Fuite de données : ce que les équipes de sécurité doivent savoir

Ce guide explique ce qu'est une violation de données, comment celles-ci se produisent dans les environnements d'entreprise modernes, et ce que les équipes de sécurité – des analystes SOC et des intervenants en cas d'incident aux RSSI et aux architectes de sécurité – peuvent faire pour les détecter, les contenir et les prévenir. Il aborde les vecteurs d'attaque, les coûts des violations par secteur d'activité, les indicateurs de détection comportementale, les délais de notification en matière de conformité, ainsi que les enseignements opérationnels tirés d'incidents récents, notamment ceux ayant touché Change Healthcare, AT&T et National Public Data.

Qu'est-ce qu'une violation de données ?

Une violation de données désigne tout incident de sécurité au cours duquel des tiers non autorisés accèdent à des informations confidentielles, protégées ou sensibles. Cela inclut les données à caractère personnel telles que les noms et les numéros de sécurité sociale, les données financières, notamment les coordonnées bancaires et les informations relatives aux cartes de crédit, ainsi que les informations stratégiques pour l'entreprise, comme les secrets d'affaires et la propriété intellectuelle. Contrairement à une divulgation accidentelle, une violation implique un accès non autorisé avéré, généralement le fait de cybercriminels à voler, vendre ou exploiter les données compromises à des fins lucratives, d'espionnage ou d'extorsion.

Tous les événements liés à la sécurité ne sont pas concernés. La distinction entre violation, fuite et incident détermine quel délai réglementaire commence à courir et si le délai de notification de 72 heures s'applique.

Une violation de données désigne un accès non autorisé avéré à des données sensibles par des acteurs malveillants. cybercriminels ont cybercriminels pénétré dans des systèmes, accédé à des données ou les ont exfiltrées, provoquant ainsi une divulgation avérée.

Une fuite de données désigne une divulgation involontaire ne résultant pas de l'intervention d'un acteur malveillant ; par exemple, un compartiment cloud mal configuré qui expose les dossiers des clients constitue une fuite ; cela ne signifie pas nécessairement qu'un attaquant l'ait découverte ou exploitée.

Un incident de sécurité désigne tout événement susceptible de compromettre la sécurité des informations, y compris les tentatives d'attaque avortées, les violations des politiques et les activités anormales. Tous les incidents ne constituent pas nécessairement une violation, mais toute violation commence par un incident.

En vertu RGPD, seules les violations avérées déclenchent l'obligation de notification aux autorités de contrôle dans un délai de 72 heures. Les organisations qui qualifient à tort des fuites de violations, ou inversement, s'exposent à des sanctions réglementaires cumulées et à une atteinte à leur réputation.

Comment se produisent les fuites de données ?

La plupart des violations de données intentionnelles suivent le même schéma : reconnaissance, compromission, déplacement latéral, préparation, exfiltration ; et les attaquants sautent rarement des étapes. Trois causes principales sont à l'origine de la majorité des incidents : les erreurs involontaires des employés, les initiés malveillants disposant d'un accès autorisé, et les attaquants externes agissant de manière indépendante ou au sein de groupes criminels organisés.

Quelles que soient ces causes profondes, le processus menant de l'accès initial à l'impact total suit cinq phases distinctes, chacune représentant une opportunité de détection spécifique et un point de défaillance particulier en l'absence de visibilité.

