Décompte des victimes d'une fuite de données : hypothèse d'une donnée bientôt normée

Quand une compromission de grande ampleur devient publique, une question s'impose avant toutes les autres : combien de personnes sont touchées ? Dans les jours qui suivent, plusieurs chiffres circulent, portés par des publications sérieuses, sans qu'aucune ne commette d'erreur. L'écart ne vient pas d'un défaut de vérification. Il vient de ce que le mot victime ne désigne pas la même chose selon l'unité de compte retenue, et de ce que personne n'est tenu de déclarer laquelle il a retenue.

Les articles publiés par Le Fil de la Veille sur les suites d'incidents majeurs illustrent régulièrement ce phénomène : le média rapporte chaque décompte avec l'attribution de la publication qui le donne, précisément parce que les additionner ou les moyenner produirait un artefact. Les relevés de l'Observatoire de l'Intelligence Économique sur la volumétrie des incidents rencontrent la même difficulté à l'échelle agrégée. Ce texte prend cette difficulté comme objet d'analyse plutôt que comme incident de parcours.

Ce qui suit est une hypothèse de travail et non une prédiction. Elle s'énonce ainsi : le décompte des victimes d'une fuite deviendra une donnée normée, avec une unité de compte et une date de référence déclarées, comme l'ont été avant lui d'autres chiffres publics d'abord communiqués librement. Nous posons cette hypothèse, nous exposons le mécanisme qui la rendrait vraie et nous décrivons ce qui la réfuterait.

Ce qu'un décompte de victimes compte réellement

Un décompte de victimes est une convention appliquée à un ensemble de données exposées. La première décision est l'unité : compte-t-on des personnes physiques, des comptes utilisateurs, des dossiers, des lignes de base, des entités juridiques ? Une même extraction produit des ordres de grandeur différents selon la réponse, sans qu'aucune ne soit fausse. Un particulier détenteur de trois comptes pèse une unité dans un décompte et trois dans un autre.

La deuxième décision est le seuil de gravité. Faut-il compter toute personne dont une donnée quelconque figure dans l'extraction, ou seulement celles dont les données exposées suffisent à créer un risque identifiable ? Un identifiant seul et un identifiant accompagné d'une coordonnée bancaire n'ont pas la même conséquence, et les organisations qui déclarent ne retiennent pas le même seuil. Le chiffre publié dépend donc d'un jugement sur le risque, rarement explicité.

La troisième décision est temporelle. Un décompte est arrêté à une date, dans un état d'avancement de l'investigation. Les périmètres s'élargissent quand l'analyse progresse, se réduisent quand des doublons sont éliminés. Un chiffre du troisième jour et un chiffre du troisième mois ne mesurent pas le même objet. Le confondre avec une révision à la hausse ou à la baisse revient à interpréter un état d'avancement comme une évolution du fait.

Pourquoi les décomptes publics divergent sans que personne ne mente

Les divergences observables se ramènent presque toujours à ces trois décisions non déclarées. Une publication reprend le chiffre d'un communiqué officiel, une autre celui d'une déclaration parlementaire, une troisième celui d'une autorité de protection des données : ces trois chiffres ont été construits sur des unités et des dates différentes. Aucun journaliste n'a arrondi. Le lecteur, lui, reçoit trois grandeurs présentées dans la même unité apparente, le nombre, et en tire mécaniquement une contradiction.

L'effet est amplifié par une asymétrie de charge. Déclarer une unité de compte demande une phrase ; vérifier laquelle a été utilisée demande un accès aux méthodes. Dans le temps court d'un incident, la phrase n'est pas écrite et l'accès n'existe pas. Le tableau ci-dessous récapitule les variables qui font varier un décompte à fait constant.

S'ajoute un effet de reprise. Un chiffre repris de reprise en reprise perd en chemin les précautions qui l'accompagnaient à l'origine : la mention d'un périmètre national, la formule prudente signalant une estimation provisoire, l'indication de l'unité. Au bout de trois relais, il ne reste qu'un nombre rond présenté comme un fait établi. Ce n'est pas une déformation volontaire, c'est la conséquence mécanique d'un format court : la précision méthodologique est la première chose qu'un titre supprime, et la dernière qu'un lecteur réclame.

L'hypothèse de travail : du chiffre de communication à la donnée déclarée

L'hypothèse retient un mécanisme précis. Une donnée devient normée quand un acteur en a besoin pour comparer et dispose d'un moyen d'exiger la comparabilité. Les assureurs, les régulateurs sectoriels et les autorités de protection des données réunissent progressivement ces deux conditions. À partir du moment où un chiffre sert à tarifer un risque ou à calibrer une sanction, l'absence d'unité déclarée devient un coût pour celui qui l'exige, et il l'impose.

