Une organisation annonce un « incident de sécurité ». Un groupe revendique une exfiltration. Un volume circule sur les réseaux sociaux. Ces trois informations peuvent concerner le même événement sans avoir la même valeur probante.
La première discipline consiste donc à ne pas fusionner des assertions de nature différente. Une analyse solide doit préciser ce qui est observé, ce qui est déclaré par une partie intéressée et ce qui reste à démontrer.
Conclusion courte : un incident confirmé ne prouve pas à lui seul une exfiltration, et une exfiltration ne permet pas à elle seule de valider le volume ou le contenu revendiqués.
Les mots décrivent des faits différents
La CNIL rattache la violation de données personnelles à une atteinte à la disponibilité, à l’intégrité ou à la confidentialité. Une indisponibilité causée par un rançongiciel peut donc constituer une violation même si aucune publication de données n’est démontrée. Inversement, une revendication publique ne suffit pas à établir qu’un système précis a été compromis.
Il faut au minimum distinguer quatre niveaux :
- Incident : un événement de sécurité est détecté ou reconnu.
- Compromission : un accès non autorisé à un système ou à un compte est établi.
- Exfiltration : la sortie de données hors du périmètre autorisé est étayée.
- Divulgation : des données sont rendues accessibles à des tiers non autorisés.
Ces niveaux peuvent se cumuler. Ils ne doivent pas être déduits les uns des autres sans élément supplémentaire.
Cinq questions avant de reprendre un chiffre
Un volume de comptes ou de fichiers est souvent l’élément le plus repris. C’est aussi l’un des plus difficiles à vérifier rapidement. Avant publication, cinq questions doivent recevoir une réponse, même partielle :
- Quelle est la source du chiffre ? Organisation touchée, autorité, document judiciaire, chercheur, attaquant ou simple reprise médiatique.
- Que compte-t-il ? Personnes, comptes, lignes, fichiers, objets de stockage ou occurrences dupliquées.
- Quel est le périmètre temporel ? Date de l’intrusion, fenêtre d’accès, date de détection et date de divulgation.
- Quel échantillon est observable ? Un extrait peut authentifier certaines données sans démontrer la taille totale revendiquée.
- Quelles vérifications sont indépendantes ? Plusieurs articles reprenant une même déclaration ne constituent pas plusieurs confirmations.
| Mention | Ce qu’elle autorise à écrire | Ce qu’elle n’autorise pas à écrire |
|---|---|---|
| Confirmé par l’organisation | L’incident reconnu et son périmètre déclaré | La totalité des détails non publiés |
| Revendiqué par l’attaquant | L’existence de la revendication | L’authenticité, le volume ou l’exhaustivité |
| Échantillon authentifié | La présence de données cohérentes dans l’échantillon | La taille du jeu complet |
| Information inconnue | La question reste ouverte | Une estimation présentée comme un fait |
La chronologie compte autant que le volume
Une analyse doit séparer au moins quatre dates : début possible de l’accès, détection, prise de connaissance et communication publique. La date d’une publication de données n’est pas nécessairement celle de l’exfiltration. La date d’une revendication n’est pas celle de la compromission.
Le NIST SP 800-61 Rev. 3, finalisé en avril 2025, replace la réponse à incident dans l’ensemble de la gestion du risque cyber. Cette approche invite à examiner la préparation, la détection, la réponse et la récupération au lieu de réduire l’événement à son moment médiatique.
Les journaux techniques sont déterminants pour reconstruire cette chronologie. Le CERT-FR rappelle notamment que les traces réseau utiles doivent permettre d’identifier la source et la destination d’un flux et de le qualifier. Une absence de trace ne démontre pas une absence d’exfiltration. Elle réduit la capacité à conclure.
Le délai de 72 heures n’est pas un délai d’enquête complet
Pour une violation de données personnelles présentant un risque, la CNIL indique que la notification doit intervenir dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance. Le point de départ repose sur un degré de certitude raisonnable qu’un incident a eu lieu et a touché des données personnelles.
Ce délai ne signifie pas que toutes les réponses forensiques doivent être disponibles. La CNIL prévoit une notification initiale qui peut être complétée. La communication publique, la notification réglementaire et la fin de l’investigation sont donc trois jalons distincts.
Une grille de publication réfutable
BLACKPROOF retiendra quatre blocs visibles pour les analyses d’incident :
- Faits établis : éléments directement soutenus par les sources listées.
- Hypothèses : interprétations possibles, avec leur niveau de confiance.
- Inconnues : questions que les données publiques ne permettent pas de trancher.
- Preuves attendues : éléments qui confirmeraient ou invalideraient la conclusion.
Cette grille rejoint la logique de la bibliothèque de preuves et des indicateurs ProofDebt de BLACKPROOF : rendre visible ce qui manque plutôt que combler le vide par une formule définitive.
Une analyse n’est pas affaiblie lorsqu’elle dit « inconnu ». Elle devient plus utile, car le lecteur sait exactement où s’arrête la preuve disponible et ce qui pourrait faire évoluer la conclusion.