Intrusions et données
Particuliers et entreprisesVol, exfiltration et violation de données
Data theft / Exfiltration / Data breach
Des informations sont consultées, copiées ou exposées hors du cadre prévu.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une association découvre que son fichier d’adhérents circule en dehors de ses outils. Les documents sont toujours présents : rien n’a été effacé. Pourtant, une copie non autorisée peut exposer adresses, habitudes ou informations confidentielles pendant longtemps.
Comment cela fonctionne
Un vol de données consiste à obtenir des informations sans autorisation, par piratage, tromperie ou abus d’un accès. Une fuite peut aussi être accidentelle, par exemple lorsqu’un partage mal réglé rend des fichiers publics. Pour mesurer l’incident, distinguez les données accessibles, celles qui ont été consultées et celles dont une copie est prouvée. Les conséquences dépendent surtout de leur contenu et de la façon dont elles peuvent être réutilisées.
- Des informations deviennent accessibles
Compte, partage ou système compromis.
- Une copie quitte le contrôle
Les originaux peuvent rester intacts.
- Les données sont réutilisées
Fraude, publication ou pression.
Les signes qui doivent attirer l’attention
- Un service vous informe d’une exposition de vos données.
- Des consultations ou téléchargements inhabituels apparaissent.
- Un tiers présente un échantillon de documents internes.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Si un service annonce une fuite, vérifiez quelles données sont concernées depuis son site officiel. Méfiez-vous ensuite des sollicitations qui les utilisent pour vous mettre en confiance.
Si vous êtes responsable du service ou de l’organisation
Fermez l’accès à l’origine de la fuite. Distinguez les données qui étaient accessibles de celles dont la copie est établie. Associez le responsable de la protection des données aux démarches nécessaires.
Un mot de passe changé ne permet pas de récupérer les copies de données déjà sorties.
À vous de décider
Les fichiers sont toujours dans votre dossier. Cela exclut-il un vol ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. Un fichier copié reste à sa place d’origine. Pour vérifier un vol, il faut examiner les accès et les transferts, même si tous les documents sont encore présents.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Des lectures répétées ne correspondent pas forcément à autant de données différentes
Les requêtes R1 et R2 lisent chacune la même plage de 100 Ko d’un même objet et d’une même version. La requête R3 lit un autre objet de 2 Mo. Le réseau a donc transmis 2,2 Mo, mais seulement 2,1 Mo de contenu distinct sont observés. Compter la taille complète des objets à chaque lecture surestimerait encore le volume.
Pour calculer l’exposition, distinguer octets transférés, portions distinctes et objets accessibles. Tenir compte des reprises, caches, versions et réponses partielles. Une requête refusée n’est pas une lecture réussie ; une réponse réussie peut ne transmettre qu’une partie d’un objet. Les journaux doivent fournir les champs nécessaires à cette distinction.
L’enquête doit aussi établir qui avait accès, avec quelle identité et vers quelle destination. Une session autorisée peut être utilisée abusivement, tandis qu’un export massif peut correspondre à un travail prévu. Le volume ne dit pas la sensibilité : quelques documents peuvent avoir plus d’importance qu’une grande quantité de données publiques. Documenter ce qui a été observé, ce qui était accessible et ce qui reste inconnu faute de collecte.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Lecture R1 partielle
Identité S9 vers Stockage objet
Trace V7 / plage
- Réponse
100000 octets envoyés
Stockage objet vers Canal réseau
Trace status 206
- Action
Relecture de la même plage
Identité S9 vers Stockage objet
Trace R2
- Action
Lecture complète V3
Identité S9 vers Stockage objet
Trace R3
- Action
Audit et versions
Stockage objet vers Investigation
Trace catégories protégées
- Action
Volume observé
Canal réseau vers Investigation
Trace 2,2 Mo
- Action sur place
Conclusion avec limites
Investigation
Trace copie externe non confirmée
Comment repérer cette attaque
Indices à rechercher
Repérer les lectures inhabituelles, les exports et les transferts vers des destinations hors des usages attendus, ainsi que les accès dépassant le rôle du compte.
Quelles informations comparer
Relier objets, requêtes et identité d’accès, puis séparer taille des objets, octets envoyés et contenu unique potentiellement exposé. Si les plages de lecture sont connues, tenir compte de leur chevauchement.
Ce que ces indices ne permettent pas de conclure
Les logs S3 ne donnent pas systématiquement la plage demandée, et une livraison incomplète des journaux laisse des inconnues. Un transfert réussi ne permet pas de savoir combien de copies subsistent chez le destinataire.
Comment réagir
Révoquer l’accès compromis, préserver versions et traces, puis qualifier les données et destinataires avec le degré de certitude approprié. Renouveler les secrets exposés et corriger les permissions. Les obligations de notification doivent être évaluées avec les responsables compétents à partir du périmètre établi.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Les reprises d’une même plage ne sont pas comptées comme de nouveaux documents.
- Les réponses refusées ou partielles sont distinguées des lectures complètes.
- Le périmètre annoncé précise les versions, périodes et journaux effectivement disponibles.
