Fuite, violation, compromission : ce que chaque mot engage quand un incident devient public

Quand un incident de sécurité devient public, trois mots se succèdent en quelques heures dans les dépêches, les communiqués et les notes internes : compromission, violation de données, fuite. Ils sont traités comme des synonymes stylistiques, alors qu'ils appartiennent à trois registres distincts. Le premier est technique, le deuxième réglementaire, le troisième descriptif. Choisir l'un plutôt que l'autre n'est pas une question de vocabulaire : c'est une prise de position sur ce qui est établi, sur ce qui reste hypothétique et sur les obligations qui s'ouvrent.

La cyberattaque visant la Direction générale des Finances publiques offre un cas d'école en cours de consolidation. BFMTV rapporte qu'un Conseil de défense consacré à cette cyberattaque sera organisé d'ici à la mi-septembre, que le président de la République a demandé au gouvernement d'établir l'ensemble des responsabilités liées à l'attaque, et que la porte-parole du gouvernement, Maud Bregeon, a souligné la nécessité pour les administrations d'être vigilantes. Selon BFMTV toujours, la DGFiP a confirmé deux intrusions ayant abouti au vol de données concernant au moins 678 000 particuliers et professionnels.

Ce repère prend cet épisode comme matière et non comme sujet. Il pose les trois définitions, montre où elles cessent de se recouvrir, et donne les critères qui font basculer un fait d'une catégorie à l'autre. Les reportages publiés par Le Fil de la Veille sur les premières heures de cet incident montrent à quel point le mot choisi dans le premier communiqué structure ensuite toute la lecture du dossier, y compris par ceux qui devront le qualifier juridiquement.

La compromission : une perte de maîtrise, indépendante de toute exfiltration

La compromission est un terme de sécurité des systèmes. Elle désigne l'état d'un actif, compte, poste, serveur, application, clé cryptographique, dont on ne peut plus garantir qu'il n'est contrôlé, lu ou modifié que par les personnes autorisées. Elle décrit un statut, pas un événement isolé, et elle se prononce sur un doute : dès lors que l'intégrité de l'actif n'est plus démontrable, l'actif est réputé compromis. C'est la raison pour laquelle une compromission peut être déclarée sans qu'aucune donnée n'ait quitté le système.

Deux conséquences en découlent. D'abord, la compromission se constate plus tôt que tout le reste : elle repose sur des traces techniques, connexion anormale, exécution suspecte, création de compte, mouvement latéral, et non sur la découverte de données à l'extérieur. Ensuite, elle appelle une réponse immédiate qui n'attend pas la qualification juridique : isolement, révocation des identifiants, rotation des secrets, reconstruction. Retarder ces gestes en attendant de savoir si l'incident est une violation au sens réglementaire est une erreur de séquence classique.

La compromission a aussi une profondeur variable qu'il faut nommer. Un compte utilisateur, un poste, un annuaire d'entreprise ou une chaîne de sauvegarde compromis ne se traitent pas de la même manière, même si le mot est identique. La question qui tranche est simple : jusqu'où l'attaquant a-t-il pu aller depuis le point d'entrée ?

La violation de données : une qualification réglementaire aux effets immédiats

La violation de données à caractère personnel est une notion du règlement général sur la protection des données. Elle recouvre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à ces données. Ce périmètre est plus large que l'intuition commune : il inclut la perte de disponibilité et la perte d'intégrité, pas seulement la sortie d'informations vers l'extérieur.

Deux effets s'y attachent, et ce sont eux qui rendent le mot lourd. Le responsable de traitement notifie la violation à l'autorité de contrôle dans les meilleurs délais, et si possible dans les soixante-douze heures après en avoir pris connaissance, sauf s'il estime que la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, il informe également les personnes concernées. Un incident purement industriel, sans donnée personnelle, peut donc être une compromission majeure sans être une violation au sens du texte.

Cette asymétrie explique des situations qui déroutent le public. Un chiffrement massif par rançongiciel qui bloque un service sans qu'aucune donnée ne parte constitue une violation, parce que la disponibilité est atteinte. À l'inverse, la publication d'un fichier de tarifs industriels, spectaculaire pour l'entreprise, n'en est pas une. Le critère n'est ni la gravité perçue ni la médiatisation : c'est la présence de données à caractère personnel et l'atteinte portée à leur confidentialité, leur intégrité ou leur disponibilité.

La fuite : un constat extérieur, souvent le plus tardif des trois

La fuite n'est pas une catégorie technique ni juridique, c'est une description de résultat : des informations se trouvent hors du périmètre où elles auraient dû rester. Elle se constate depuis l'extérieur, sur un forum, un canal de discussion, un dépôt public, un moteur d'indexation, parfois par un client ou un journaliste. C'est le seul des trois termes dont la preuve ne se trouve pas dans les journaux de l'organisation, ce qui en fait le point de rencontre naturel avec la veille en sources ouvertes.

Sa faiblesse tient à son imprécision. Une fuite ne dit ni quand l'exfiltration a eu lieu, ni par où, ni si l'échantillon publié correspond au volume détenu, ni même si les données proviennent réellement de l'organisation désignée. Une compilation d'anciennes fuites republiée sous un nouveau nom produit exactement les mêmes signaux extérieurs qu'une exfiltration récente. La qualification exige donc un recoupement entre ce que l'on voit dehors et ce que l'on peut établir dedans, faute de quoi l'organisation se défend contre un événement qui n'a pas eu lieu, ou nie un événement réel.