1. Reconnaissance: cybercriminels les organisations cibles, répertorient les employés, les technologies et les points d'entrée potentiels grâce à des recherches sur des sources ouvertes et à l'analyse des réseaux.
2. Première intrusion: les attaquants prennent pied pour la première fois, par le biais phishing, de vol d'identifiants, d'exploitation de vulnérabilités ou de compromission de la chaîne d'approvisionnement. C'est là qu'a commencé la violation de Change Healthcare, les attaquants ayant obtenu des identifiants Citrix dépourvus d'authentification multifactorielle.
3. Mouvement latéral: Une fois à l'intérieur, les attaquants parcourent le réseau à la recherche de cibles de grande valeur. Les techniques de déplacement latéral comprennent la collecte d'identifiants, l'exploitation des relations de confiance entre les systèmes et le pivotement entre les environnements cloud sur site qui partagent une identité fédérée.
4. Collecte et préparation des données: Les attaquants regroupent les données ciblées et les préparent en vue de leur exfiltration. Cette phase implique souvent une présence prolongée, cybercriminels accédant cybercriminels aux référentiels sensibles.‍
5. Exfiltration et conséquences: Les données quittent l'organisation, ce qui s'accompagne souvent du déploiement d'un ransomware, de demandes de rançon ou d'une divulgation publique. Le délai moyen de détection de 241 jours (IBM 2025) signifie que de nombreuses organisations ne découvrent les violations qu'à ce stade final, une fois que les données ont déjà été transférées.

Vecteurs d'attaque courants dans les violations de données

À lui seul, le vol d'identifiants représente 61 % des violations confirmées, mais cinq autres vecteurs contribuent de manière significative au nombre total d'incidents, chacun présentant des taux de prévalence distincts et des exigences de détection différentes.

Sources : IBM « Le coût d'une violation de données 2025 » ; Verizon « DBIR 2025 » ; SailPoint « 2025 »

Les compromissions de tiers engendrent un risque asymétrique. Bien qu’elles ne représentent que moins de 5 % des vecteurs d’attaque initiaux, les failles de la chaîne d’approvisionnement ont touché 47 % de l’ensemble des victimes en 2025 (Verizon DBIR 2025). L'incident survenu sur la plateforme Snowflake illustre ce mécanisme : les attaquants ont compromis les environnements des clients à l'aide d'identifiants volés, touchant simultanément AT&T, Ticketmaster, Neiman Marcus et d'autres entreprises. Une seule faille chez un fournisseur a entraîné une cascade de violations affectant des centaines de millions de personnes.

En 2025, 16 % des violations de données impliquaient des pirates utilisant des outils d'IA : phishing générées par des modèles de langage (LLM) phishing contournent les filtres linguistiques, malware polymorphes malware se réécrivent pour échapper aux signatures, et des opérations de reconnaissance automatisées à une échelle qui nécessitait auparavant des infrastructures d'État (IBM 2025). Ce chiffre était pratiquement nul il y a trois ans.

Le coût d'une fuite de données

Le coût moyen mondial d'une violation de données, estimé à 4,44 millions de dollars, sous-estime l'exposition financière de la plupart des grandes entreprises. Les entreprises américaines paient plus du double de la moyenne mondiale. Les coûts relèvent de quatre catégories : perte d'activité, détection et escalade, réponse post-violation et notification réglementaire ; ils s'alourdissent en raison des règlements judiciaires qui interviennent des mois, voire des années après l'incident. Le secteur de la santé affiche le coût moyen de violation le plus élevé de tous les secteurs depuis 14 années consécutives, tandis que les secteurs de l'industrie et de l'énergie affichent tous deux une tendance à la hausse en 2025.

Source : IBM – Coût d'une violation de données en 2025

Le délai de détection influe davantage sur l'ampleur des coûts que presque tout autre facteur pris isolément. Les entreprises qui ont recours à des solutions de sécurité basées sur l'IA détectent les violations 80 jours plus tôt et dépensent en moyenne 1,9 million de dollars de moins (IBM 2025). Les organisations disposant de plans formels de réponse aux incidents économisent 1,2 million de dollars par violation. Celles qui exploitent des architectures « zero-trust » économisent 1,04 million de dollars. Les violations qui restent non détectées pendant plus de 200 jours coûtent nettement plus cher que celles maîtrisées dans les 100 jours, faisant de la vitesse de détection une variable financière directe, et non un indicateur de sécurité abstrait.

