Fuites de données : que deviennent les données volées ? [2/2]

L'essentiel de votre hack'tu cybersécurité

• Le marché de la donnée volée : les données personnelles, financières et d'authentification sont échangées sur le dark web, avec une valeur variable selon leur type (ex : cartes bancaires entre 15 et 35 euros, comptes crypto jusqu’à 550 euros). Ces données alimentent une économie criminelle, permettant des fraudes financières ou des extorsions physiques ; 
• Les formes de cybercriminalité évoluent : outre la revente, les cybercriminels utilisent les données pour des fraudes directes ou des attaques physiques, comme des enlèvements ciblés pour accéder aux cryptomonnaies. La violence physique devient parfois une méthode plus rentable et moins risquée que le piratage numérique ; 
• Fausses fuites de données et désinformation : la propagation de fausses alertes de fuite de données (ex : incidents non vérifiés ou anciennes données réassemblées) complique la réponse des experts en cybersécurité, en brouillant la distinction entre incidents réels et manipulations, ce qui peut déstabiliser la confiance dans les infrastructures numériques.

Fuite de données et cybercriminalité : la monnaie courante d'une économie parallèle ?

Pour faire suite au précédent article de notre diptyque consacré au phénomène de la fuite de données, nous nous penchons aujourd'hui sur l'exploitation illicite de ces mêmes données. En effet, les informations compromises deviennent des actifs négociables, dont la valeur marchande dépend de leur exploitabilité : identifiants bancaires, accès à des systèmes d'information, ou leviers pour des opérations d'extorsion.

Revente et industrialisation sur le dark web

Les données volées font l'objet d'un marché organisé. Sur les forums et places de marché du dark web, les informations personnelles, financières et d'authentification sont cotées selon leur fraîcheur, leur complétude et leur potentiel d'utilisation frauduleuse.

Combien valent les données personnelles sur ces marchés ?

• Les identifiants de streaming ou de réseaux sociaux peuvent être revendus entre 9 et 15 euros ;
• Un compte Coinbase - une plateforme de gestion des cryptomonnaies - peut se négocier jusqu'à 550 euros ; 
• Les données de services de paiement en ligne montent parfois jusqu'à 1 000 euros.

Les documents d'identité et les moyens de paiement forment le cœur de ce trafic. Si un numéro de carte bancaire avec code CVC se vend entre 15 et 35 euros, les copies de passeports européens se revendent en général pour plusieurs dizaines d'euros. 

Ce commerce alimente un cycle de fraude permanent, où chaque donnée volée devient un actif réexploitable pour l'usurpation d'identité ou le détournement de fonds.

Fuite de données : de la fraude financière au « crypto-kidnapping »

L’exploitation de données ne se limite plus à sa revente. Une fois en possession de données personnelles ou d’accès à des comptes, les cybercriminels peuvent les utiliser pour des fraudes directes : ouverture de comptes bancaires frauduleux, souscriptions de crédits à la consommation au nom des victimes, ou détournement de prestations sociales grâce à de fausses déclarations. Ces techniques d’usurpation d’identité font perdre de l’argent aux victimes et aux systèmes financiers ou sociaux.

Dans l'écosystème des cryptomonnaies, l'exploitation des données franchit parfois la barrière du numérique. Des groupes criminels ciblent désormais physiquement les détenteurs de crypto pour obtenir l'accès à leurs clés privées. 

Comme l'explique un épisode du podcast « Sur le fil » de l'AFP⁽¹⁾ :  les tentatives d'enlèvements de propriétaires de cryptomonnaies se multiplient : la menace physique devient un moyen d'accès direct aux portefeuilles numériques.

Cette dynamique trouve un écho dans une affaire révélée début février 2026. Un message publié sur BreachForums et signé via « PGP »⁽²⁾ affirme que des données issues du piratage présumé de la plateforme fiscale Waltio⁽³⁾ auraient servi à identifier plusieurs détenteurs de cryptomonnaies en France. Selon son auteur, ces informations auraient permis de cibler trois enlèvements majeurs, pour un total estimé à plus de 17 millions de dollars extorqués. Se présentant comme le fournisseur des données, il accuse désormais le groupe exécutant de ne pas lui avoir versé les 15 % convenus et menace de divulguer l’identité des ravisseurs si la somme n’est pas réglée.

Ce basculement vers la violence physique s'explique par un calcul simple : pour des criminels, il est souvent moins coûteux et moins risqué de contraindre physiquement un individu que de contourner des systèmes de cybersécurité robustes.

Le rapport entre bénéfice et risque penche en faveur de l'attaque physique, qui garantit un accès immédiat aux fonds sans nécessiter d'expertise technique particulière.

Fausses fuites de données : un phénomène de désinformation opérationnelle dans l’écosystème cyber

Si les données volées alimentent une économie criminelle réelle, un phénomène parallèle émerge et complexifie le paysage de la cybersécurité : la prolifération de fausses fuites dans un but de manipulation.

Fausses revendications de fuite : créer un signal sans incident technique

L’affaire dite de la fuite de l'Agence Nationale des Titres Sécurisés, qui est l'organisme chargé de la gestion des titres sécurisés en France (permis de conduire, cartes d'identité, passeports...)⁽⁴⁾ illustre ce mécanisme. Présentée comme une compromission massive, elle reposait en réalité sur des affirmations non étayées par des preuves techniques. L’analyse de l'incident a montré que les données évoquées n’étaient ni inédites ni démontrablement issues d’un système de l’ANTS. L’épisode met en évidence une pratique de plus en plus fréquente : annoncer une fuite sans capacité à prouver l’accès à une base réelle, en s’appuyant sur la crédibilité apparente du discours et la viralité de l’information.

