La plupart des conseils de prévention des fuites de données, y compris notre propre guide pour prévenir les fuites de données, visent à empêcher les attaquants de pénétrer dans le réseau de votre entreprise. L’utilisation d’identifiants plus robustes, la résistance au hameçonnage, des systèmes mis à jour et des fournisseurs vérifiés sont tous des éléments clés de cette pratique. Ce sont toutes des pratiques essentielles, mais elles ne peuvent pas constituer vos seules tactiques de protection contre les fuites de données : elles ne vous seront d’aucun secours si un attaquant parvient à infiltrer votre réseau.
Obtenir un accès et voler des données sont deux choses différentes. Un attaquant qui compromet une boîte de réception, un ordinateur portable ou la connexion d’un fournisseur n’a encore rien dérobé. Il a simplement pris pied, et ce qui se passe entre cette première étape et le moment où les données quittent l’entreprise est une phase que la plupart des guides de sécurité pour les PME ignorent totalement, car il ne s’agit pas seulement de sécuriser votre réseau, mais aussi de remarquer que des données sont déplacées en dehors de celui-ci.
Cette phase est appelée l’exfiltration, et elle dure généralement plusieurs jours, voire plusieurs mois, sans être détectée. Elle est rendue possible par des outils et des canaux qui semblent tout à fait ordinaires pour quiconque ne les surveille pas spécifiquement. Les notifications de fuites de données arrivent fréquemment en retard non pas parce que les organisations ont négligé la compromission initiale, mais parce que l’attaquant n’a pas été détecté à l’intérieur du réseau de l’entreprise.
La phase d’exfiltration : ce qui se passe entre l’accès et le vol
À quoi ressemble l’exfiltration de données
Pourquoi l’exfiltration est-elle difficile à repérer ?
Ce que les entreprises doivent surveiller
Comment une détection précoce peut changer votre situation juridique
Qu’advient-il des données d’entreprise exfiltrées ?
Limiter ce à quoi un attaquant peut accéder
La phase d’exfiltration : ce qui se passe entre l’accès et le vol
Une fois qu’un attaquant a obtenu un accès initial, que ce soit par un e-mail d’hameçonnage, un identifiant volé ou la connexion compromise d’un fournisseur, il passe rarement directement au vol de données. Agir immédiatement risquerait de déclencher une alerte avant d’avoir trouvé des données intéressantes à dérober ; la méthode la plus courante est donc la patience.
L’attaquant prend le temps de cartographier l’environnement, notamment en effectuant les actions suivantes :
- Identifier où sont stockés les documents financiers
- Évaluer quels outils SaaS contiennent des données clients
- Localiser les comptes disposant des accès les plus étendus
- Détecter si une surveillance des activités est mise en place.
Cette phase de reconnaissance peut être lente. Certains attaquants agissent en quelques heures, en particulier dans les cas opportunistes de rançongiciels où la rapidité prime sur la discrétion. D’autres, en particulier dans les affaires de vol de données ou d’espionnage à long terme, restent infiltrés pendant des semaines ou des mois, apprenant les schémas habituels d’activité pour s’y fondre complètement.
Dans tous les cas, au moment où l’attaquant commence à extraire des données, il sait généralement déjà exactement ce qu’il veut et quel compte ou système lui permettra de s’en emparer sans déclencher d’alarme.
À quoi ressemble l’exfiltration de données
L’exfiltration malveillante est difficile à repérer car elle ressemble aux activités quotidiennes. Les administrateurs informatiques ne recherchent pas des transferts de fichiers légèrement plus volumineux que d’habitude ou des dossiers synchronisés là où ils ne devraient pas l’être.
Transferts de données volumineux ou inhabituels
Il s’agit de la forme d’exfiltration la plus directe. Par exemple, un compte peut soudainement récupérer des gigaoctets à partir d’un serveur de fichiers ou d’une base de données qu’il n’utilise normalement qu’occasionnellement, ou exporter en masse des données depuis un CRM ou une plateforme RH.
Dans les environnements qui s’appuient fortement sur le SaaS, l’exfiltration s’effectue souvent par le biais des fonctionnalités d’exportation de la plateforme : téléchargements groupés au format CSV, exportations de dossiers clients au format PDF, ou encore une série de captures d’écran d’un tableau de bord qui ne dispose d’aucun bouton d’exportation.
Un cas typique pourrait ressembler à ceci : un compte RH compromis est utilisé, sur plusieurs semaines, pour effectuer de petites exportations échelonnées de dossiers d’employés plutôt qu’un seul téléchargement groupé évident. Chaque exportation individuelle semble anodine, tout à fait conforme à ce qu’une plateforme RH attend d’une personne occupant ce rôle.
C’est seulement le schéma au fil des semaines, le même compte exportant des données similaires à des intervalles inhabituels, qui révélerait ce qui se passe, et ce schéma ne devient visible que pour une entreprise qui le recherche.
