Les fuites comme matière première d'enquête : trois régimes possibles

Les corpus issus de fuites sont devenus l'un des gisements les plus abondants de l'enquête contemporaine. Ils sont volumineux, structurés, souvent gratuits, et ils documentent des organisations de l'intérieur. Cette abondance crée une tentation immédiate pour les équipes de veille et d'investigation, et une question qui, elle, reste très largement impensée : selon quelle règle décide-t-on d'y toucher, et jusqu'où ?

L'actualité récente donne la mesure du phénomène. La République du Centre décrit une accélération des fuites de données en France, avec une fuite touchant 678 000 contribuables via la DGFiP et le groupe ZeroBytes qui revendique 346 millions de lignes de données de l'Éducation nationale. Youna Bentabed, experte en cybersécurité citée par le quotidien, insiste sur le risque humain et l'ingénierie sociale : ces fuites alimentent des attaques de phishing ciblé.

Un second cas rappelle que la revendication précède le fait. Info HighTech rapporte qu'un pirate affirme avoir dérobé 3,6 millions de dossiers d'employés liés notamment à McDonald's et Vodafone, sans qu'aucune violation de données soit confirmée. Hudson Rock note que ces données rendraient possibles des attaques plus ciblées, mais les attribue à des logiciels malveillants de vol d'identifiants plutôt qu'à une brèche chez l'hébergeur.

Pourquoi une fuite revendiquée n'est jamais, en soi, un fait établi

La chaîne qui va de l'annonce à la preuve comporte au moins quatre maillons distincts : l'existence du corpus, son authenticité, son périmètre réel et son origine. Le cas rapporté par Info HighTech les sépare parfaitement. Le corpus circule, les informations correspondent à des annuaires d'entreprise suspectés d'être authentiques, et pourtant l'origine annoncée par le vendeur est contestée par l'analyse technique.

Cette distinction n'est pas un raffinement méthodologique. Elle détermine qui est responsable, ce qui doit être notifié et à qui. Attribuer à tort une compromission à un hébergeur ou à un client alors que la matière provient d'infections individuelles conduit à des décisions de remédiation inadaptées, et parfois à une mise en cause publique injustifiée.

Les comptes rendus publiés par Le Fil de la Veille sur les annonces de compromission montrent la même mécanique dans plusieurs secteurs : la revendication circule vite, la vérification prend des jours, et l'écart entre les deux constitue la fenêtre où se prennent les plus mauvaises décisions. C'est cet écart que les trois régimes ci-dessous cherchent à discipliner.

Régime 1 : l'abstention, ou le refus de principe de toucher au corpus

Premier régime : l'organisation s'interdit tout accès au contenu d'un corpus obtenu illégalement, quelle qu'en soit la valeur informationnelle. Elle traite l'annonce comme un événement public, se limite aux communications officielles des entités concernées et aux analyses de tiers, et documente son abstention comme une décision, pas comme une omission.

Ce régime a une cohérence forte. Il élimine le risque de recel, il protège les personnes citées dans le corpus, il évite de valoriser économiquement le marché de la donnée volée, et il rend la position de l'organisation constante et défendable. Pour une entreprise dont l'activité principale n'est pas l'investigation, c'est souvent le seul régime tenable.

Son coût est un angle mort assumé. En s'interdisant le contenu, l'organisation se prive de la capacité de vérifier si ses propres données, ses collaborateurs ou ses fournisseurs figurent dans le corpus. Elle dépend alors entièrement des notifications reçues, dont la vitesse et l'exhaustivité échappent à son contrôle.

Régime 2 : exploiter le signal sans jamais ouvrir le contenu

Deuxième régime, intermédiaire et de loin le plus répandu en pratique : l'organisation exploite l'existence de la fuite comme un signal, sans accéder aux données elles-mêmes. Elle observe les annonces sur les forums, les revendications, les volumes affichés, la réputation du vendeur, la cohérence des échantillons publics, et en tire une évaluation de probabilité et d'urgence.

Ce régime produit de la valeur opérationnelle immédiate. Il déclenche des mesures qui ne dépendent pas de la véracité du corpus : renforcement de l'authentification, campagne de sensibilisation ciblée, surveillance des tentatives d'usurpation. C'est précisément le mode d'action que rend nécessaire l'avertissement relayé par La République du Centre sur l'ingénierie sociale, puisque le phishing ciblé exploite l'existence supposée de la fuite autant que son contenu réel.

La couverture des sources conditionne l'utilité du dispositif. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, détecte les annonces de compromission dès leur apparition et relie les mentions dispersées d'une même campagne, ce qui raccourcit le délai entre la revendication et la décision. La qualification finale reste, elle, un acte d'analyse assumé par l'organisation.

