Fuite revendiquée puis confirmée : le baromètre du délai qui sépare les deux

Une revendication apparaît sur un forum ou un site de fuite : tel volume de données, telle organisation, tel échantillon à l'appui. La question qui suit intéresse toutes les équipes de veille et de sécurité : combien de temps faudra-t-il pour savoir si c'est vrai ? La réponse n'est pas seulement opérationnelle. Elle conditionne les décisions prises dans l'intervalle, communication, notification des partenaires, renforcement des contrôles d'authentification.

Ce baromètre mesure ce délai, en le décomposant en états successifs plutôt qu'en une durée unique. La raison est méthodologique : entre revendication et confirmation, il n'existe pas un vide mais une série de constats partiels, échantillon publié, recoupement par un tiers, silence de l'entité concernée, requalification technique, dont chacun a sa propre temporalité et sa propre valeur probante.

Le résultat le plus utile du relevé n'est pas la durée moyenne. C'est la part des revendications qui n'atteignent jamais l'état confirmé et restent indéfiniment en suspens. Cette part, largement ignorée des synthèses annuelles, change complètement la lecture des délais : une moyenne calculée sur les seuls cas confirmés décrit un sous-ensemble favorable et masque l'incertitude qui domine l'exercice.

Les cinq états d'une fuite revendiquée

L'état initial est la revendication : une annonce publique attribuant un volume de données à une organisation nommée. L'état suivant est la corroboration partielle, atteint dès qu'un tiers indépendant, chercheur, journaliste ou éditeur de sécurité, examine un échantillon et se prononce sur sa plausibilité sans conclure sur l'origine. Vient ensuite la requalification, moment où la nature exacte des données est établie, ce qui déplace souvent la responsabilité.

L'état de confirmation suppose une reconnaissance par l'entité concernée, une notification à une autorité de contrôle ou un constat public indiscutable. L'état de démenti, symétrique, suppose une contestation argumentée et vérifiable, non un simple silence. Enfin, un cinquième état, le plus fréquent, n'est ni l'un ni l'autre : le cas reste ouvert, faute d'élément suffisant pour trancher et faute d'acteur ayant intérêt à le faire.

Cette grille impose une discipline. Beaucoup de comptages assimilent la corroboration partielle à la confirmation, ce qui raccourcit artificiellement les délais mesurés et surestime la solidité de l'information disponible. Le baromètre les sépare strictement, quitte à afficher des délais plus longs que ceux couramment cités.

Échantillon, définitions et protocole du relevé

Le relevé porte sur des revendications publiques concernant des organisations identifiées nommément, écartant les annonces génériques et les reventes de compilations anciennes présentées comme nouvelles. Chaque cas est horodaté à la date de première publication de la revendication, et non à la date de sa reprise médiatique, qui intervient souvent plusieurs jours plus tard et fausse toute la chronologie.

Les ordres de grandeur observés sont dispersés. Une fraction des cas passe de la revendication à la confirmation en moins de quarante-huit heures, généralement lorsque l'entité concernée dispose déjà d'éléments internes et choisit de communiquer. Une fraction comparable met plusieurs semaines. Une part substantielle, la plus importante en volume, n'atteint jamais la confirmation et sort du suivi après quelques mois d'inactivité, sans qu'un verdict ait été rendu.

Le protocole impose de conserver, pour chaque cas, la capture datée de la revendication, la description de l'échantillon publié, l'identité des tiers ayant examiné les données et la nature exacte de tout constat public ultérieur. Cette chaîne de garde documentaire est ce qui rend le relevé reproductible : sans elle, la chronologie se reconstruit de mémoire et les dates se déplacent au gré des reprises.

Durées observées par état et facteurs de dérive

Le tableau ci-dessous résume les transitions entre états, la durée typique observée pour chacune et le facteur qui la conditionne le plus. Les durées sont des ordres de grandeur d'observation, présentés comme tels : elles se déplacent selon le secteur, la taille de l'organisation visée et l'existence d'une obligation de notification.

La transition la plus lente n'est pas la première mais la troisième. Établir qu'un jeu de données provient effectivement d'un système donné suppose une comparaison avec des enregistrements internes, opération qui mobilise des équipes déjà occupées et dont le résultat engage juridiquement. Le silence qui s'installe pendant cette phase est souvent lu comme un aveu, alors qu'il traduit fréquemment une vérification en cours.

Pourquoi tant de revendications ne sont jamais tranchées

Le cas rapporté par Info HighTech illustre exactement cette zone grise. Un pirate affirme avoir dérobé 3,6 millions d'enregistrements Azure et prétend vendre des dossiers d'employés liés notamment à McDonald's et Vodafone. Aucune violation de données n'est confirmée. Les informations correspondent à des annuaires d'entreprise suspectés d'être authentiques, ce qui place le dossier dans un état intermédiaire durable : les données paraissent réelles sans qu'une brèche soit établie.

La requalification technique est ici décisive. Info HighTech relaie l'analyse de Hudson Rock, qui attribue ces données à des logiciels malveillants de vol d'identifiants plutôt qu'à une brèche chez l'hébergeur, tout en notant qu'elles rendraient possibles des attaques plus ciblées. Le déplacement est considérable : la même annonce désigne d'abord une défaillance d'infrastructure, puis une accumulation de compromissions de postes de travail dispersés.