Compromission de boîte de réception
Un attaquant qui compromet une boîte de messagerie professionnelle peut configurer une règle qui copie discrètement chaque message, ou chaque message correspondant à certains mots-clés, vers une adresse externe, lui offrant un flux continu de correspondances sensibles bien après que l’e-mail d’hameçonnage initial a été oublié.
Compromission de l’espace de stockage cloud
L’espace de stockage cloud personnel est une autre voie courante. L’ordinateur portable compromis d’un employé, ou un compte compromis ayant accès aux fichiers de l’entreprise, peut être utilisé pour copier des documents dans un compte personnel Dropbox, Google Drive ou un service similaire — un transfert qui ressemble souvent en tout point à une sauvegarde de fichiers légitime, à moins que quelqu’un ne vérifie la destination finale des données.
Pourquoi l’exfiltration est-elle difficile à repérer ?
La dure réalité concernant l’exfiltration est qu’elle ne nécessite généralement aucun logiciel malveillant(nouvelle fenêtre). Un attaquant qui utilise un compte compromis pour exporter un rapport, transférer des e-mails ou importer des fichiers vers un drive cloud utilise les mêmes outils et autorisations qu’un employé légitime au quotidien.
Il n’y a aucun fichier exécutable suspect à signaler pour un logiciel antivirus, ni aucun processus inhabituel à détecter pour un outil de détection sur les points de terminaison, car l’activité n’a techniquement rien d’anormal. Elle ne semble anormale qu’en contexte, et le contexte est précisément ce que la plupart des outils de sécurité pour PME ne sont pas conçus pour évaluer.
C’est pourquoi les défenses axées sur le périmètre, même parfaitement mises en œuvre, ne suffisent pas à elles seules. Une entreprise peut tout faire correctement au point d’entrée, imposer des identifiants robustes, former ses employés contre le hameçonnage, mettre à jour chaque système et ne disposer d’aucun moyen de savoir qu’un compte compromis transfère régulièrement des fichiers vers une destination externe, car cette activité n’a jamais été conçue pour paraître suspecte à l’origine.
Les chercheurs en sécurité appellent parfois cela le « living off the land » : utiliser les logiciels légitimes de la cible, ses intégrations cloud et ses outils d’administration plutôt que d’utiliser des outils qu’un produit antivirus identifierait comme illégitimes.
Un client de synchronisation de fichiers, une fonctionnalité d’exportation intégrée ou une règle de messagerie standard ne sont pas des outils malveillants en soi. C’est pourquoi un attaquant qui s’appuie sur eux peut opérer si longtemps sans déclencher les mécanismes conçus pour intercepter les logiciels malveillants.
Ce que les entreprises doivent surveiller
Pour détecter l’exfiltration à temps, il convient de surveiller un nombre restreint de signaux spécifiques, plutôt que de scanner largement toute activité suspecte.
Trafic et exportations
Les volumes ou destinations inhabituels de transfert de données méritent la plus grande attention. Votre organisation doit surveiller les pics de trafic sortant, les exportations en masse depuis un système qui n’en connaît pas habituellement, ou tout transfert vers une destination que vous ne reconnaissez pas.
Le guide du NCSC sur la sécurité des données(nouvelle fenêtre) recommande expressément de consigner les accès aux données sensibles et de surveiller les requêtes inhabituelles ou les tentatives d’exportation en masse, précisément parce que ce schéma indique une activité qui dépasse le cadre d’un usage normal.
Règles de transfert d’e-mails
Les règles de transfert automatique des messages méritent d’être auditées directement, en particulier pour tout compte impliqué dans un incident d’hameçonnage présumé. Une règle transférant discrètement des messages vers une adresse inconnue peut passer inaperçue pendant des mois, et c’est pourtant l’une des vérifications les plus simples à effectuer dès lors que l’on sait où chercher.
Connexions inhabituelles
Les activités de connexion depuis des emplacements ou à des heures inattendus sont un signal à prendre au sérieux. Une connexion à 3 h du matin depuis un pays où l’entreprise n’est pas implantée n’est pas une preuve formelle en soi, mais lorsqu’elle est recoupée avec un transfert de données au même moment, c’est une information qui peut confirmer un incident.
L’activité des comptes administrateur en dehors des heures de bureau mérite une attention particulière, car ces comptes disposent généralement des accès les plus étendus à un système et constituent une cible privilégiée précisément pour cette raison.
L’activité sur ces comptes tard dans la nuit, le week-end ou pendant une période où l’administrateur est absent du bureau est l’un des indicateurs les plus fiables qu’un compte, et pas seulement un appareil, a été compromis.
Comment une détection précoce peut changer votre situation juridique
Conformément au RGPD de l’UE et au RGPD du Royaume-Uni, l’article 33(nouvelle fenêtre) accorde aux organisations un délai de 72 heures pour notifier l’autorité de contrôle compétente dès lors qu’elles ont connaissance d’une fuite de données affectant des données personnelles : l’ICO au Royaume-Uni(nouvelle fenêtre) ou l’autorité nationale de protection des données dans chaque État membre de l’UE.