Comment détecter une fuite de données en cours

Dans 61 % des cas, les violations de sécurité impliquent des identifiants compromis : les attaquants s'authentifient en tant qu'utilisateurs légitimes et effectuent des actions qui semblent autorisées, sur des systèmes qui ne signalent rien d'anormal. Les systèmes de détection qui se contentent d'attendre l'apparition de signatures malveillantes connues passent complètement à côté de ces attaques. L'EDR surveille les endpoint. Le SIEM analyse les journaux. Aucun des deux ne détecte l'attaquant se déplaçant d'est en ouest entre les charges de travail.

Dans ces différents environnements, sept anomalies comportementales indiquent de manière fiable qu’une intrusion est en cours ; chacune d’entre elles correspond à un moment où les actions de l’attaquant s’écartent des schémas légitimes et deviennent détectables avant que les données ne quittent l’environnement.

1. Modèles d'authentification inhabituels — Des identifiants légitimes utilisés pour accéder à des systèmes à des heures inhabituelles, depuis des emplacements inconnus ou à une fréquence incompatible avec le rôle attribué au compte. Lorsque des attaquants utilisent des identifiants volés pour se faire passer pour des utilisateurs autorisés, la détection de la prise de contrôle d'un compte légitime repose sur l'analyse comportementale, et non sur la comparaison de signatures.
2. Signaux de déplacement latéral — Balayage interne , connexions inattendues entre des systèmes qui ne communiquent pas habituellement entre eux, ou comptes de service accédant à des ressources hors de leur périmètre opérationnel.
3. Activités d'escalade de privilèges — Comptes obtenant des autorisations étendues en dehors des fenêtres de contrôle des modifications ou sans demande administrative correspondante enregistrée. Pour détecter la manière dont les attaquants escaladent leurs privilèges dans les environnements hybrides, il faut une surveillance continue du comportement des identités, et non des audits périodiques.
4. Accès anormal aux données — Accès massif à des répertoires sensibles, énumération inhabituelle de fichiers ou schémas d'agrégation de données précédant la préparation et l'exfiltration.
5. Communications de type « commande et contrôle » — Trafic sortant chiffré vers des terminaux externes inconnus, utilisation de tunnels DNS ou envois de balises à intervalles réguliers suggérant un comportement de connexion automatisé.
6. Indicateurs de préparation à l'exfiltration — Fichiers d'archives volumineux compressés créés dans des répertoires temporaires, ou transferts de données vers cloud ou des supports amovibles en quantités inhabituelles.
7. Comportements visant à contourner les mesures de sécurité — Tentatives visant à désactiver la journalisation, à effacer les journaux d'événements, à désinstaller des outils de sécurité ou à modifier les politiques d'audit.

 Les solutions Endpoint et de réponse Endpoint surveillent les terminaux gérés, mais ne peuvent pas suivre les flux est-ouest sur le réseau ni détecter les menaces sur les appareils non gérés, les systèmes IoT et cloud où il est impossible de déployer des agents. Les systèmes SIEM reconstituent les incidents à partir des journaux une fois que l'activité s'est produite, ce qui nécessite du temps, une corrélation manuelle et des hypothèses sur ce qui est pertinent. détection et réponse aux incidents comble ce manque de visibilité en analysant en temps réel les modèles de trafic sur l'ensemble de l'environnement, y compris le trafic chiffré, les mouvements latéraux entre les systèmes et le comportement des identités qui ne passent jamais par un endpoint équipé d'un agent.

La fenêtre moyenne de détection des intrusions, qui s'étend sur 241 jours, montre pendant combien de temps les défenseurs opèrent avec une visibilité incomplète avant que l'activité ne devienne détectable à l'aide des outils existants. La détection comportementale comble cette lacune en identifiant la progression de l'attaquant pendant qu'elle se déroule, et non après que les données ont été dérobées.