Le précédent le plus instructif est celui des indicateurs financiers publiés. Ils ont d'abord circulé sous des définitions maison, puis se sont stabilisés sous l'effet d'utilisateurs capables de refuser un chiffre non défini. Rien n'indique que la trajectoire soit automatique, mais elle donne le mécanisme à surveiller : la normalisation vient du besoin de comparer, pas du souci de transparence.

Un chiffre devient une donnée le jour où quelqu'un a le pouvoir de refuser celui qui ne dit pas ce qu'il compte.

Les trois conditions de bascule, et ce qui invaliderait l'hypothèse

La première condition est l'existence d'un destinataire unique capable d'imposer un format. Tant que les déclarations se répartissent entre plusieurs autorités aux formats propres, aucune convention ne s'impose et l'hypothèse reste fausse. La deuxième est la stabilité de l'unité retenue : une norme qui laisse le déclarant choisir entre personnes et comptes ne normalise rien, elle déplace simplement la convention d'un cran.

La troisième condition est l'existence d'une sanction du décompte non déclaré, ou d'un avantage à le déclarer. Sans elle, la publication d'une norme produit un document que personne n'applique. Le test empirique est donc observable sans attendre : suivre, sur les notifications publiées, la part de celles qui précisent explicitement l'unité de compte et la date d'arrêt. Si cette part stagne malgré l'existence d'un cadre, l'hypothèse est réfutée.

Ce que cela change pour une cellule de veille et de crise

Une organisation exposée à ce type d'événement a besoin de deux lectures distinctes du même sujet. La première est opérationnelle : suis-je concerné, mes données ou celles de mes clients figurent-elles dans le périmètre annoncé, et par quel canal l'apprendrai-je ? Cette lecture ne dépend d'aucun décompte global. La seconde est réputationnelle et se joue sur l'espace public, où le chiffre circule et structure la perception de la gravité. Traiter ces deux lectures avec le même matériau conduit à surréagir sur la première et à sous-estimer la seconde.

Dans l'immédiat, et indépendamment de l'issue de l'hypothèse, une règle de traitement s'impose. Un décompte de victimes se rapporte toujours avec sa source et sa date, jamais comme un fait autonome. On ne le compare pas à un autre décompte issu d'une autre publication, on ne l'additionne pas, on ne le convertit pas d'une unité vers une autre. Cette discipline paraît triviale ; elle est la première victime du temps court.

La conséquence outillée suit. Un dispositif de veille utile sur ce type de sujet conserve, pour chaque chiffre collecté, le lien vers la publication d'origine et la date de publication, afin que la divergence reste lisible au lieu d'être écrasée par une synthèse. NewsCore (www.newscore.fr) couvre en continu des millions de sources, restitue chaque signal avec sa source primaire datée et raccourcit le délai entre la première publication d'un chiffre et son arrivée sur le bureau de l'analyste.

Questions fréquentes

Pourquoi les chiffres de victimes d'une fuite de données varient-ils selon les médias ?

Parce que les publications reprennent des chiffres construits sur des conventions différentes. L'unité de compte, personne physique ou compte ou dossier, le seuil de gravité retenu et la date d'arrêt de l'investigation suffisent à expliquer des écarts importants à fait constant. Le désaccord apparent porte sur la définition, pas sur la réalité de l'incident. La bonne pratique consiste à citer chaque chiffre avec la publication qui le donne, sans arbitrer entre eux.

Comment savoir quel décompte retenir dans une note interne ?

La question posée ainsi n'a pas de réponse satisfaisante, car elle suppose qu'un des chiffres est le bon. Une note interne rigoureuse présente la fourchette observée, attribue chaque borne à sa source, précise les dates, et signale que les conventions de comptage ne sont pas déclarées. Si la décision à prendre dépend du chiffre exact, alors ce n'est pas un décompte public qu'il faut chercher mais une confirmation directe auprès de l'organisation concernée.

Un décompte revu à la hausse signifie-t-il que l'incident s'aggrave ?

Pas nécessairement. Une révision à la hausse traduit le plus souvent l'avancement de l'investigation, qui découvre des ensembles de données jusque-là non rattachés à l'incident. Une révision à la baisse traduit souvent un dédoublonnage. Dans les deux cas, c'est la connaissance de l'incident qui évolue, pas l'incident lui-même, qui est un événement passé et clos dans son périmètre. Confondre les deux conduit à des lectures de dynamique entièrement fausses.