinet privé, qui accédait au portail APEX réservé aux partenaires (notaires, géomètres-experts). Ce portail était protégé par un identifiant, un mot de passe et un code à usage unique envoyé par e-mail. La compromission probable du poste a suffi à contourner ce second facteur, et les données ont été exfiltrées entre le 27 juillet et le 8 août. Le point de situation de l'opération REACTIV de l'ANSSI chiffre ce volet à environ 2 millions de données cadastrales concernant environ 434 000 usagers. Le rapport le dit sans détour : aucune des deux exfiltrations n'a été détectée, ni par la DGFiP, ni par l'ANSSI. On l'a appris par la revendication publique.

L'État, vu par l'ANSSI : sous-traitants, comptes clients, outils de support

Le lendemain, 30 septembre, le CERT-FR a publié le premier point de situation de REACTIV, le dispositif de l'ANSSI dédié aux violations de données touchant l'État. Le document recense 99 violations portées à la connaissance de l'ANSSI depuis le 1er août, dont 67 confirmées, et liste les vulnérabilités récurrentes : une faille critique de Metabase, un outil open source de tableaux de bord, exploitée sur neuf instances ministérielles alors que le correctif existait depuis le 6 août ; des identifiants volés par infostealers sur des postes personnels ; des failles d'accès direct à des objets (IDOR) ; l'absence de double authentification ou un second facteur par e-mail ; et la sous-traitance.

Deux cas du rapport illustrent le maillon tiers :

• TRACFIN : le sous-traitant de l'opérateur du module d'assistance aux usagers du portail de télédéclaration a été compromis. Résultat : 136 assujettis concernés et le contenu de 213 demandes d'assistance exfiltrés entre fin juin et mi-juillet. L'administration a cessé toute relation avec ce prestataire. C'est l'outil de support, pas le cœur du service, qui a fui.
• Bloctel : le 7 août, l'attaquant a téléchargé depuis le compte professionnel d'une entreprise cliente la liste des numéros soumis et celle des numéros traités, ce qui permettait d'identifier par différence environ 600 000 numéros inscrits. Le service a été définitivement fermé le 11 août.

AP-HP : le portail de choix des repas

Le 7 octobre, l'AP-HP a confirmé le vol des données d'identité de 1 015 patients : nom, prénom, informations de naissance, identifiant patient interne. Les données proviennent d'un module de SRD Restauration, le logiciel de gestion des repas édité par Dedalus et utilisé par 23 hôpitaux du groupe. L'intrusion visait le service en ligne qui permet aux patients de choisir leurs menus pendant leur séjour. Selon l'AP-HP, aucune donnée médicale, bancaire ou de contact ne serait concernée, mais les revendications publiées font état d'un nombre plus important de patients et de comptes de professionnels, ce que l'établissement vérifie encore. Le module a été fermé, les mots de passe réinitialisés et les vulnérabilités suspectées corrigées.

La leçon n'est pas médicale : un outil périphérique, que personne ne classerait critique, était joignable depuis Internet et adossé à des données d'identité.

Hauts-de-France : deux prestataires, plus d'un demi-million de personnes

Le 3 octobre, la Région Hauts-de-France a annoncé que deux de ses prestataires avaient été piratés : Atexo, qui gérait et hébergeait la plateforme d'aides régionales, et Docaposte, qui opérait la plateforme de la carte Génération #HDF. Le 5 octobre, selon l'AFP reprise par BFM Business, le président de région Xavier Bertrand a chiffré l'incident à près de 545 000 personnes : jusqu'à 515 000 sur les 745 000 inscrits de la plateforme d'Atexo (noms, prénoms, e-mails, habilitations, RIB à confirmer) et près de 30 000 bénéficiaires et partenaires côté Docaposte, essentiellement des contrats d'apprentissage et des RIB. L'auteur revendiqué annonçait plus de 700 000 personnes. La Région précise que son système d'information interne n'a pas été touché. C'est exact, et c'est bien le sujet : pour les personnes concernées, cela ne change rien.

Carrefour et Shipup : un outil d'analyse exposé, des centaines de marques

Fin septembre, Carrefour a prévenu certains clients que des noms, prénoms, e-mails et numéros de téléphone avaient été exposés chez un prestataire, sans intrusion dans ses propres systèmes selon l'enseigne. Le distributeur ne nomme pas ce prestataire, mais des sites de veille l'attribuent à Shipup, une plateforme française de suivi de livraison utilisée par plus de 700 marques, déjà associée à des notifications de Micromania, Easypara ou Printemps, rapporte Le Monde Informatique. Selon les informations disponibles, la compromission viendrait de la même faille Metabase que celle relevée par l'ANSSI dans les ministères. Un outil exposé chez un fournisseur SaaS, et des dizaines de marques doivent prévenir leurs clients.