Comment prévenir et gérer une violation de données

La prévention des intrusions réduit le risque d'une première compromission et limite les mouvements des attaquants une fois qu'ils ont obtenu l'accès. La gestion des incidents limite les dégâts une fois qu'une intrusion est confirmée. Les deux sont indispensables : une prévention sans plan d'intervention suppose des défenses parfaites ; un plan d'intervention sans prévention accepte une exposition inutile.

Les mesures de contrôle pour lesquelles les données factuelles sont les plus solides portent sur l'utilisation frauduleuse des identifiants, l'exposition des données à des tiers et les facteurs humains à l'origine de la compromission initiale — chacune d'entre elles ayant un impact financier avéré, comme le montre l'étude IBM 2025.

•  Mettez en place une authentification multifactorielle pour tous les points d'accès, en particulier pour l'accès à distance et les comptes privilégiés. La violation de données subie par Change Healthcare montre comment une seule faille dans l'authentification multifactorielle peut entraîner une compromission catastrophique et systémique. Comprendre comment les pirates contournent les contrôles d'authentification — par des techniques telles que la « fatigue de l'authentification multifactorielle » et le vol de jetons — permet d'identifier les lacunes dans l'application des mesures de sécurité qui présentent le plus grand risque.
• Mettez en place une architecture « zero trust » qui vérifie chaque demande d'accès, quelle que soit la source. Zero trust les coûts liés aux violations de données de 1,04 million de dollars en moyenne (IBM 2025).
• Organisez régulièrement des formations de sensibilisation à la sécurité portant sur phishing, la protection des identifiants et l'ingénierie sociale. Les facteurs humains sont à l'origine de la plupart des premières intrusions, tous vecteurs confondus.
• Étendre les exigences de sécurité aux fournisseurs tiers au moyen d'obligations contractuelles, d'évaluations de sécurité et d'une surveillance continue de leur niveau de sécurité. Les violations impliquant des tiers coûtent en moyenne 4,91 millions de dollars, ce qui en fait le deuxième vecteur d'accès initial le plus coûteux après zero-day (IBM 2025).
• Mettre en place des politiques de gouvernance de l'IA régissant l'utilisation autorisée des outils d'IA et prévenant les risques liés à l'« IA fantôme », qui ont fait grimper de 670 000 dollars le coût moyen des violations de données dans les organisations victimes de violations liées à l'IA (IBM 2025).
• Conservez des sauvegardes cryptées hors ligne, isolées des réseaux de production. Un ransomware ne peut pas crypter ce qu’il ne peut pas atteindre.
• Procéder régulièrement à des audits et à une rotation des identifiants afin de limiter la période d'exposition liée à des identifiants compromis ou obsolètes.
• Il faut veiller à respecter rigoureusement les procédures de gestion des correctifs : la faille de sécurité chez Marquis Software a été exploitée via une vulnérabilité connue de SonicWall, que les entreprises avaient eu le temps de corriger avant qu'elle ne soit exploitée.

Une intervention efficace suit une procédure bien définie : elle commence par le confinement avant toute mesure corrective et se termine par un bilan post-incident qui permet d'actualiser à la fois les contrôles et les règles de détection.

1. Contenir la faille et empêcher toute nouvelle perte de données tout en préservant les preuves techniques nécessaires à l'enquête.
2. Évaluer l'ampleur du problème en identifiant les systèmes concernés, les types de données et le nombre de personnes touchées.
3. Informer les parties prenantes, notamment les conseillers juridiques, la direction générale, les clients concernés et les autorités de régulation, dans les délais impartis.
4. Faites appel à des spécialistes, notamment à des équipes d'experts en criminalistique et à des conseillers juridiques ayant une expérience en matière de violations de données, et envisagez de recourir à des services de recherche active de menaces afin d'identifier d'autres indicateurs de compromission que les outils automatisés auraient pu manquer.
5. Remédier aux failles qui ont permis cette intrusion, en s'attaquant aux causes profondes plutôt qu'aux symptômes.
6. Consignez les enseignements tirés et mettez à jour les contrôles de sécurité, les règles de détection et les procédures d'intervention avant de clore l'incident.