L’exigence est essentiellement la même dans toutes les juridictions : le compte à rebours commence pour votre organisation au moment de la prise de connaissance, et non au moment où la fuite de données s’est réellement produite. C’est pourquoi une surveillance rigoureuse de l’exfiltration est si importante pour la conformité, et pas seulement pour la sécurité.
Une entreprise qui détecte l’exfiltration de manière précoce, grâce à l’audit des règles de transfert, à la surveillance des transferts ou aux alertes de connexion inhabituelle, peut effectuer une notification proactive, selon son propre calendrier, avec une vision raisonnablement claire de ce qui a été dérobé.
Une entreprise qui ne découvre une fuite de données que des semaines ou des mois plus tard, souvent parce qu’un client s’est plaint ou que des données volées sont apparues sur un forum clandestin, effectue une notification réactive, sous pression, souvent avec une vision incomplète de l’ampleur de l’incident et un régulateur qui lui demande pourquoi elle a mis si longtemps à s’en apercevoir.
La différence va bien au-delà de l’impact sur votre réputation. Elle influe sur la façon dont l’incident dans son ensemble est évalué et sur la marge de manœuvre que le régulateur sera disposé à vous accorder.
Qu’advient-il des données d’entreprise exfiltrées ?
Le Data Breach Observatory de Proton suit les informations qui apparaissent sur le dark web après une fuite de données, et la tendance observée offre un rappel réaliste de ce que vise réellement l’exfiltration.
Selon la mise à jour 2026 du Data Breach Observatory, les noms et les adresses e-mail apparaissent dans près de neuf fuites de données suivies sur dix, les coordonnées telles que les numéros de téléphone et les adresses postales figurent dans environ trois quarts d’entre elles, et les mots de passe sont exposés dans près de la moitié des cas.
Des catégories plus sensibles, telles que les pièces d’identité officielles, les dossiers médicaux et d’autres informations d’identification personnelle, apparaissent dans un peu plus d’un tiers des fuites de données, tandis que les informations financières directes représentent une part plus faible, soit environ une sur vingt.
Les PME représentent la majorité des fuites de données suivies par l’Observatory, et elles sont représentées de manière disproportionnée parmi les incidents impliquant les catégories de données les plus sensibles.
Cette combinaison — un ciblage fréquent et un taux élevé d’exposition de données sensibles — correspond au type d’exfiltration décrit dans cet article : les attaques qui s’étalent sur une longue période au sein des systèmes d’une plus petite organisation ont tendance à être plus rentables, car personne ne savait que des données fuitaient et les attaquants pouvaient tout dérober.
Limiter ce à quoi un attaquant peut accéder
La surveillance de l’exfiltration permet d’intercepter les données au moment de leur sortie, mais l’ampleur du problème se joue plus tôt, selon ce à quoi un compte compromis peut accéder initialement. Un attaquant qui obtient l’accès à un compte doté d’autorisations larges et sans restriction peut puiser dans bien plus de systèmes qu’un attaquant qui compromet un compte strictement limité aux besoins de son rôle spécifique.
Des identifiants uniques pour chaque compte, combinés à un accès strictement limité aux besoins réels d’un rôle, réduisent directement la surface d’exfiltration. Si un compte marketing compromis ne peut accéder qu’aux systèmes marketing, le pire des scénarios est limité par conception, plutôt que de dépendre de la retenue de l’attaquant ou de la capacité d’un système de surveillance à le détecter à temps.
C’est la même logique de confinement qui limite le rayon d’impact lors d’une fuite de données liée aux identifiants : le compte compromis ne devrait pouvoir faire fuiter que ce à quoi il était légitimement autorisé à accéder.
Un gestionnaire de mots de passe professionnel comme Proton Pass for Business permet de maintenir ce cloisonnement de manière réaliste, car il élimine la tentation de réutiliser un jeu pratique d’identifiants génériques sur plusieurs outils simplement parce que la gestion manuelle d’identifiants uniques n’est pas viable à grande échelle.
Lorsque chaque compte dispose de ses propres identifiants et que les accès sont réévalués en fonction des besoins réels de chaque rôle, un compte compromis cesse d’être une passerelle vers l’ensemble des données de l’organisation pour devenir, au pire, un incident circonscrit.
Proton Pass for Business peut accompagner votre entreprise avec :
- Des politiques d’équipe personnalisables qui vous aident à appliquer votre politique de mots de passe avec des exigences de mot de passe, l’authentification à deux facteurs (A2F) obligatoire et des règles de partage de données révoquées
- Des journaux d’utilisation qui vous permettent de visualiser l’activité au sein de votre réseau, avec la prise en charge supplémentaire de notre programme avancé de haute sécurité Proton Sentinel
- Des groupes organisés par rôle, projet ou niveau d’accès, simplifiant la gestion des accès et garantissant que chaque membre de l’équipe n’a accès qu’à ce dont il a besoin.
Empêchez l’exfiltration de données basée sur les identifiants avec un gestionnaire de mots de passe professionnel.