Au Danemark : « 123456 » et 8,8 millions de personnes

Hors de France, même schéma. Le 5 octobre, l'administration danoise du registre central des personnes (CPR) a annoncé que l'accès légal d'une petite entreprise privée au registre avait été détourné, exposant noms, adresses et numéros d'identification d'environ 8,8 millions de personnes, vivantes ou décédées. L'entreprise, Pays ApS, a confirmé être concernée le 9 octobre. D'après des documents obtenus par la chaîne TV 2, l'attaquant est entré le 10 septembre et a lancé environ 14 millions de recherches automatisées jusqu'au 20 septembre. La fuite n'a été découverte que le 2 octobre, parce qu'un agent du ministère a remarqué une facture anormalement élevée.

L'auteur présumé affirme au quotidien Politiken être passé par un compte protégé par le mot de passe « 123456 », rapporte The Register : au moins trois comptes de l'entreprise, dont un administrateur, auraient utilisé ce même mot de passe. Toujours selon l'auteur présumé, cité par TV 2 qui n'a pas pu vérifier ses dires, ce mot de passe était celui d'un ancien salarié. Le ministère a depuis rappelé leurs obligations de sécurité aux 1 039 entreprises ayant accès au registre.

Le motif commun : un tiers, un outil exposé, une faille de base

Bout à bout, la mécanique se répète. Une organisation confie des données ou un accès à un tiers. Ce tiers expose un outil sur Internet : un portail partenaires, une console d'analyse, un module de support, un service pour les patients. Et la porte cède sur une faiblesse qui n'a rien de sophistiqué : un poste non maîtrisé, un code envoyé par e-mail, un correctif appliqué en retard, un mot de passe trivial, un compte qui n'aurait plus dû exister. Enfin, l'exfiltration passe inaperçue, parce que personne ne regarde les journaux du tiers.

La chaîne d'une fuite par un tiers : chaque maillon a son point de contrôle, et la plupart relèvent de l'hygiène, pas de la technologie de pointe.

Le directeur général de l'ANSSI, Vincent Strubel, ne dit pas autre chose. À l'ouverture des Assises de la cybersécurité, le 7 octobre à Monaco, il a résumé le contenu du rapport DGFiP ainsi, selon le Journal du Net : « des vulnérabilités de base qu'on retrouve un peu partout », avant d'ajouter : « force est de constater qu'on n'a pas réussi à éliminer ces vulnérabilités ». Dans un entretien publié le même jour par La Tribune, il résume : « Nous avons un problème d'exécution de règles de sécurité de base ».

Deux signaux récents, hors de France, montrent que le maillon tiers ne se limite pas aux données qu'on confie. Le 17 octobre, BleepingComputer a détaillé l'attaque visant ConnectWise Cloud Backup, un service de sauvegarde Microsoft 365 utilisé par des infogérants : l'attaquant s'est authentifié directement comme l'application de sauvegarde, avec les droits que les clients lui avaient accordés, si bien que la double authentification des utilisateurs ne servait à rien. Huntress a identifié au moins 162 tenants compromis dans son périmètre. Un administrateur cité par le site raconte avoir été alerté parce que cette application s'attribuait le rôle d'administrateur Exchange, alors qu'il ne l'utilisait plus depuis des années. Et la désactiver ne suffit pas : les jetons déjà émis restent valides jusqu'à expiration.

Le 19 octobre, après les failles critiques de Citrix NetScaler, Cloudflare a recommandé dans un billet de placer toute page de connexion publique derrière un contrôle d'accès préalable, et de se demander pour chaque console d'administration si son public a vraiment besoin d'y accéder depuis tout Internet. Cloudflare vend ce service, mais la question vaut pour tous.

Ce que ça change pour une PME

Une PME a la même structure de risque, en plus concentrée. Son logiciel de paie, son CRM, son outil de support, sa plateforme d'e-mailing, son expert-comptable, son infogérant et l'agence qui a développé son site détiennent tous des données ou des accès. Et c'est elle, en tant que responsable du traitement, qui devra notifier la CNIL et prévenir ses clients si l'un d'eux fuit.

Les parades sont connues et peu coûteuses. Voici l'ordre dans lequel je les traiterais sur un mois.

Semaine 1. Faire l'inventaire des tiers. Une ligne par prestataire : quelles données il détient, quels accès il a chez vous (comptes, applications autorisées dans Microsoft 365 ou Google Workspace, VPN, clés d'API), qui est le contact sécurité, quand le contrat se termine. Vous trouverez au moins un accès oublié.