Notification des violations de données et exigences en matière de conformité

RGPD infligées RGPD depuis 2018, d'un montant total de 5,6 à 5,9 milliards d'euros, n'ont pas été principalement infligées pour défaut de prévention des violations ; bon nombre d'entre elles ont été prononcées pour non-respect des délais de notification, classification erronée des incidents et rapports insuffisants (RGPD Tracker 2025). Le cadre réglementaire auquel une organisation est soumise détermine à quel moment le délai de signalement commence à courir dès la confirmation d'une violation, et le fait de classer à tort une violation comme un incident de sécurité peut entraîner une deuxième sanction indépendante s'ajoutant à celle liée à l'événement initial.

Sources : RGPD Tracker 2025 ; HHS ; Foley & Lardner 2025

La directive NIS2, qui entrera en vigueur en octobre 2024, instaure la responsabilité personnelle des dirigeants, une première dans la législation européenne en matière de cybersécurité, pour les organisations actives dans 18 secteurs critiques, notamment l'énergie, les transports, la santé et la finance. Aux États-Unis, la Californie a adopté une obligation de notification dans un délai de 30 jours, qui entrera en vigueur en janvier 2026, tandis que les 50 États, ainsi que le District de Columbia, Porto Rico et les Îles Vierges, disposent chacun de leurs propres lois en matière de notification. Une organisation opérant aux États-Unis, dans l'UE et au Royaume-Uni est souvent confrontée à trois délais de notification simultanés, et c'est le plus court qui fixe la date limite opérationnelle.

MITRE ATT&CK associe les techniques des attaquants à des identifiants spécifiques, offrant ainsi aux équipes de détection un vocabulaire commun pour identifier les lacunes en matière de couverture. L'accès aux identifiants et l'utilisation abusive de comptes valides dominent la première moitié du cycle de vie d'une intrusion, tandis que les techniques de collecte et d'exfiltration caractérisent la seconde ; chaque tactique représente une occasion distincte de détection avant que l'impact ne se produise.

Sources : MITRE ATT&CK; IBM « Le coût d'une violation de données 2025 » ; Verizon DBIR 2025

Exemples notables de fuites de données

Trois incidents récents illustrent le fonctionnement des violations de données modernes — ainsi que les défaillances en matière de détection qui ont permis à chacune d'entre elles de passer de la compromission initiale à un impact total.

Fuite de données chez Change Healthcare (février 2024)

En février 2024, Change Healthcare a été victime du groupe de ransomware ALPHV/BlackCat après que des pirates ont exploité des identifiants d'accès à distance Citrix non protégés par une authentification multifactorielle (MFA). Cette attaque, qui constitue la plus importante fuite de données dans le secteur de la santé de l'histoire, a touché 192,7 millions de personnes (HIPAA Journal), perturbé le fonctionnement des pharmacies à l'échelle nationale pendant des mois et contraint UnitedHealth Group à verser une rançon qui s'élèverait à 22 millions de dollars.

Détails importants :

•  Accès initial : identifiants Citrix volés sans protection par authentification multifactorielle
• Déroulement de l'attaque : intrusion à l'aide d'identifiants , suivie du déploiement d'un rançongiciel
• Portée de l'incident : 192 ,7 millions de dossiers de patients ; perturbation du réseau pharmaceutique à l'échelle nationale
• Données concernées : dossiers médicaux , informations relatives à l'assurance, antécédents médicaux

Leçons pour les équipes de sécurité :

• Le protocole MFA est indispensable pour les systèmes d'accès à distance ; un seul point d'entrée non protégé a entraîné un risque systémique dans un écosystème de santé interconnecté.
• La détection comportementale des activités liées aux identités aurait permis de signaler l'utilisation abusive des identifiants avant que le ransomware ne parvienne à infecter les systèmes de production.

