Fuites de données et certificats numériques : la confiance numérique des Français s’effrite

DGFiP, ANTS, Free, SFR… la liste des fuites de données touchant les Français s'allonge mois après mois. Face à cette accumulation, une question s'impose : sommes-nous en train de nous résigner à l'insécurité numérique ? Réunis pour une table ronde des experts de RISKINTEL Media en partenariat avec Evertrust, Johane Protin (Comutitres), Jean-Julien Alvado (Evertrust) et Marcel Barelli (Foodex Group) reviennent sur ce paradoxe : plus les incidents se multiplient, moins ils semblent choquer. Mais derrière la donnée personnelle exposée se cache une autre fragilité, moins visible mais tout aussi critique : celle des certificats numériques, ce socle technique de la confiance que même les décideurs cyber peinent parfois à sécuriser.

Fuites de données : vers une résignation généralisée des Français ?
‍

Sommes-nous face à une crise de confiance numérique ? Depuis plus de deux ans, les fuites de données ne cessent de se multiplier. Free, SFR, Bouygues Telecom, Orange, France Travail, l'ANTS… Il est maintenant de plus en plus rare de trouver un organisme ou une entreprise qui n’a pas laissé filer les données de ses clients. La DGFiP est la dernière grande institution en date à avoir été infiltrée. Fin juin 2026, un pirate nommé ZeroBytes a usurpé les identifiants d’un agent de l’administration fiscale, puis téléchargé 678 000 lignes de données. Ces dernières concernent des particuliers comme des professionnels. Une seconde intrusion a été revendiquée sur le fichier cadastral, qui recense les propriétaires immobiliers. Ainsi, des revenus fiscaux de référence se sont retrouvés dans la nature. Pour 26 000 cas, les particuliers déclarent plus de 100 000 euros de revenus par an. Quelques-uns dépassent même les 10 millions d’euros. De quoi fournir une liste toute prête de cibles intéressantes pour des cambrioleurs et kidnappeurs.

À lire aussi : Wayback Machine : pourquoi 241 médias bloquent l'archive du Web

Ainsi, avec toutes ces fuites de données, nous avons au moins 10 millions de français qui sont concernés. De quoi engendrer une crise de confiance numérique ? Pour Johane Protin, directeur cybersécurité et DSI chez Comutitres, il faut nuancer la question. “Ce n’est pas une crise de confiance dans l’usage du numérique. La dépendance du numérique est telle aujourd’hui qu’il n’y a pas de crise là-dessus. C’est plus une résignation à travers toutes les fuites d’informations et des événements de sécurité qui se produisent depuis pas mal d’années maintenant. C’est plus une résignation de : est-ce qu’on est vraiment en capacité de protéger nos données ? La question devrait se poser comme ça selon moi”. 
‍

Cette résignation, elle, peut être palpable chez les français. Face à autant de fuite de données, que cela change-t-il s’il y a en une de plus ou une de moins ? “C’est devenu banal maintenant, assène Jean-Julien Alvado, cofondateur et CTO d’Evertrust. Le problème, c’est quand ça touche des données qui sont durables.” Pour lui, le problème se trouve surtout lorsque la fuite de données concerne des données personnelles. Personne ne peut changer de nom ou de date de naissance. Il y a ainsi un risque d’usurpation d’identité. “Dans mon entourage, je connais des gens à qui on a contracté des prêts. Ils vivent un enfer, c’est extrêmement compliqué”, explique-t-il.

‍

Transparence et éducation : les leviers pour restaurer la confiance
‍

Cette banalité des fuites de données vient-elle parce qu'elles sont devenues récurrentes dans les médias traditionnels ou justement parce qu’elles se sont massifiées ? Aujourd’hui, si notre fournisseur de services est victime d’une fuite de données, la majorité n'irait pas forcément chez la concurrence. Or, en 2017, l'étude internationale « Protect.me: How consumers see cyber security and privacy risks » menée par le cabinet PwC a indiqué que 87 % des consommateurs iront voir la concurrence s'ils estiment qu'une entreprise ne gère pas leurs données de manière responsable. Un vrai changement de paradigme. 

À lire aussi : Géopolitique et cybersécurité : la nouvelle menace des entreprises

Pour retrouver cette confiance entre client et organisation, Johane Protin estime que la transparence limite l’impact réputationnel. “Il n’y a rien de pire qu’une entreprise qui est contrainte de communiquer parce que c’est publié par un média ou un canal non-maîtrisé,” explique-t-il. Selon lui, le public préfère être prévenu et avoir une idée claire d’à quoi il pourrait être exposé. “Il ne faut pas être transparent toutes les semaines !, lui rétorque Jean-Julien Alvado, sinon ça devient problématique, réputationnel, c’est destructeur !”