Cette requalification explique une large part des cas non tranchés. Une compilation issue de terminaux infectés n'a pas d'auteur unique à confirmer : aucune organisation ne peut reconnaître une brèche qu'elle n'a pas subie, et aucune ne démontre facilement qu'elle n'en a pas subi. Le dossier reste alors ouvert par construction, et les statistiques de délai le perdent de vue.

Un cas non tranché n'est pas un cas en attente : c'est un état stable du système d'information publique, et il faut le compter comme tel.

Ce que le délai coûte pendant qu'il s'écoule

Le délai n'est pas une période neutre. Il correspond au moment où les données circulent sans qu'aucun cadre officiel n'accompagne leur circulation. La République du Centre décrit une accélération des fuites en France, avec une fuite touchant 678 000 contribuables via la DGFiP et un groupe se faisant appeler ZeroBytes qui revendique 346 millions de lignes de données de l'Éducation nationale.

L'experte en cybersécurité Youna Bentabed, citée par La République du Centre, insiste sur le risque humain et l'ingénierie sociale : ces fuites alimentent des attaques de phishing ciblé. Le lien avec le baromètre est direct. Chaque jour d'incertitude est un jour où les personnes concernées ignorent qu'elles doivent redoubler de vigilance sur les sollicitations qu'elles reçoivent, et où l'organisation n'a pas encore adapté ses procédures de vérification des demandes entrantes.

C'est pourquoi la mesure du délai a une portée opérationnelle et non purement descriptive. Une organisation qui connaît la distribution des délais dans son secteur sait qu'attendre la confirmation avant d'agir revient à choisir l'inaction pendant une durée souvent supérieure à celle de l'exploitation. Suivre la circulation d'une revendication en temps réel devient alors une nécessité : NewsCore (www.newscore.fr) surveille des millions de sources en continu, détecte l'apparition d'une revendication dès ses premières reprises et relie chaque mention à sa source d'origine, ce qui raccourcit le délai de prise de connaissance.

Limites du baromètre et conditions de reproductibilité

La première limite est le biais de visibilité. Le relevé ne voit que les revendications publiques. Les fuites détectées en interne et traitées sans annonce, comme les ventes privées jamais annoncées, échappent entièrement à la mesure. Le baromètre décrit donc la temporalité de l'information publique sur les fuites, ce qui n'est pas la temporalité des fuites elles-mêmes, et cette distinction doit être rappelée à chaque publication de série.

La deuxième limite tient à la définition de la confirmation. Selon que l'on retient la reconnaissance par l'entité, la notification à une autorité ou le constat d'un tiers, la même série produit des délais différents. Comparer des chiffres issus de définitions distinctes n'a aucun sens, et l'essentiel des écarts entre publications concurrentes s'explique par ce seul point plutôt que par une divergence d'observation.

La troisième limite est la censure statistique. Les cas non tranchés n'ont pas de date de fin ; les inclure dans une moyenne supposerait de leur attribuer une durée arbitraire. Le baromètre les traite séparément, en publiant leur proportion à côté des délais mesurés sur les cas conclus. Toute présentation qui fusionne les deux populations produit un chiffre plus lisible et moins vrai.

Questions fréquentes

Combien de temps faut-il en moyenne pour qu'une fuite revendiquée soit confirmée ?

La moyenne est un mauvais outil ici, parce que la distribution est très asymétrique et parce qu'une part importante des cas n'aboutit jamais. Les observations font apparaître un groupe de cas confirmés en moins de deux jours, un groupe confirmé en plusieurs semaines et une population résiduelle qui reste ouverte sans terme. Le repère utile pour une équipe de veille est la part de cas encore non tranchés au bout d'un mois, indicateur plus stable et plus actionnable qu'une durée moyenne.

Comment distinguer une vraie brèche d'une compilation de données volées par des logiciels espions ?

Trois indices se lisent tôt. La structure de l'échantillon d'abord : une brèche produit des données homogènes issues d'un même schéma, une compilation agrège des formats hétérogènes. L'étendue ensuite : la présence simultanée de plusieurs organisations sans lien technique, comme dans le cas rapporté par Info HighTech, oriente vers une accumulation de postes compromis. La nature des champs enfin : des identifiants et des mots de passe de sessions diverses signalent des logiciels voleurs d'identifiants, tandis qu'une brèche applicative expose des champs métier propres au système visé.

Faut-il attendre la confirmation avant de réagir à une revendication ?

Non, mais la réaction doit être proportionnée à l'état atteint. Dès la revendication, les mesures sans regret se justifient : renforcement de la vérification des demandes de virement, vigilance accrue sur les sollicitations entrantes, information des équipes exposées. Les mesures irréversibles ou coûteuses, notification massive, communication publique, résiliation de contrats, attendent la requalification technique. Cette gradation évite à la fois la paralysie et la sur-réaction à une annonce qui se révélera parfois sans objet.

Un silence de l'organisation visée équivaut-il à une confirmation ?

Non, et l'assimilation est l'erreur d'analyse la plus répandue. Le silence recouvre des situations opposées : une vérification interne en cours, une contrainte juridique liée à une procédure ouverte, une décision de ne pas donner d'écho à une annonce sans fondement, ou effectivement une gestion défaillante. Le baromètre traite le silence comme une absence d'information et le compte dans les cas non tranchés, ce qui est la seule position tenable tant qu'aucun élément vérifiable n'a été produit.