Violations de données chez AT&T (mars et juillet 2024)

AT&T a subi deux violations distinctes en 2024, qui ont donné lieu à un règlement à l'amiable de 177 millions de dollars. L'incident de mars a entraîné la divulgation de données clients suite à la compromission d'une plateforme tierce ; celui de juillet concernait une violation liée à Snowflake qui a affecté les enregistrements des appels des clients. Impact cumulé : plus de 73 millions de clients touchés.

Détails importants :

• Premier incident (mars 2024) : fuite de données clients suite à la compromission d'un prestataire tiers
• Deuxième incident (juillet 2024) : violation liée à Snowflake affectant les enregistrements des appels des clients
• Impact global : plus de 73 millions de clients ; accord de règlement d'un recours collectif portant sur les deux incidents

Leçons pour les équipes de sécurité :

• cloud tierces exigent un niveau de sécurité aussi rigoureux que celui des systèmes internes.
• La multiplication des incidents aggrave les dommages en termes de réputation et sur le plan financier bien au-delà de ce que chacune de ces violations aurait pu causer à elle seule.
• Les coûts liés à une violation de données vont bien au-delà des mesures correctives immédiates, puisqu'ils s'étendent aux règlements judiciaires qui interviennent plusieurs mois après la clôture de l'affaire.

Violation des données publiques nationales (avril 2024)

La société de vérification des antécédents National Public Data a été victime d'une violation de données qui a exposé 2,9 milliards d'enregistrements, comprenant notamment des numéros de sécurité sociale, des noms et des adresses.

Cause profonde : des identifiants en clair sur un site web partenaire ont permis d'accéder à la base de données principale. L'entreprise a ensuite déposé le bilan.

Détails importants :

• Cause profonde : des identifiants en clair stockés sur un élément connecté ont permis d'accéder à la base de données principale
• Données concernées : 2 ,9 milliards d'enregistrements, comprenant des numéros de sécurité sociale, des noms et des adresses
• Ampleur : l'une des plus importantes fuites de données de l'histoire en nombre d'enregistrements
• Conséquence : dépôt de bilan à la suite de la divulgation d'une violation

Leçons pour les équipes de sécurité :

• La gestion des identifiants doit s'étendre à l'ensemble des environnements et domaines connectés, et pas uniquement aux systèmes de production principaux.
• La minimisation des données réduit l'impact des violations ; la collecte de données superflues engendre des risques inutiles à grande échelle.
• Les conséquences financières existentielles d'une divulgation massive de données à caractère personnel ne sont pas qu'une hypothèse théorique.

Comment Vectra AI la détection des violations de données

L'approche Vectra AI en matière de détection des violations de données repose sur l'analyse comportementale à cloud réseau, des identités et cloud . Elle permet d'identifier les activités des attaquants après leur accès initial, pendant qu'ils sont encore en action, avant que les données ne quittent l'environnement.

Attack Signal Intelligence

Vectra AI Attack Signal Intelligence détecter et hiérarchiser les menaces en se basant sur les comportements des attaquants plutôt que sur des signatures connues. Lorsque les attaquants utilisent des identifiants valides, comme c'est le cas dans 61 % des violations, les outils basés sur les signatures considèrent qu'il s'agit d'un accès autorisé. L'IA comportementale identifie que cette même identité effectue des opérations de reconnaissance, accède à des systèmes en dehors de son rôle opérationnel et prépare des données, même lorsque chaque action prise isolément semble légitime. C'est cette distinction qui différencie la détection qui repère les violations en cours de celle qui les découvre à travers leurs répercussions en aval.

Network Detection and Response (NDR)

En surveillant simultanément le trafic réseau, cloud et les systèmes d'identité, Vectra AI les indicateurs de violation que les outils traditionnels ne détectent pas. Le NDR excelle dans la détection des menaces qui contournent endpoint : mouvements latéraux entre des appareils non gérés, trafic de commande et de contrôle chiffré, et usurpation d'identité dans cloud sur site et cloud . Pour les 61 % de violations causées par le vol d'identifiants, où les attaquants semblent être des utilisateurs légitimes, l'analyse comportementale au niveau du réseau offre la couche de visibilité qui comble le fossé entre la compromission initiale et la découverte de la violation.