À vous de raisonner
La même plage de 100 Ko est lue deux fois, puis un autre fichier de 2 Mo est lu une fois. Quels volumes décrivent le transfert et le contenu distinct, en unités décimales ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Le transfert total vaut 2,2 Mo ; le contenu distinct observé vaut 2,1 Mo. La seconde lecture de la même plage ajoute du trafic, pas de nouvelles données. Précisez les versions, les portions et la couverture des journaux ; ces nombres ne décrivent pas toutes les données qui étaient accessibles.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
range- Plage ajoutée à la reconstitution pour expliquer les doublons ; ce n’est pas un champ standard garanti des server access logs S3.
object_size- Taille de l’objet entier, distincte des octets effectivement renvoyés par une requête.
Requêtes partielles et accès répétés
JournalDonnées fictives. bytes_sent vient ici des logs d’accès du stockage, object_size de l’inventaire.
request=R1 object=export.csv version=V7 status=206 object_size=1000000 bytes_sent=100000 range=0-99999
request=R2 object=export.csv version=V7 status=206 object_size=1000000 bytes_sent=100000 range=0-99999
request=R3 object=clients.csv version=V3 status=200 object_size=2000000 bytes_sent=2000000
identity session=S9 issuer=RoleExport source=198.51.100.24
external_copy_confirmation=unavailablePréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Amazon S3 — server access logs
- Où les trouver
- Dans le compartiment de destination configuré pour la journalisation des accès du compartiment surveillé ; ce n’est pas l’historique de gestion CloudTrail.
- Quoi relever
- Pour un stockage S3, relever Request ID, opération, Key, HTTP status, Bytes Sent et Object Size. Un statut 206 signale une réponse partielle : additionner les octets ne dénombre pas automatiquement les données uniques.
- Accès et prérequis
- Journalisation préalable et accès au compartiment de logs. La livraison n’est ni immédiate ni garantie exhaustive. Les champs Bytes Sent et Object Size ne représentent pas la même quantité.
AWS — événements CloudTrail
- Où les trouver
- Console CloudTrail → Event history pour les événements de gestion disponibles ; pour une collecte plus large, consulter le trail ou l’event data store réellement configuré.
- Quoi relever
- Si les événements de données S3 étaient collectés, identifier le principal et les opérations sur les objets. Les événements de gestion seuls ne permettent pas cet inventaire de lectures.
- Accès et prérequis
- Droits de lecture AWS. Les événements de données, notamment les lectures d’objets S3, nécessitent une collecte dédiée : leur absence dans Event history ne prouve pas qu’aucun objet n’a été lu.
Sonde réseau Zeek — conn.log
- Où les trouver
- Sur une sonde déjà placée sur le trajet du trafic, ou dans le collecteur de ses journaux conn.log. Identifier le point d’observation, notamment avant ou après traduction d’adresses.
- Quoi relever
- Comparer les transferts sortants observés à la période des lectures. En présence de TLS, le volume ne désigne pas les documents et les réémissions peuvent compliquer le comptage.
- Accès et prérequis
- La sonde doit avoir vu le trafic. uid, adresses, ports, orig_bytes et resp_bytes décrivent les échanges observés ; les octets réseau ne sont pas le contenu d’un document ni son destinataire humain.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- GroupeLAPSUS$
Noms et appellations : DEV-0537 ; Strawberry Tempest depuis 2023 chez Microsoft
Acheter des accès et détourner l’assistance
Microsoft décrit des appels à l’assistance, des demandes répétées de validation MFA et le recrutement rémunéré de salariés ou de prestataires. Les attaquants utilisent ensuite des accès légitimes pour voler des données et pratiquer l’extorsion.
Ce qu’établit la source. Attribution de Microsoft fondée sur ses investigations. Le modèle décrit est l’extorsion et la destruction, sans déploiement de rançongiciel observé dans ce rapport.
Consulter le rapport DEV-0537 criminal actor targeting organizations for data exfiltration and destructionMicrosoft · Publié le
- GroupeCL0P
MOVEit : une injection SQL au service du vol de fichiers
À partir de mai 2023, les attaquants exploitent une injection SQL dans MOVEit Transfer pour accéder aux données. Ils installent un composant clandestin et volent des fichiers. L’extorsion repose ici sur la fuite des données ; elle ne suppose pas que les fichiers aient été chiffrés.
Ce qu’établit la source. Campagne attribuée à CL0P par le FBI et la CISA dans leur avis conjoint du 7 juin 2023.
Consulter le rapport CL0P Ransomware Gang Exploits MOVEit Vulnerability (PDF) · PDF sur ECRAN22 pages · anglais · édition : 16 juin 2023 · Provenance et copieFBI / CISA · Mis à jour le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Réduisez l’accès à la source de la fuite sans détruire les traces.
- Identifiez les données, personnes et périodes réellement concernées.
- Suivez les consignes du service concerné et méfiez-vous des sollicitations utilisant ces informations.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Exfiltration — attack.mitre.org
- Cybermalveillance — fuite de données personnelles — cybermalveillance.gouv.fr
- AWS — logs d’accès S3 — docs.aws.amazon.com
- AWS — format des logs S3 — docs.aws.amazon.com
