CERT-FR : près de 200 violations de données issues d'applications web suivies en 2025
Le CERT-FR a publié le 20 octobre 2026 un rapport sur les violations de données applicatives. Ce qu'il constate, ce que cela change pour les internautes dont les données circulent ensuite dans des fraudes.
L'essentiel
- Le 20 octobre 2026, le CERT-FR a publié le rapport CERTFR-2026-CTI-008 : en 2025, il a suivi près de 200 violations de données issues d'applications web.
- D'après le CERT-FR, dans de nombreux cas ces exfiltrations ont été permises par des actions d'un faible niveau de complexité, sans exploitation de vulnérabilité technique.
- Selon le CERT-FR, les divulgations de données peuvent causer des préjudices directs ou nourrir des campagnes de fraudes appuyées sur des informations précises et personnalisées.
- Le rapport s'adresse aux organisations : dix pistes de réduction des risques. Pour vous, l'enjeu est de limiter l'effet d'une fuite : mots de passe uniques et double authentification.
Que contient le rapport du CERT-FR ?
Le rapport CERTFR-2026-CTI-008, intitulé « Violations de données applicatives – Retour d'expérience du CERT-FR », a été publié dans sa première version le 20 octobre 2026. Selon le CERT-FR, il fait suite au rapport CERTFR-2024-CTI-009 de 2024, qui était limité au secteur social.
Le document comporte deux parties, des principes de sécurisation et des annexes techniques. Il ne traite que des applications web qui traitent des données sensibles. Le CERT-FR précise proposer dix pistes de réduction des risques à court et moyen terme, et non un niveau idéal de sécurité à long terme.
Que constate le CERT-FR ?
- près de 200 violations de données issues d'applications web suivies par le CERT-FR en 2025 ;
- des exfiltrations souvent rendues possibles par des actions attaquantes d'un faible niveau de complexité, sans exploitation de vulnérabilité technique ;
- des divulgations de données qui peuvent causer des préjudices directs ou alimenter des fraudes fondées sur des informations précises.
D'après IT Social, qui rapporte le contenu du rapport, le CERT-FR dénombre 196 incidents d'exfiltration en 2025 contre 130 en 2024, sans ciblage sectoriel particulier, dans un rapport de 80 pages. Ces chiffres sont attribués à ce média.
Le rapport est un retour d'expérience à destination des organisations. Il ne désigne pas de service précis et ne signale pas de faille unique à corriger par les particuliers. Sa lecture complète est réservée aux équipes techniques.
Pourquoi cela concerne-t-il le grand public ?
Quand des données personnelles sortent d'une application, elles servent ensuite aux escrocs : un faux conseiller qui connaît votre organisme, votre dossier ou une partie de votre identité est plus convaincant. C'est le mécanisme que décrit le CERT-FR en évoquant des fraudes appuyées sur des informations précises et personnalisées.
Face à un appel ou un message qui cite des informations exactes sur vous, ne vous fiez pas à cette exactitude. Raccrochez, puis contactez l'organisme par le site ou le numéro officiel.
Vos mots de passe, votre IBAN, votre adresse circulent déjà sur des listes revendues. Voici lesquels, et sur quels sites.
Que faire ?
Questions fréquentes
Selon le CERT-FR, près de 200 violations de données issues d'applications web. IT Social avance 196 incidents contre 130 en 2024.
D'après le CERT-FR, dans de nombreux cas, elles ont été permises par des actions d'un faible niveau de complexité, sans exploitation de vulnérabilité technique.
Non, ce rapport ne signale pas de faille précise à corriger sur vos appareils. Il s'adresse aux organisations qui exploitent des applications web.
Il propose dix pistes de réduction des risques à court et moyen terme et des annexes techniques.
Pour aller plus loin
Sources
- CERT-FR : Violations de données applicatives – Retour d'expérience du CERT-FR (CERTFR-2026-CTI-008) (20 octobre 2026)
- IT Social : Violations de données : la plupart des exfiltrations passent par des identifiants légitimes (20 octobre 2026)
Article informatif. Les chiffres sont ceux communiqués par les sources citées à la date de publication et peuvent évoluer.