Une observabilité unifiée tout au long de la chaîne d'action

Vectra AI le comportement des attaquants à chaque étape du cycle de vie d'une intrusion, qui comprend cinq phases : de la reconnaissance initiale aux mouvements latéraux, en passant par l'escalade des privilèges et la préparation des données. Les équipes de sécurité ont ainsi la possibilité de contenir les menaces avant que l'exfiltration ne se produise, plutôt que de les découvrir a posteriori, une fois que les conséquences opérationnelles ou réglementaires se sont déjà fait sentir.

Pendant les 241 jours où la plupart des organisations ignorent qu'une intrusion est en cours, l'issue ne dépend pas du niveau de sophistication de l'attaquant, mais de la capacité des défenseurs à détecter ses mouvements.

Conclusion

Les violations de données ne sont pas des événements aléatoires. Les schémas sont systématiques : l'accès initial est rendu possible par des identifiants compromis, les mouvements latéraux via des flux de travail légitimes prolongent la durée de présence des attaquants, le manque de visibilité globale retarde la détection, et les connexions de tiers amplifient l'impact en aval. Les organisations qui s'attaquent à ces vecteurs spécifiques par le biais de la détection comportementale, de la sécurité des identités et d'une planification formelle de la réponse aux incidents obtiennent systématiquement de meilleurs résultats que celles qui se contentent d'améliorations génériques en matière de sécurité.

Pour évaluer les risques actuels auxquels votre organisation est exposée, posez-vous les questions suivantes :

1.  Votre équipe de sécurité est-elle capable de détecter les mouvements latéraux et l'escalade de privilèges en temps réel sur l'ensemble des appareils, qu'ils soient gérés ou non, ou seulement a posteriori, par l'analyse des journaux ?
2. Votre programme de détection identifie-t-il les abus d'identifiants et les anomalies d'identité, ou s'appuie-t-il sur des signatures qui considèrent les identifiants valides comme un accès autorisé ?
3. Combien de temps faudrait-il à votre équipe pour détecter une intrusion perpétrée via une plateforme tierce à l'aide d'identifiants légitimes ?
4. Êtes-vous en mesure de fournir des preuves, prêtes à être présentées lors d'un audit, concernant votre couverture en matière de détection et vos mesures de réponse, dans un délai réglementaire de 72 heures ?
5. Avez-vous une visibilité en temps réel sur le comportement des identités — qu'il s'agisse d'utilisateurs, de comptes de service ou d'entités non humaines — sur l'ensemble de votre réseau ?

Les organisations qui comblent ces lacunes le plus rapidement dépensent moins, se remettent plus vite et présentent aux autorités de régulation des preuves, et non de simples explications.

Sources et méthodologie

Les statistiques et les chiffres relatifs aux violations de données figurant sur cette page proviennent des sources primaires suivantes :

• Étude IBM « Coût d'une violation de données en 2025 » — coûts moyens des violations à l'échelle mondiale et aux États-Unis, comparaisons des coûts par secteur, chiffres relatifs aux délais de détection, et impact financier des programmes d'IA, zero trust » et de gestion des incidents
• Rapport 2025 de Verizon sur les enquêtes relatives aux violations de données — Prévalence des ransomwares dans les intrusions dans les systèmes et taux de compromission des tiers
• SailPoint 2025 — Taux d'utilisation des identifiants
• SuiviRGPD 2025 — Montants cumulés des amendes et nombre de sanctions individuelles
• HIPAA Journal — Modification du nombre de dossiers médicaux
• Foley & Lardner 2025 — Évolution de la législation américaine en matière de notification
• MITRE ATT&CK — identifiants de techniques et classifications de tactiques

Les incidents de violation identifiés sont consignés à partir de rapports accessibles au public et des communications des organisations concernées.