Lire une notification de fuite de données : ce que le vocabulaire du périmètre, les hachages de mots de passe et le calendrier révèlent vraiment
L'avis de fuite de données est un genre étrange : rédigé par des avocats, publié sous pression réglementaire, conçu pour confirmer le moins de choses possible. Lorsque Marks & Spencer a informé ses clients en mai 2025 que des données personnelles de clients avaient été dérobées lors de l'attaque, qui tenait déjà sa boutique en ligne fermée depuis des semaines, la phrase disait plus que sa longueur ne le suggère. Tout avis répond à trois questions : jusqu'où l'intrusion est allée, à quel point les données volées sont exploitables, et depuis combien de temps l'organisation le sait.
Le vocabulaire du périmètre : ce sont les verbes qui racontent l'histoire
Le mot le plus informatif d'un avis est le verbe. Une partie non autorisée a pu avoir accès signifie que l'enquête n'a encore rien confirmé. Les données ont été copiées ou exfiltrées signifie que l'analyse forensique a observé un mouvement. Les régulateurs se couvrent de la même manière : la loi californienne sur les violations se déclenche quand des informations personnelles non chiffrées ont été acquises, ou qu'on a raisonnablement pu croire qu'elles l'ont été, par une personne non autorisée. C'est dans cet écart entre preuve et croyance que vivent la plupart des avis.La Californie exige une notification quand des informations personnelles non chiffrées "ont été acquises, ou qu'on a raisonnablement pu croire qu'elles ont été acquises, par une personne non autorisée" (Office of the Attorney General).Le mot violation lui-même s'étire plus qu'on ne le suppose. Have I Been Pwned le définit comme un incident où des données sont exposées par inadvertance dans un système vulnérable, généralement faute de contrôles d'accès suffisants ; aucune intrusion nécessaire. La même FAQ distingue les violations non vérifiées, où les données semblent authentiques sans que leur légitimité ait pu être établie, des violations fabriquées, agrégées depuis d'autres sources. Le périmètre, lui aussi, grandit. Zacks a annoncé en décembre 2022 une violation que les premiers rapports limitaient à 820 000 clients ; d'ici juin 2023 un corpus de près de 9 millions de comptes était apparu sur un forum de hacking ; en février 2025 un cybercriminel a publié un jeu de données annoncé à 12 millions d'enregistrements. Aucun avis de l'entreprise n'a jamais confirmé les chiffres les plus élevés. Prenez le premier chiffre pour un plancher, pas pour un fait.
La phrase sur les mots de passe décide de votre vitesse de réaction
Si des mots de passe sont concernés, le format de stockage est la molette d'urgence. Les hachages protégés par bcrypt, scrypt ou Argon2 sont volontairement lents à casser ; à facteurs de travail raisonnables, la plupart des attaquants passent leur chemin. MD5 non salé, SHA-1 ou une seule passe de SHA-256 tombent devant des cartes graphiques grand public à des milliards d'essais par seconde. Le texte en clair n'a même pas besoin d'être craqué. Le corpus Zacks est le cas d'école : hachages SHA-256 non salés, alors que l'entreprise avait rassuré les clients en disant que les attaquants avaient accédé à des mots de passe chiffrés, mais uniquement sous forme chiffrée. Chiffré est un mot corporate favori. Salé est celui qui vous protège. Quand une annonce de fuite prétend au texte en clair, traitez-la comme le cas catastrophique tout en vous demandant si l'annonce elle-même tient debout. Le prétendu déversement de 47,9 millions d'enregistrements de l'application coréenne de livraison FLY, dont nous avons parlé en août, affirmait des mots de passe en clair et des clés de paiement actives, et restait non vérifié à la publication. Non vérifié ne signifie pas inoffensif ; cela signifie non prouvé, et Have I Been Pwned est catégorique : l'absence de preuve n'est pas la preuve de l'absence. Dans tous les cas : considérez le mot de passe comme compromis et remplacez-le partout où il était réutilisé.Ce que les données de paiement impliquent et ce qu'elles n'impliquent pas
Des informations de paiement concernées sonne alarmant et ne l'est souvent pas. L'expression couvre tout, des numéros de carte complets avec CVV, immédiatement dangereux, aux chiffres masqués ou tronqués qui ne permettent aucun débit. Les marchands ne détiennent souvent jamais le numéro complet ; c'est le fait des processeurs de paiement. Quand M&S a confirmé que des données clients avaient été dérobées, il a dit que les données n'incluaient ni détails de paiement ni détails de carte utilisables, parce que l'entreprise ne les conserve pas sur les systèmes touchés, ni les mots de passe des comptes d'ailleurs. Lu dans l'autre sens : coordonnées et historique de commandes ont été pris, du carburant pour du phishing convaincant plutôt que pour de la fraude à la carte. Adaptez la réaction à la classe de données, pas au mot paiement.Pourquoi l'avis arrive avec des semaines de retard
L'écart entre découverte et divulgation est structurel, pas nécessairement de la dissimulation. La forensique prend du temps, le périmètre grandit à mesure que les journaux sont lus, et les régulateurs ajoutent leurs propres horloges. L'ICO britannique exige des organisations qu'elles l'informent dès que possible et, quand c'est faisable, sous 72 heures dès qu'elles en ont connaissance, les détails pouvant suivre. La Californie exige de déposer auprès de l'État un exemplaire de chaque avis client envoyé à plus de 500 résidents, ce qui fait de cette base un archive public d'avis authentiques. Le guide de réponse aux incidents du NIST, mis à jour en avril 2025, traite confinement, préservation des preuves et récupération coordonnée comme un seul processus délibérément lent. M&S gardait déjà sa boutique en ligne fermée depuis plus de trois semaines quand il a confirmé le 13 mai que des données clients avaient été dérobées. Le silence était la distance entre le soupçon et ce qu'une entreprise peut mettre par écrit.Quoi faire d'abord, et quoi ignorer
La première heure après un avis pertinent compte plus que le bon de remédiation. Dans l'ordre :- Mettez un mot de passe unique sur le compte concerné et changez-le partout où l'ancien était réutilisé.
- Forcez l'expiration des sessions : un changement de mot de passe le fait généralement, mais révoquez aussi les connexions liées et les jetons d'API là où c'est proposé.
- Activez l'authentification multifacteur tant que vous êtes encore connecté.
- Suivez la classe de données : numéros de carte complets signifie surveillez votre banque, pas le marchand ; coordonnées signifie attendez-vous à du phishing citant votre historique de commandes.