Rapport menaces et incidents du CERT-FR

En 2025, le CERT-FR a suivi près de 200 violations de données issues d’applications web.

Dans de nombreux cas, ces exfiltrations ont été permises par des actions attaquantes d’un faible niveau de complexité, sans exploitation de vulnérabilité technique.

Les divulgations de données ont des impacts et préjudices importants pour les citoyens, elles peuvent causer des préjudices directs ou bien nourrir des campagnes de fraudes appuyées sur des informations précises et personnalisées.

Le CERT-FR partage ici les leçons apprises lors l'accompagnement des bénéficiaires de son assistance.
Il fait suite au document https://cert.cyber.gouv.fr/cti/CERTFR-2024-CTI-009/ sorti en 2024 qui se limitait au secteur social.

Ce document n'est pas un guide. Il ne traite que de la sécurisation des applications web traitant des données sensibles. Les recommandations que vous y trouverez ont été mises en œuvre concrètement dans des réponses à incident. Ces mesures sont essentiellement destinées à monter le niveau d'un système existant et limiter les risques de violations de données répétées. L'objectif du document n'est pas l'exhaustivité. Il énonce des principes de sécurité efficaces et pour chacun donne des pistes claires de déclinaison effective.

Le document comporte deux parties : une première sur les principes de sécurisation, puis des annexes techniques indiquant comment mettre en œuvre ces principes dans les configurations rencontrées par l’ANSSI. Le document propose dix pistes de réduction des risques à court et moyen terme, pas un niveau idéal de sécurité à long terme.

Pour chaque principe, des exemples de mise en œuvre concrètes sur plusieurs technologies sont proposés.

Télécharger le rapport : RETEX du CERT-FR sur les violations de données applicatives