Semaine 2. Couper ce qui ne sert plus. Révoquez les comptes d'anciens salariés et d'anciens prestataires, les applications tierces inutilisées et leurs secrets, les clés d'API orphelines. Ajoutez la révocation des accès à votre procédure de départ et à chaque fin de contrat.

Semaine 3. Fermer ce qui n'a pas à être public. Listez tout ce qui est joignable depuis Internet sous vos noms de domaine : consoles d'administration, outils d'analyse, portails partenaires, interfaces de support. C'est souvent là que le shadow IT apparaît. Ce qui n'a pas à être public passe derrière un VPN, un accès filtré ou votre SSO. Sur le reste, correctifs critiques en jours, pas en semaines.

Semaine 4. Relever le niveau d'exigence. Double authentification partout, avec une application ou une clé physique plutôt qu'un code par e-mail. Pour les nouveaux contrats, et au renouvellement des anciens : MFA obligatoire chez le prestataire, délai de notification d'incident, accès aux journaux qui vous concernent, droit d'audit, et restitution puis suppression des données en fin de contrat. Enfin, demandez-vous qui verrait une extraction massive : un quota, une alerte de volume ou une facture qui s'emballe sont parfois les seuls signaux.

Checklist

• [ ] Registre des prestataires : données détenues, accès accordés, contact sécurité, échéance du contrat
• [ ] Comptes d'anciens salariés et prestataires désactivés, revue trimestrielle
• [ ] Applications tierces connectées à Microsoft 365 ou Google Workspace passées en revue, inutilisées supprimées avec leurs secrets
• [ ] Inventaire de ce qui est exposé sur Internet, outils internes derrière un accès filtré, correctifs critiques en quelques jours
• [ ] Double authentification résistante (application, clé), plus de code par e-mail sur les accès sensibles
• [ ] Aucun accès aux outils sensibles depuis un poste personnel
• [ ] Clauses sécurité dans les contrats : MFA, notification, journaux, audit, réversibilité
• [ ] Alertes sur les volumes inhabituels, y compris côté facturation des services à l'usage
• [ ] Procédure écrite en cas de fuite chez un tiers : qui décide, qui notifie la CNIL, qui prévient les clients

Conclusion

Les fuites de ces derniers mois n'ont pas été l'œuvre de génies. Elles sont passées par des portes que tout le monde connaît : un partenaire mal protégé, un outil oublié sur Internet, un mot de passe faible, un compte jamais révoqué. Pour une PME, la question n'est donc plus seulement « mon système est-il sûr ? », mais « qui d'autre détient mes données ou mes accès, et dans quel état sont ses portes ? ».

C'est un chantier que j'accompagne régulièrement comme CTO à temps partagé : cartographie des prestataires et de leurs accès, revue de la surface exposée, clauses de sécurité à négocier, procédure en cas d'incident chez un tiers. Si vous ne savez pas répondre en cinq minutes à la question « qui a accès à quoi chez nous ? », c'est un bon point de départ.

Sources

1. ANSSI, L'ANSSI publie le rapport d'incident sur les cyberattaques ayant touché la DGFiP, 29 septembre 2026, et rapport complet (PDF)
2. CERT-FR (ANSSI), Point de situation de l'opération REACTIV, septembre 2026, CERTFR-2026-CTI-006, 30 septembre 2026
3. AP-HP, L'AP-HP confirme un récent vol de données issues d'un logiciel de gestion des repas, 7 octobre 2026
4. franceinfo, Dans les Hauts-de-France, deux prestataires de la région piratés, 3 octobre 2026
5. BFM Business avec AFP, Les données de plus de 500 000 personnes ont fuité après la cyberattaque dans les Hauts-de-France, 5 octobre 2026
6. Louise Costa, Le Monde Informatique, Carrefour alerte ses clients après une fuite de données chez le prestataire Shipup, 30 septembre 2026
7. Numerama, C'est quoi la faille Metabase ?, 1er octobre 2026
8. Connor Jones, The Register, '123456' password linked to Denmark data breach affecting 8.8M people, 13 octobre 2026
9. TV 2, Nye detaljer om cpr-skandale, 9 octobre 2026, et suivi en direct, à partir du 5 octobre 2026
10. Pascal Coillet-Matillon, Journal du Net, Assises de la cybersécurité 2026 : haro sur les fuites de données, 8 octobre 2026
11. Bogdan Bodnar, La Tribune, « Nous avons un problème d'exécution de règles de sécurité de base », Vincent Strubel (ANSSI), 7 octobre 2026
12. Ionut Ilascu, BleepingComputer, Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack, 17 octobre 2026, mis à jour le 18 octobre
13. Grant Bourzikas et Kenny Johnson, Cloudflare, Beyond the patch: Protecting your NetScaler gateway against future vulnerabilities, 19 octobre 2026