C'est aussi sur la fuite que se joue la question la plus instable, celle du décompte. Sud Ouest rapporte que la fuite affecte au moins 678 000 particuliers et professionnels, ainsi qu'environ 200 000 comptes cadastraux. Ces chiffres sont attribués à une publication et à un moment donné : ils décrivent l'état d'une consolidation en cours, pas un solde arrêté. Traiter un décompte provisoire comme un total définitif est la faute la plus répandue dans la reprise d'un incident, et elle survit longtemps aux corrections ultérieures.

Les critères qui font basculer un incident d'une catégorie à l'autre

Trois questions suffisent à trancher, et elles se posent dans cet ordre : ai-je perdu la maîtrise d'un actif, des données personnelles ont-elles été touchées dans leur confidentialité, leur intégrité ou leur disponibilité, et des informations sont-elles visibles à l'extérieur du périmètre ? Les réponses sont indépendantes les unes des autres.

Les cas mixtes sont les plus instructifs. Un accès administrateur obtenu puis coupé avant toute copie est une compromission sans fuite. Un vol de fichiers strictement industriels est une fuite sans violation. Un effacement accidentel de sauvegardes contenant des dossiers clients est une violation sans compromission ni fuite. Enfin, un incident peut cumuler les trois qualifications tout en n'étant établi que sur l'une d'elles au moment où l'organisation doit parler.

Le mot employé dans le premier communiqué n'est pas une description de l'incident : c'est une hypothèse de travail rendue publique, et elle vieillit mal si personne ne prévoit de la corriger.

Ce que la qualification retenue change dans la conduite d'un dossier

La qualification commande le calendrier. Une compromission ouvre un compte à rebours technique, une violation ouvre un compte à rebours réglementaire, une fuite ouvre un compte à rebours médiatique. Les trois horloges ne tournent pas à la même vitesse, et une cellule de crise qui n'a pas explicitement séparé les trois se retrouve à arbitrer entre elles sans le dire, généralement au détriment de la plus lente, la reconstruction technique.

Elle commande aussi la lecture des causes. Sud Ouest rapporte que le syndicat Solidaires Finances publiques désigne la dette technique de la DGFiP, c'est-à-dire l'ancienneté des systèmes d'information et des modèles de sécurité, comme cause principale des fuites, et rappelle que cette ancienneté avait déjà été critiquée par la Cour des comptes et l'Inspection générale des Finances. Une cause structurelle de ce type explique une exposition durable, elle n'explique pas à elle seule le déroulement d'une intrusion particulière : confondre les deux niveaux revient à remplacer l'enquête par un diagnostic général.

Elle commande enfin le dispositif de surveillance externe qui suit l'incident. Pendant des mois, des extraits, des republications et des revendications circulent, dans plusieurs langues et sur des supports hétérogènes. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie les signaux par intelligence artificielle et relie chaque alerte à sa publication d'origine, ce qui raccourcit le délai entre l'apparition d'un extrait et sa qualification par l'équipe qui suit le dossier.

Questions fréquentes

Quelle différence entre une compromission et une violation de données ?

La compromission décrit un état technique : la maîtrise d'un actif n'est plus garantie. La violation est une qualification juridique qui suppose que des données à caractère personnel aient vu leur confidentialité, leur intégrité ou leur disponibilité atteinte. On peut avoir l'une sans l'autre dans les deux sens. Un serveur de test compromis sans données personnelles n'ouvre aucune obligation de notification, tandis qu'une suppression accidentelle de dossiers clients par un prestataire constitue une violation sans qu'aucun attaquant ne soit intervenu.

Pourquoi les décomptes de victimes varient-ils autant d'une publication à l'autre ?

Parce qu'ils ne mesurent pas la même chose au même moment. Certains chiffres comptent des enregistrements, d'autres des personnes distinctes, d'autres encore des comptes ou des entités professionnelles, et chacun est arrêté à une date de consolidation différente. Un décompte publié une semaine après les faits reflète l'analyse disponible ce jour-là. La règle de méthode est d'attribuer systématiquement le chiffre à la publication qui le donne, de ne présenter aucun total comme définitif, et de ne jamais additionner des décomptes issus de sources différentes.

Une organisation doit-elle communiquer avant d'avoir qualifié l'incident ?

Elle doit distinguer ce qu'elle constate de ce qu'elle suppose. Dire que des intrusions sont confirmées, que le périmètre exact reste en cours d'établissement et qu'un point sera fait à une échéance annoncée est tenable et vérifiable. Employer un mot fort avant d'en avoir la preuve, ou au contraire minimiser par un terme vague, produit le même effet à retardement : la correction ultérieure sera lue comme un aveu. La qualification peut évoluer, à condition d'avoir annoncé dès le départ qu'elle était provisoire.

Comment surveiller efficacement les suites d'une fuite de données ?

En construisant un corpus de surveillance stable autour de marqueurs qui ne changent pas : nom de l'organisation, noms de systèmes cités publiquement, identifiants de revendication, formats de fichiers annoncés, langues des canaux où l'affaire est reprise. On y ajoute une règle de recoupement interne pour chaque signal, afin de séparer les republications d'anciens jeux de données des éléments réellement nouveaux, et on conserve la trace horodatée de chaque collecte, qui devient une pièce si le dossier prend un tour judiciaire.