Régime 3 : l'exploitation encadrée, avec chaîne de garde et contrôle documenté

Troisième régime : l'organisation accède au contenu, mais sous un protocole écrit. Base légale identifiée, environnement isolé, journalisation des accès, minimisation stricte des données consultées, chaîne de garde des éléments retenus, validation juridique avant toute publication. Ce régime relève de la rédaction d'investigation, de l'autorité publique ou de la fonction sécurité, rarement d'une cellule de veille ordinaire.

Sa justification tient à l'intérêt public ou à un intérêt légitime de protection. Vérifier qu'un fichier contient effectivement les données de ses propres clients relève d'une logique défensive assumée. Documenter un système de corruption à partir de courriels internes relève d'une logique éditoriale, avec un examen explicite de la proportionnalité entre l'intérêt informationnel et l'atteinte à la vie privée des tiers non concernés.

Ce régime est le plus exigeant, et c'est aussi celui où l'improvisation coûte le plus cher. Sans protocole écrit antérieur à l'incident, les accès se font dans l'urgence, sans journal, sur des postes non isolés, et le travail devient impossible à défendre devant un juge comme devant un lecteur. La rigueur ne se décrète pas au moment où le corpus apparaît.

Ce que chaque régime protège et ce qu'il expose

Les trois régimes ne s'opposent pas comme le prudent et l'audacieux. Ils répartissent différemment trois risques : le risque juridique, le risque éditorial de propager une fausse information, et le risque humain pour les personnes figurant dans les données. Aucun régime ne supprime les trois à la fois, et c'est cette impossibilité qui rend la décision structurante.

Le point de vigilance est le glissement silencieux. Une organisation qui affiche le premier régime et pratique le troisième dans l'urgence combine les inconvénients des deux : elle assume le risque juridique de l'exploitation sans bénéficier du protocole qui la rendrait défendable. La cohérence entre le régime déclaré et le régime pratiqué vaut mieux qu'un régime ambitieux jamais respecté.

Une fuite ne devient une source que le jour où quelqu'un accepte d'écrire, avant de l'ouvrir, ce qu'il s'autorise à en faire.

Trois questions à trancher avant d'écrire sa doctrine interne

Première question : qui autorise. Un régime d'exploitation sans autorité nommée est une fiction. La doctrine doit désigner la personne qui valide l'accès, celle qui journalise, celle qui décide de la publication, et prévoir ce qui se passe quand ces personnes ne sont pas joignables. Les incidents surviennent rarement aux heures ouvrables.

Deuxième question : jusqu'où descendre. Consulter un corpus pour vérifier la présence de ses propres identifiants n'est pas du même ordre que le parcourir intégralement. La minimisation doit être écrite sous forme de règle opérationnelle, avec une liste de champs consultables et l'interdiction explicite d'en extraire d'autres, faute de quoi elle reste un principe décoratif.

Troisième question : que dit-on publiquement. Le silence complet est rarement tenable quand une revendication circule déjà, comme le montrent les cas rapportés par Info HighTech et par La République du Centre. Une communication qui distingue clairement ce qui est vérifié, ce qui est revendiqué et ce qui est en cours d'examen protège mieux qu'un démenti global démenti quelques jours plus tard.

Questions fréquentes

Consulter des données issues d'une fuite est-il illégal en France ?

La réponse dépend de l'acte précis et de sa finalité. La détention et la diffusion de données obtenues frauduleusement exposent à des qualifications pénales, notamment le recel, tandis que la consultation d'éléments rendus publics par des tiers relève d'analyses plus nuancées. Aucune organisation ne devrait arbitrer ce point sans avis juridique écrit, obtenu avant l'incident et non pendant.

Comment vérifier qu'un corpus annoncé est authentique ?

Par recoupement externe plutôt que par lecture interne. Les éléments utiles sont la cohérence des formats, la présence de champs improbables à fabriquer, la concordance avec des faits déjà publics, la réputation du vendeur et l'analyse technique de tiers. Le cas rapporté par Info HighTech illustre l'écart possible entre une matière authentique et une origine annoncée fausse.

Quel régime convient à une cellule de veille d'entreprise ?

Le deuxième dans la très grande majorité des cas. Exploiter le signal sans ouvrir le contenu apporte l'essentiel de la valeur défensive, déclenche les mesures utiles et n'engage ni la responsabilité pénale ni la sécurité des personnes citées. Le troisième régime suppose un mandat, un protocole et une couverture juridique dont peu de cellules disposent réellement.

Faut-il prévenir les personnes concernées par une fuite que l'on a identifiée ?

Oui lorsque l'organisation est responsable du traitement, avec les obligations de notification qui s'y attachent. Lorsqu'elle découvre une exposition qui ne la concerne pas directement, l'alerte responsable passe par l'entité victime et par les autorités compétentes, jamais par une publication qui augmenterait la diffusion. L'objectif reste de réduire l'exploitation, pas de la documenter publiquement.