L'année 2024 aura été chargée pour la CNIL (Commission nationale de l'informatique et des libertés). Dans son bilan d'activité annuel, elle note l'augmentation notable, de 20%, des cas des violations de données personnelles recensés.
5629 notifications de violations ont été enregistrées l'an dernier mais, ce qui inquiète particulièrement la Commission, c'est l'augmentation du nombre de pillages massifs de données personnelles obtenues grâce au piratage de grands acteurs du commerce ou des télécommunications.
Ainsi le nombre de violations touchant plus d'un million de personnes a doublé en un an, atteignant la quarantaine d'attaques réussies en 2024. Les annonces de cyberattaques sont devenues régulières et ont touché jusqu'à France Travail ou les prestataires du tiers payant Viamedis et Almerys.
Encore trop de manquements dans les règles de sécurité
Les attaques contre de grandes enseignes ou l'opérateur Free ont marqué les esprits par les campagnes de phishing qui ont émergé quelque semaines plus tard en utilisant des données authentiques pour piéger les utilisateurs, montrant que les pirates sont actifs pour exploiter rapidement ces données personnelles volées.
La CNIL observe que les vols de données passent souvent par des comptes compromis, dont les identifiants ont été récupérées de diverses façons, et elle constate que les sous-traitants sont souvent un point de faiblesse pour atteindre le réseau d'une entreprise. Enfin, trop souvent, les entreprises visées ne découvrent le vol de données qu'avec la mise en vente au plus offrant des bases de données.
Pour la présidente de la CNIL Marie-Laure Denis, il existe encore trop de fragilités dans la protection des bases de données des clients. Les failles viennent aussi d'un manque de sécurité au niveau du télétravail, avec une trop grande "vulnérabilité des accès à distance".
Double authentification et sensibilisation
Dans le contexte compliqué actuel de conflit hybride et d'actions de déstabilisation, la vigilance doit redoubler et tous les moyens de sécurité doivent être activés. La CNIL va oeuvrer pour faire imposer la double authentification partout à partir de 2026 et émettre des recommandations pour renforcer les défenses des entreprises avec des outils permettant de tracer les accès et détecter les fuites massives de données. La sensibilisation des salariés au risque cyber reste en outre essentielle.
La CNIL a également poursuivi son travail de rappel des règles en matière de données personnelles par des investigations qui ont conduit à 87 sanctions en 2024 (contre 42 en 2023) pour un montant de 55,2 millions d'amendes. Elle a également émis 180 mises en demeure et 64 rappels des obligations légales.