De son côté, Marcel Barelli, DSI et CISO de Foodex Group, estime que l’entreprise doit aller encore plus loin. En plus de la transparence, il faut faire de l’éducation à toutes les personnes qui ont vu leurs données être volées. “C’est vraiment là qu’il faut aller appuyer. Ça commence à rentrer. Petit à petit, on arrive à avoir une politique d'éducation de la personne”. Pour la fuite de l’ANTS, par exemple, de nombreux français ont reçu des mails de phishing, annonçant qu’ils n’avaient pas payé d’amendes. L’éducation voulue par Marcel Barelli permettrait de rendre plus vigilant le grand public face à ce genre d’arnaque. 
‍

Un constat que partage Johane Protin. Le directeur cybersécurité et DSI de Comutitres éprouve pourtant quelques réserves. “Tout le monde sait à peu de choses près ce qu’est le phishing et comment s’en protéger. L’avènement de l’IA est venu rabattre les cartes. “Ça devient compliqué pour Monsieur et Madame Toulemonde, même pour nous en tant que professionnels, on est à quelques doigts de se faire piéger. C’est souvent une vigilance et une éducation par la situation à laquelle on est confronté”, explique-t-il. Ainsi, la perte de confiance peut commencer lorsque les utilisateurs et clients vont pouvoir faire le rapprochement entre ce à quoi ils ont été confrontés en termes d’événements et une fuite de données qui ont pu les concerner. “On risque d’arriver dans une ère où, au moment de faire un choix sur une solution, les gens vont commencer à se souvenir de ce qui à pu arriver à une entreprise”, conclut Johane Protin.
‍

Certificats numériques : la faille invisible de la cybersécurité
‍

Mais la confiance numérique ne se joue pas uniquement sur la donnée personnelle. Elle repose aussi sur une infrastructure technique largement invisible aux yeux du grand public et parfois même des décideurs eux-mêmes. Ces dernières années, ce sont surtout les ransomwares ou les fuites de données qui ont pu provoquer un impact réputationnel. Or, la mauvaise gestion des certificats numériques, également à l'origine d'incidents majeurs, s'avère tout aussi dévastatrice dans la relation de confiance avec un client. Dans un récent rapport, 60% des entreprises auraient connu une interruption de service ou des pannes inattendues liées aux certificats numériques. 
‍

“Il y a d’abord le sujet des pannes, explique Jean-Julien Alvado. Elles sont dues à un manque de visibilité. Les gens n’ont pas forcément les outils pour savoir quel certificat ils opèrent. Ça peut avoir des effets dévastateurs”. Microsoft en a connu la mésaventure en février 2020. Un certificat d’authentification a expiré et de nombreux utilisateurs ne pouvaient plus se connecter ou utiliser Teams pendant plusieurs heures. Même chose pour Spotify. Le 31 mai 2022, la plateforme Megaphone, rachetée par Spotify et utilisée pour l’hébergement et la diffusion de podcasts, a subi une interruption de service d’environ 8 heures. La cause était également l’expiration d’un certificat SSL qui n’avait pas été renouvelé. “Ca a un effet extrêmement négatif en termes d’image, mais aussi de perte de profit,” enchaîne le cofondateur et CTO d’Evertrust. 

Après les pannes, le deuxième sujet concerne les failles. “C’est plus des certificats qui sont mal gérés. On va pouvoir compromettre des identités ou avoir des accès auxquels on ne devrait pas avoir de droit”, continue Jean-Julien Alvado. Ce dernier a ensuite interpellé ses compères autour de la table. “J’imagine que vous utilisez le wifi dans votre société. Quand vous avez une machine ou un téléphone volé, j’imagine que vous pensez à décommissioner l’équipement, mais est-ce vous pensez à révoquer le certificat qui est associé à cet équipement ?”. La réponse de Marcel Barelli est simple : non. “Le wifi ne s'arrête pas à la porte d’entrée de l’immeuble, continue Jean-Julien Alvado. L’attaquant va se mettre dans le café d’en face, s’il a réussi à extraire le certificat, ce qui n’est pas très compliqué, c’est comme si il avait un accès interne à votre réseau. Ce risque est assez mal géré. Les décideurs ne le voient pas forcément.”

À lire aussi : Cybersécurité : l'IA agentique impose une course contre la montre

Marcel Barelli, DSI et CISO de Foodex Group le confirme. “On considère qu’un certificat n’est pas unique évidemment. On se doute bien que si un téléphone a été volé… Dans mon cas, souvent les téléphones sont détruits, donc c’est un peu plus compliqué, mais j’imagine que Johane doit avoir une problématique avec ce genre de sujet”. “Comme beaucoup d’entreprises autour des certificats, oui”, conclut le directeur cybersécurité et DSI chez Comutitres. 
‍

De la fuite DGFiP à la révocation de certificats oubliés, cette table ronde dessine une même ligne de fracture : la confiance numérique ne se perd pas seulement dans l'ampleur d'un incident, mais dans l'incapacité à le voir venir. Qu'il s'agisse de données personnelles éventées ou d'un certificat resté actif après le vol d'un téléphone, le problème est le même. Une visibilité insuffisante sur ce que l'on protège réellement. Reste que les trois experts s'accordent sur un point : la résignation du grand public n'est pas une fatalité. Elle se réduira à mesure que les incidents deviendront plus difficiles à ignorer, et que les entreprises cesseront de traiter la cybersécurité comme un centre de coût pour en faire, enfin, un gage de continuité et de confiance.