Le même schéma est observable dans l’annonce d’une prétendue fuite de 16 milliards d’identifiants⁽⁵⁾. Là encore, l’enquête a montré qu’il s’agissait principalement d’un agrégat de données anciennes, déjà connues ou issues de fuites antérieures, réassemblées et présentées comme un incident inédit. Aucun système unique n’avait été compromis, et aucune nouvelle base n’avait été démontrée.

Cette stratégie vise à déstabiliser la confiance dans les infrastructures numériques critiques. L'impact médiatique et politique généré par une telle annonce crée un climat de méfiance généralisée, affaiblissant la crédibilité des institutions et rendant les citoyens progressivement désensibilisés face aux alertes de sécurité.

Faux groupes criminels et saturation de l’analyse cyber

Ce phénomène touche également les revendications d’attaque par ransomware. Le cas de 0apt⁽⁵⁾ en est un exemple documenté. Apparue sur des forums clandestins en revendiquant près de 190 victimes, cette entité s’est révélée être un acteur opportuniste se présentant abusivement comme un groupe de ransomware (ou rançongiciel), sans preuve de chiffrement. Selon l’enquête de Damien Bancal, expert en cybersécurité, révélé sur le site Zataz, l’objectif était de multiplier les fausses alertes, obligeant entreprises et analystes à vérifier des incidents inexistants.

Ces fausses fuites ne relèvent pas de la communication ou de l’influence, mais d’un problème opérationnel concret : elles consomment du temps d’analyse, brouillent la priorisation des incidents et compliquent la distinction entre signaux réels et bruit informationnel. Dans un contexte où les fuites avérées alimentent déjà une économie criminelle structurée, la désinformation devient un facteur de dégradation directe de la capacité de réponse des experts de la cybersécurité.

Comment se protéger contre les fuites de données ?

Réduction de l’exposition et gestion des vulnérabilités

La prévention des fuites de données commence par un principe simple : réduire au maximum ce qui peut être exploité. Dans la majorité des incidents analysés, les données ne fuient pas à cause d’un mécanisme inconnu, mais parce qu’un actif vulnérable ou mal configuré est resté exposé trop longtemps.

Le service Managed Vulnerability Intelligence Watch d’Orange Cyberdefense s’inscrit dans cette logique. Il permet une détection continue des vulnérabilités logicielles et des défauts de configuration, en tenant compte du contexte réel d’exploitation. L’enjeu n’est pas d’identifier toutes les vulnérabilités existantes, mais de prioriser celles qui concernent les actifs critiques et qui peuvent conduire à une exfiltration de données si elles sont exploitées.

Dans les environnements cloud, où les erreurs de configuration sont une cause récurrente de fuite, les outils de Cloud Security Posture Management (« CSPM ») jouent un rôle central. Ils auditent en continu les politiques d’accès et les configurations (stockages ouverts, permissions excessives, services exposés), afin de corriger rapidement les écarts responsables de nombreuses fuites massives observées ces dernières années.

Contrôle des flux et prévention de l’exfiltration

Réduire l’exposition ne suffit pas si la donnée peut sortir librement du périmètre de contrôle de l’entreprise. Le contrôle des points de sortie constitue donc un second pilier essentiel du durcissement de la posture de cybersécurité.

Des solutions telles qu'Email Protection et Micro-SOC Email&Cloud proposées par Orange Cyberdefense peuvent surveiller la messagerie de votre entreprise par exemple. Ces solutions permettent de bloquer ou d’alerter aussi bien sur des erreurs accidentelles que sur des tentatives d’exfiltration de données délibérées.

Au niveau des postes de travail, le déploiement de solutions Endpoint Protection couplées à la solution Dynamic SOC(autrefois Micro-SOC) permet de surveiller les manipulations de fichiers et les transferts vers des supports externes ou des services cloud non autorisés. Cette visibilité est essentielle pour interrompre une exfiltration avant qu’elle ne devienne exploitable.

Détection post-compromission et surveillance de l’activité cybercriminelle

Le risque zéro n’existant pas, la capacité à détecter rapidement une fuite après compromission est déterminante pour en limiter l’impact.

Les services de Cyber Surveillance d'Orange Cyberdefense permettent de surveiller le deep web et le dark web à la recherche de données appartenant aux entreprises : identifiants, documents internes, informations clients. Une détection précoce autorise des actions immédiates, comme la réinitialisation des accès, avant que les données ne soient utilisées à des fins de fraude ou d’extorsion.

Cette capacité est renforcée par le réseau mondial de SOC d'Orange Cyberdefense, qui assure une surveillance 24/7 des flux réseau. L’objectif est d’identifier des signaux faibles d’exfiltration et de permettre une réaction rapide des équipes CSIRT, dès les premières phases de l’incident.

Orange Cyberdefense vous accompagne dans la protection de vos données

Les fuites de données sont rarement dues à un seul facteur. Elles résultent d’un enchaînement de failles techniques, d’erreurs humaines et opérationnelles et de délais de détection.

Pour évaluer votre niveau d’exposition, prioriser vos risques et mettre en place des dispositifs adaptés à votre environnement, les experts d’Orange Cyberdefense peuvent vous accompagner dans une démarche pragmatique et fondée sur les usages réels. Contactez les équipes Orange Cyberdefense pour échanger sur votre contexte et vos enjeux de protection des données.

Sources et notes