Fuite de données

Qu'est-ce qu'une fuite de données ?

La transmission non autorisée de données d'une organisation à une source externe est appelée fuite de données. Ces données peuvent faire l'objet d'une fuite physique ou électronique via des disques durs, des appareils USB, des téléphones portables, et autres, et peuvent être exposées publiquement ou tomber entre les mains d'un cybercriminel.

En quoi une fuite de données diffère-t-elle d’une perte de données ?

Bien que les termes fuite de données et perte de données soient similaires, ils diffèrent comme suit :

• Les données sont dites perdues lorsqu'elles ne sont plus accessibles. La perte de données se produit principalement lors de problèmes matériels tels que les pannes de courant, les pannes d'ordinateur, les pannes de disque dur, et autres. Ces données perdues peuvent être restaurées en fonction de plusieurs facteurs.
• Dans le cas d'une fuite de données, les informations sont exposées à l'extérieur de l'organisation. Elles peuvent être perdues ou être en possession d'une personne qui n'en détient pas le droit légal.

Types de fuites de données

Les fuites de données sont classées en fonction de la façon dont la fuite se produit ou par qui elle a été perpétrée.

• Initié malveillant

  Des employés ou des partenaires commerciaux mécontents qui se séparent de l'organisation peuvent essayer de voler des données et de les divulguer à des concurrents, ou de les vendre pour une somme importante sur le marché noir.

• Exposition physique

  Des disques durs ou des appareils USB contenant du contenu sensible sont souvent laissés sans surveillance par les employés, ce qui met les données en danger.

• Communication électronique

  De nombreuses organisations adoptent des politiques BYOD (Bring Your Own Devices, apportez votre propre appareil) et encouragent les employés à utiliser leurs propres appareils au travail. Les pirates en profitent et tentent de tromper l'utilisateur en le faisant cliquer sur des liens à l’aspect inoffensif, ce qui leur permet d'accéder aux appareils et aux données qu'ils contiennent.

• Fuite accidentelle

  La cause la plus fréquente de fuite de données est l'erreur humaine. Les incidents fréquents incluent l'envoi d'e-mails contenant des informations critiques par les employés aux mauvais destinataires, des failles dans les politiques de sécurité telles que des autorisations excessives pour les fichiers critiques, des données sensibles laissées exposées en raison de vulnérabilités non corrigées dans un logiciel, etc.

Exemples de fuites de données

De plus en plus d'entreprises sont victimes de menaces pour la sécurité des données. Voici quelques incidents de fuites de données ayant eu lieu parmi les plus connus :

Fuite de données Facebook-Cambridge Analytica

Le scandale Facebook-Cambridge Analytica a été révélé en 2018, lorsqu'un ancien employé de Cambridge Analytica, une société britannique de conseil politique, a révélé des informations sur comment l'entreprise avait acquis les données de plus de 50 millions d'utilisateurs de Facebook. L'entreprise a développé une application nommée This is your digital life, qui a collecté les données de ses utilisateurs et de leurs amis depuis Facebook. Ces données ont été utilisées pour influencer les utilisateurs lors d'une campagne politique.

Fuite du nuage Amazon S3

Amazon Simple Storage Services, ou Amazon S3, n'est pas immune aux fuites de données. Plusieurs cas se sont produits où ses compartiments de stockage en nuage ont été mal configurés et où les autorisations ont été définies comme publiques par inadvertance par des organisations. En décembre 2019, le compartiment de stockage d'une société de conseil britannique a subi une fuite, révélant des informations sensibles, notamment des casiers judiciaires, des e-mails et des demandes d'emploi remontant à 2014.

Fuite de données Exactis

Une société de marketing de Floride nommée Exactis a découvert que les données de ses consommateurs avaient été exposées par un serveur non protégé qui permettait un accès public. Bien que les données ne contenaient ni numéros de sécurité sociale, ni informations de carte bancaire, elles comprenaient d'autres informations d’identification personnelle (PII) telles que des numéros de téléphone et des adresses de messagerie.